欧盟三大金融监管机构联合委员会在 9 月 23 日发布风险更新，提醒量子计算未来可能削弱保护交易、通信、数据库和区块链的加密系统。监管方没有表示目前已出现可破解比特币的机器，但认为相关安全准备需要提前展开。

欧盟称风险可能早于商业化落地

联合委员会由欧洲银行管理局、欧洲保险和职业养老金管理局、欧洲证券和市场管理局组成。文件指出，量子计算一方面可用于定价、反欺诈和合规监测，另一方面也可能削弱金融基础设施广泛使用的公钥加密。

欧洲证券和市场管理局今年 5 月的技术分析提到，若量子计算能力足够强，可能利用 Shor 算法攻击 RSA 和椭圆曲线加密。比特币所有权验证和交易授权，正依赖椭圆曲线签名。

监管方同时强调，这类攻击仍超出当前 NISQ 设备能力范围。也就是说，现实威胁尚未到来，但由于系统迁移周期很长，准备工作不能等到风险临近才开始。

比特币暴露规模存在不同口径

围绕未来量子攻击下有多少比特币可能暴露，行业内并无统一数字，差异主要来自地址类型和公钥是否已公开的统计方法不同。

• Ki Young Ju 估算约 689 万枚 BTC 存在风险
• 其中约 191 万枚 BTC 的公钥可被直接识别
• Glassnode 测得约 604 万枚 BTC 处于暴露状态

Glassnode 认为，其中约 192 万枚 BTC 属于结构性暴露，即输出类型本身就会公开公钥。其余则更多与地址复用、部分花费或托管操作有关。

开发者仍在讨论迁移方案

比特币的特殊风险在于，部分地址格式会在花费前隐藏公钥，但另一些输出类型从创建时就会暴露公钥，地址复用也会让原本隐藏的密钥信息留在链上。

目前官方 BIP 仓库中的 BIP-360 和 BIP-361 仍处于草案阶段。前者提出新的输出设计，以减少椭圆曲线密钥长期暴露带来的风险；后者则讨论迁移政策，包括未来限制资金继续流入量子脆弱的输出类型，并逐步收紧旧版签名规则。

不过，这两项提案都还不是已激活的比特币共识规则。开发者仍在讨论，如果传统签名未来被证明不再安全，长期未动用或无法访问的旧币应如何处理。

欧盟要求 2026 年前启动迁移

欧盟委员会已经给出后量子迁移时间表，要求所有成员国在 2026 年底前启动向后量子密码体系过渡，高风险场景最迟在 2030 年底前完成。

欧洲证券和市场管理局还提到“先收集、后解密”的风险，即攻击者现在就可保存加密数据，等待未来计算能力提升后再尝试破解。对金融系统而言，这意味着迁移不是短期工程，而是需要多年推进的安全任务。

对区块链来说，难点还在于现有资产和密钥可能需要在旧签名体系失效前完成迁移。比特币若要推动相关升级，还需要开发者、矿工、企业、钱包服务商和节点运营者形成共识。

补充信息：包括 Coinbase 在内的托管机构已开始提前准备。该公司此前表示，正在设计可兼容多种潜在签名方案的后量子比特币托管架构，以便在比特币最终确定技术路线后继续使用。