跳到主要内容

43 篇博文 含有标签「密码学」

密码学协议和技术

查看所有标签

比特币的量子分叉：670 万枚 BTC 面临风险及两大分配者阵营

· 阅读需 16 分钟
Dora Noda
Dora Noda
Software Engineer

约 670 万枚 BTC 存放于已经向世界广播了公钥的地址中。这约占总供应量的三分之一，其中包括归属于中本聪（Satoshi Nakamoto）的约 110 万枚比特币。从原理上讲，一台功能足够强大的量子计算机可以推导出其中任何一个地址的私钥。

加密货币领域引用率最高的两家研究机构查看了完全相同的数据，却对资产配置者今年应该采取的行动得出了截然相反的结论。

Capriole Investments 创始人 Charles Edwards 认为，社区必须在 2026 年底之前发布量子修复方案，否则将面临 20% 的估值折让；如果网络进展缓慢，到 2028 年价格可能会跌破 50,000 美元。灰度研究（Grayscale Research）在其《2026 年数字资产展望：机构时代的黎明》中，将量子风险称为“红鲱鱼”（掩盖真相的干扰项）——虽然真实存在但尚且遥远，不太可能影响 2026 年的价格，且被正在重塑该资产类别的机构资金浪潮所掩盖。

这不是一场关于威胁是否真实的争论。双方都承认威胁是真实的。这是一场关于成本何时体现在价格中的争论——而这个问题现在正驱动着两种完全不同的配置方案。

众人争论不休的数字：670 万枚 BTC​

比特币的量子脆弱性并非均一的。风险取决于持有代币的地址类型，以及该地址的公钥是否曾在链上出现过。

支撑 2026 年大部分讨论的数据明细大致如下：

  • 约 172 万枚 BTC 存放于 Pay-to-Public-Key (P2PK) 输出中。 这些是 2009 年时期的原始地址，包括中本聪的大部分资产。P2PK 直接暴露公钥。由于许多持有者被认为已经去世或丢失了私钥，没有接收者能将这些代币迁移到量子安全的地址。
  • 约 490 万枚 BTC 存放于跨其他格式的重复使用地址中。 一旦你从 Pay-to-Public-Key-Hash (P2PKH)、Pay-to-Witness-Public-Key-Hash (P2WPKH) 或 Taproot 输出进行转账，公钥就会在见证数据（witness data）中可见。如果持有者重复使用该地址，或者在首次消费后留下余额，公钥将在网络随后的历史中保持暴露。
  • 约 20 万枚 BTC 分布在其他重复使用或部分暴露的类别中。

总计：约 680 万枚 BTC，或约占流通供应量的 34%，存放在理论上可被具备 Shor 算法能力的量子计算机窃取的地址中。剩余的三分之二——存放于公钥从未广播过的 P2PKH/P2WPKH/Taproot 未花费输出中——受量子计算机无法通过相同算法破解的额外哈希层保护。

这种不对称性正是这场辩论在结构上显得如此奇特的原因。比特币的量子风险并非“网络崩溃”，而是“早期采用者和不注意地址重复使用的用户被掏空，而谨慎的一次性使用 HODL 者则安然无恙”。市场必须对集中在特定代币群体而非均匀分布在整个供应中的威胁进行定价。

Edwards 的观点：立即计价风险，加速发布修复方案​

Charles Edwards 一直是量子辩论中看空派最响亮的机构声音。他在 2025 年底和 2026 年的一系列演讲中阐述的论点由三部分组成。

首先，折扣已经存在。 Edwards 认为，如果对比特币“易受攻击的存量”供应与“新发行流量”采取诚实的现金流折现模型（DCF），那么相对于量子风险为零的情况，该资产已经理应承受约 20% 的减记。在他的框架中，网络在没有明确的量子抗性迁移路径的情况下每度过一个月，这种折扣就会进一步扩大。

其次，时间表比人们想象的要短。 Edwards 引用了德勤（Deloitte）的分析，估计约 25% 的 BTC 暴露在风险中，并将其与公共量子硬件的快速进展联系起来。他反复提及 Project Eleven 的“Q-Day 奖”——该奖项于 2026 年 4 月 24 日授予研究员 Giancarlo Lelli，因为他在一台公开可用的量子计算机上破解了一个 15 位的椭圆曲线密钥。Steve Tippeconnic 在 2025 年 9 月的 6 位演示是首次公开破解；Lelli 的 15 位结果在 7 个月内实现了 512 倍的提升。指数级增长并非理论。

第三，银行救不了比特币。 Edwards 更尖锐的论点是，比特币将在传统金融之前受到冲击，因为银行已经开始迁移到后量子加密方案——而且即使银行失败，它们也有法律机制来追回欺诈性转账。比特币没有这种机制。对中本聪时代的 P2PK 地址进行成功的量子窃取将是不可逆的、公开的，并且会从根本上摧毁对该资产的信心。

他建议的行动：在 2026 年底之前发布量子抗性迁移路径。如果比特币不这样做，Edwards 对 2028 年最坏情况的预测是 BTC 将跌至 50,000 美元以下——不是因为届时量子计算机真的破解了 ECDSA，而是因为对“无法修复的悬崖”的预期会在悬崖到来之前很久就体现在价格中。

灰度的观点：真实存在，但不属于 2026 年​

灰度的《2026 年数字资产展望》持相反立场。量子计算被公认为是一个长期考虑因素，但该公司的表述非常明确：它是 2026 年市场的“烟雾弹”。

灰度的论点建立在三个支撑性主张之上。

第一：硬件尚不具备。 预计最早要到 2030 年才会出现能够从公钥推导私钥的足够强大的量子计算机。Google 在 2026 年 4 月发布的白皮书估计，攻击 256 位 ECC 需要不到 50 万个物理量子比特 —— 而 Google 在 2024 年底推出的旗舰芯片 Willow 拥有 105 个。随后 Caltech 和 Oratomic 的论文将中性原子架构的要求降低至约 10,000 个量子比特，但即便如此，也比目前任何公开量子系统所展示的高出大约两个数量级。

第二：开发者的反应是真实的。 BIP-360 引入了 Pay-to-Merkle-Root (P2MR) —— 一种新的比特币输出类型，它使用 Dilithium（现已被 NIST 标准化为 ML-DSA）后量子签名，并对比特币攻击隐藏公钥。该提案于 2026 年 2 月 11 日并入比特币官方 BIP 仓库。BTQ Technologies 在次月发布了第一个可运行的测试网实现 (v0.3.0)。迁移路径已经存在；只是尚未激活。

第三：2026 年的催化剂占据主导地位。 灰度的展望将 2026 年界定为“机构时代”的开始。现货 ETF 的资产管理规模（AUM）已突破 870 亿美元。《CLARITY 法案》正处于 5 月参议院银行业委员会的审议轨道上。SEC 主席 Paul Atkins 发布了四类代币分类法，为机构级资金流入该资产类别铺平了道路。灰度认为，在这种背景下，低估 2030 年及以后的尾部风险是错误的。

隐含的资产配置指令是“坚持做多，忽略噪音”。灰度的立场并非认为量子风险是虚假的 —— 该公司明确指出，比特币和大多数区块链最终将需要进行后量子升级。其立场是，2026 年的价格发现将由 ETF 资金流、监管透明度和宏观流动性驱动，而非 2030 年的假设性硬件。

两种资产配置方案​

将这两个阵营简化为操作指令，分歧便变得显而易见。

Edwards 阵营方案（防御型）：

  • 立即提前启动迁移工具审查。托管商在测试网上对 BIP-360 钱包进行压力测试。冷存储提供商在 2026 年底前发布后量子迁移路线图。
  • 抢先将暴露的冷存储 UTXO 重新支付到新鲜的一次性地址，将公钥重新隐藏在哈希之后。
  • 在今天支付真实成本 —— 操作复杂性、审计开销，以及可能在协调迁移期间出现的费用激增 —— 以避免 2028-2030 年的灾难性尾部风险。
  • 将 2026 年 BTC 的任何疲软部分归因于量子隐忧，而不仅仅是宏观因素。

灰度阵营方案（机会型）：

  • 继续根据 ETF 资金流模型、监管催化剂和四年周期脱钩理论来衡量 BTC 规模。
  • 假设有序的、类似以太坊基金会（EF）风格的协议升级节奏能在 2027-2030 年窗口期间解决迁移问题。
  • 不要为今天的“抗量子基础设施”风险支付溢价；以 2026 年的现金流衡量，其估值并不合理。
  • 关注量子硬件的里程碑，但将其视为监测信号，而非配置信号。

两种方案在各自的逻辑下都是合理的。分歧在于对不对称性的看法 —— 具体而言，是 Edwards 所主张的防御成本相对于成功后的回报较小，还是灰度所主张的防御成本相对于成功后的回报过大。

两个阵营都在回避的治理问题​

2026 年量子辩论中最令人不安的部分并非硬件时间表，而是 BIP-361 提出的治理问题。

2026 年 4 月 15 日，Jameson Lopp 与五位共同作者发布了 BIP-361 —— “后量子迁移与旧版签名落日计划”。这是一项提议，通过软分叉激活后，将强制量子弱点地址持有者在最后期限前完成迁移。阶段 A（约 160,000 个区块，激活后约三年）将停止网络接受发往易受攻击的旧版地址类型的新交易。阶段 B（约两年后）将拒绝任何使用这些地址的旧版 ECDSA 或 Schnorr 签名的交易。未迁移钱包中的资金将实际上被冻结。

技术理由很简单：如果不淘汰旧版签名，一次量子盗取就可能动摇整个网络的信心。政治理由则非常残酷。“谁持有私钥，谁就控制代币 —— 绝无例外”自 2009 年以来一直是比特币的一项核心承诺。BIP-361 为这项承诺设定了有效期。

Adam Back 在巴黎区块链周上提出的反对建议是，抗量子特性应作为“可选”升级添加，而非强制冻结。Back 公开表示，目前的量子计算机“本质上仍然是实验室实验”，强制淘汰休眠资产（最著名的是中本聪的资产）将开创一个凌驾于比特币核心产权保证之上的先例。

在开发者论坛和 X 上，BIP-361 被批评者称为“威权主义”和“掠夺性”。他们认为，即便该提案在技术上是必要的，它也损害了该资产对机构买家最具吸引力的属性：没有人，甚至开发者，可以夺走你的代币。

这是 Edwards 和灰度阵营都没有直接解决的部分。Edwards 阵营想要一个解决方案，BIP-361 是目前最具体的方案；但 BIP-361 也是最有可能在意识形态上撕裂比特币社区并产生争议性分叉的政策选择。灰度阵营想要等待；但等待会缩短任何软分叉辩论在威胁显现前进行的时间窗口。

基础设施的影响解析​

无论哪方阵营是正确的，迁移过程都将为区块链基础设施提供商产生可衡量的负载特征。抗量子测试和预防性迁移产生的 RPC 流量模式，与 DeFi 模因币垃圾交易完全不同。

托管级的迁移测试往往会产生：

  • 密集的归档节点读取 —— 全量 UTXO 扫描，以识别机构账目中暴露的公钥。
  • 持续的签名方案证明流量 —— 验证新部署的 P2MR 输出在传统和后量子验证器下是否都能正确校验。
  • 批量地址格式扫描 —— 机构钱包对哪些 UTXO 处于易受攻击格式进行批处理检查。
  • 结算事件的长时间运行 Trace 查询 —— 这类调试级负载是主流通用型 RPC 提供商未曾优化的。

这种负载会首先出现在 Edwards 阵营一方。Grayscale 阵营的分配者直到不得不做时才会产生此类流量。因此，量子迁移正在从理论走向实践的早期信号，将表现为托管商 RPC 流量模式的转变，这远早于其在 BTC 现货价格上的体现。

BlockEden.xyz 在 Bitcoin、Sui、Aptos、Ethereum 以及 25 个以上的链上运营机构级 RPC 和索引器基础设施 —— 包括量子迁移测试倾向于产生的归档节点和 Trace 负载。如果你的团队正在 Bitcoin 或任何其他资产上压力测试后量子工具，请 探索我们的 API 市场，获取专为非平凡负载构建的基础设施。

到 2026 年底需关注的重点​

Edwards 与 Grayscale 之间的分歧是真实的资产分配者分歧，但这种分歧将在未来八个月内通过几个关键里程碑得到解决。

量子硬件： 关注下一个 Q-Day 奖项的授予。如果在公共硬件上实现 20 位或 24 位 ECC 破解，将使指数级威胁变得显而易见，不容忽视。相反，如果到 2026 年底公共领域没有进一步进展，则会延长 Grayscale 的观望周期。

BIP-361 激活路径： 该提案是否获得了足够的开发者支持以进入真正的激活讨论，还是 Adam Back 的可选升级反向提案占据了主导地位？任何一种结果都会实质性地改变迁移时间表。

托管商行为： Coinbase Custody、BitGo、Anchorage 和 Fidelity Digital Assets 是否发布后量子准备声明。第一家承诺在生产环境中使用 BIP-360 钱包的主要托管商，将是 Edwards 的紧迫感正在渗透到运营决策中的领先指标。

现货价格反应： 如果 2026 年 BTC 的表现比其 ETF 流入模型低 15% 以上，Edwards 的 “量子贴现” 框架将变得难以忽视。如果 BTC 达到或超过 Grayscale 的上半年历史最高价预测，那么 “红鲱鱼”（伪命题）框架将默认胜出。

需要关注的不对称性在于：Edwards 最终必须是正确的，他的观点才能成立，即使 2026 年的价格没有反映出来。而 Grayscale 需要现在就是正确的 —— BTC 在没有明显量子阴影的情况下每上涨一个月，都会强化 “红鲱鱼” 框架；但一次单一的信心冲击事件可能会在一周内抹去该论点多年的积累。

这就是分歧点。两家机构，同样的数据，相反的策略。市场会在量子计算机做出选择之前先选边站队。

来源​

Solana 的 3 年量子优势：为何 Yakovenko 让以太坊 L2 用户“放弃所有希望”

· 阅读需 15 分钟
Dora Noda
Dora Noda
Software Engineer

2026 年 5 月 2 日，Anatoly Yakovenko 做了一件大多数区块链联合创始人都会回避的事情：他告诉一整群用户，他们的网络已经无药可救。“放弃一切希望吧，”这位 Solana Labs 联合创始人写道，对于任何在以太坊（Ethereum）Layer 2 上持有资产并担心量子计算机的人来说，这是唯一的诚实建议。这条推文发布的同一小时，Anza 和 Firedancer —— 负责保障 Solana 绝大部分验证者质押权益的两个客户端 —— 发布了经过生产环境加固的测试版本，验证了 Falcon-512 签名，这是 NIST 选定作为后量子标准的基于格（lattice-based）的方案。

这种同步并非巧合。这是自 2017 年 Vitalik 发布 Plasma 幻灯片以来最响亮的跨链营销攻势，它将量子准备工作从 2030 年代的工程清单重新定义为 2026 年的竞争优势。当以太坊的“草图路线图”（Strawmap）计划以每六个月一次的节奏进行七次硬分叉、在 2029 年左右完成后量子基础设施时，Solana 现在已经在两个独立的客户端实现中拥有了可运行的 Falcon-512 验证。差距大约是三年 —— 而三年时间足以赢得机构叙事。

Web3 的隐私架构之战：2026 年的 ZK、FHE 与 TEE

· 阅读需 13 分钟
Dora Noda
Dora Noda
Software Engineer

一个价值 1,000 美元的小型设备破解了英特尔（Intel）最受信任的硬件飞地。全同态加密（FHE）已从学术界的好奇心演变为估值超过 10 亿美元的独角兽。而 Aztec 也在以太坊上推出了首个去中心化隐私 L2——结果却遭遇了监管机构要求“选择性披露”而非“完全匿名”的要求。欢迎来到 2026 年的隐私基础设施之战，三种相互竞争的范式正融合为一个谁也未曾预料到的新形态。

Optimism 的 10 年量子时钟：为什么超级链成为第一个设定 ECDSA 退役日期的 L2

· 阅读需 14 分钟
Dora Noda
Dora Noda
Software Engineer

2026 年 1 月，Optimism 采取了其他 Layer-2 从未有过的举措：它为 ECDSA 的终结设定了日期。十年后，即 2036 年 1 月左右，超级链（Superchain）上的每个外部账户（EOA）——包括 OP Mainnet、Base、World Chain、Mode、Zora、Ink、Unichain ——都需要处于后量子签名方案的保护之下，否则将停止交易。目前还没有其他主要的 L2 发布类似的迁移计划。Arbitrum、ZKsync、Polygon zkEVM、Starknet 和 Linea 在量子威胁面前仍保持沉默。

这种沉默在战略上正变得代价高昂。

2025 年 5 月，Google 研究员 Craig Gidney 发表了一篇论文，表明使用不到 100 万个量子比特就能破解 RSA-2048 ——这比他在 2019 年估算的 2000 万个减少了 20 倍。IBM 的目标是在 2029 年前实现容错量子系统。Google 公开模拟的 Q-Day 最早可能在 2030 年到来。NIST 的淘汰时间表也与这种悲观预期一致：易受量子攻击的算法计划在 2030 年后弃用，并在 2035 年后禁止使用。财务规划人员曾因舒适而忽略的十年期估算，现在已经缩短到了与公司债券梯相同的期限。

Optimism 的路线图是 L2 阵营中第一个将这一时间线视为现实的响应。

Optimism 究竟做出了哪些承诺​

该路线图由 OP Labs 发布并在以太坊研究社区广泛传播，它将迁移分解为三个工作流，这些工作流清晰地映射到超级链堆栈的各个层级。

用户级迁移。 由 ECDSA 保护的外部账户（EOA）计划被替换为后量子智能合约账户。该计划利用账户抽象和 EIP-7702，通过硬分叉更换签名方案，而无需强制用户放弃现有余额。旧钱包在较长的双重支持窗口期内仍可继续工作，期间 ECDSA 和后量子（PQ）签名的交易均被接受；2036 年 1 月之后，网络将把后量子路径视为规范路径，并停止将新的 ECDSA 签名纳入区块。

基础设施级迁移。 L2 排序器（Sequencer）和向以太坊 L1 发布数据的批处理提交器（Batch Submitter）都将停止使用 ECDSA。在短期内，这比用户账户迁移更重要，因为在有效的量子攻击者面前，受损的排序器密钥可能会重写排序或窃取在途价值。先加固这些特权密钥是教科书式的安全做法。

以太坊协同。 Optimism 明确表示，超级链无法独自完成这项工作。该路线图要求以太坊承诺一个时间表，将验证者从 BLS 签名和 KZG 承诺迁移到后量子替代方案，OP Labs 正就此与以太坊基金会进行积极沟通。这一立场与 Vitalik Buterin 在 2026 年 2 月提出的后量子路线图相契合，该路线图组建了后量子安全团队，并确定了四个脆弱层：共识层 BLS 签名、基于 KZG 的数据可用性、ECDSA 账户签名以及零知识证明。

Buterin 的计划建议用哈希方案（如 Winternitz 变体）取代 BLS，并将数据可用性从 KZG 迁移到 STARKs，通过 EIP-8141 引入递归 STARK 聚合，将数千个签名压缩为单个链上证明。该计划于 2026 年 2 月 27 日在 Kurtosis 开发网上成功运行，产出了区块并验证了新的预编译。Optimism 的路线图经过校准，旨在与以太坊方面的这项工作同步落地。

为什么“10 年”既激进又保守​

十年听起来很长。但一旦考虑到其中必须发生的事情，它就不长了。

公链上的签名方案迁移不是简单的软件升级。这是一个涉及钱包、硬件签名器、托管商、交易所、硬编码签名假设的智能合约、预言机网络、桥接安全委员会、MEV 构建者以及围绕这一切的监管边界的协调问题。Coinbase、Ledger、Trezor、Fireblocks、Anchorage、MetaMask、Safe 以及每个在 Base 上持有代币化资金的机构都需要发布后量子（PQ）感知密钥管理系统，对其进行审计，并推向客户。NIST 设定的 2035 年弃用期限仅给 Optimism 留出了一年的缓冲期，介于“后量子成为标准”和“监管机构禁用旧算法”之间。这个缓冲空间并不宽裕。

相反，相对于目前任何其他主要 L2 的处境，十年又是激进的。Arbitrum、ZKsync、Polygon zkEVM、Starknet、Scroll、Linea 和 Mantle 尚未发布类似的计划。这种沉默部分源于研究就绪度问题——递归 STARK 聚合和基于格（lattice-based）的验证器并非现成可用——部分源于营销考量，因为宣布 2036 年的截止日期会迫使其他成员进行尚未准备好的对话。Optimism 率先承担了这一政治成本，使其路线图成为一种领先资产，竞争对手如果不效仿就无法与之匹敌。

对比技术栈：比特币的冻结、Solana 的 Falcon、以太坊的 STARKs​

与目前摆在桌面上的其他方案相比，Optimism 的计划显得非常务实。

比特币的 BIP-361。 由 Casa CTO Jameson Lopp 共同撰写，标题为“后量子迁移与旧版签名淘汰”，BIP-361 提议在激活后的五年内冻结保存在旧版地址中的比特币。该提案与 BIP-360 配套，后者引入了一种量子安全的 Pay-to-Merkle-Root (P2MR) 地址类型。A 阶段将在 BIP-360 激活三年后，阻止钱包向旧版地址类型发送资金。B 阶段将在两年后，在共识层使旧版签名失效 —— 未迁移的代币将变得无法使用。目前超过 34% 的比特币在链上暴露了公钥，比特币研究人员估计，如果今天激活 B 阶段，超过 740 亿美元的 BTC 将被冻结。Adam Back 表示反对，主张采用可选升级而非强制冻结，社区争论尚未解决。这与 Optimism 形成了鲜明对比：比特币的计划以因不作为而被没收告终，而 Optimism 的计划则以保留余额的智能账户迁移告终。

Solana 的 Falcon 测试。 Solana 使用最广泛的两个验证者客户端 —— Anza 和 Firedancer —— 都已经发布了 Falcon-512 的测试实现，这是 NIST 标准化的后量子签名方案中体积最小的一种。Jump Crypto 明确表示，签名大小是高吞吐量区块链的约束条件：签名越大意味着带宽占用越多、存储需求越高以及验证速度越慢。Falcon 紧凑的占用空间非常契合实际需求，但后量子验证的计算负载仍高于 Ed25519，且在 Solana 上大规模运行 Falcon 的吞吐量成本尚未公布。Anatoly Yakovenko 认为未来几年内量子技术破解比特币加密的可能性为 50%，这是所有 L1 创始人中最激进的公开姿态。Solana 的方法是研究与验证；Optimism 的方法是发布与承诺。

以太坊的 STARK 聚合。 Vitalik Buterin 的路线图在结构上与 L1/L2 计划不同，因为以太坊的共识层使用的是 BLS 签名而非 ECDSA，而 BLS 面临的量子威胁与 ECDSA 不同。替代路径 —— 基于哈希的签名配合基于 STARK 的聚合 —— 在数学上很简洁，但在操作上很沉重，因为 STARK 聚合需要一个目前尚未在生产环境中存在的递归证明系统。路线图预想在四年内进行大约七次硬分叉，其中 2026 年的 Glamsterdam 和 Hegotá 将包含并行执行和状态树更改，为后期的 PQ 分叉奠定基础。

Optimism 的计划继承了以太坊发布的任何成果，并叠加上其自身的超级链（Superchain）级别签名聚合升级和基于 CRYSTALS-Dilithium 的验证器模块。其优势在于 L2 不需要自己解决 BLS 问题；它们只需要在 L1 解决方案落地时准备好接入即可。

机构视角：代币化基金需要长期的安全叙事​

Optimism 路线图背后未言明的商业驱动力是流向 Base 的机构资本。贝莱德（BlackRock）的 BUIDL、阿波罗（Apollo）的 ACRED 和富兰克林邓普顿（Franklin Templeton）的 BENJI 代币化基金目前都是具有多年托管期限的数十亿美元规模的部署。他们的合规官和首席风险官不接受“十年后”这种随意的抽象概念 —— 他们在选择场所时，部分是基于长尾安全性评估。被要求持有代币化国债十年的基金，不能停留在其签名方案在 2030 年代有可信的过时风险的基础设施上。

Coinbase 在超级链中对 Base 的战略定位因此成为 OP Labs 路线图的隐形受益者。当 BUIDL 的下一次授权审查到来时，能够拿出已发布、有日期、有技术规范的 PQ 迁移计划的区块链，将击败所有无法做到的链。同样的逻辑也适用于 Apollo 的 ACRED 持有者（他们需要交易级机密性和长期安全性），以及 Franklin 的 BENJI 投资者（他们已经在一个监管框架内运作，NIST 的 2030 年弃用时间表是其网络安全态势的关键考量因素）。

换句话说：Optimism 的 PQ 路线图不仅仅是一份工程文档。它是一份印有 2036 年印章的机构销售材料。

其他参与者无法回避的悬而未决的问题​

Optimism 的公告为 2026 年和 2027 年的其他 L2 生态系统设定了议程。以下几个问题现在已无法回避：

  • Arbitrum、ZKsync、Polygon zkEVM 和 Starknet 是否会发布有明确日期的 PQ 路线图？ 这样做的成本现在低于在下一次机构授权审查中成为那个没有路线图的 L2 的成本。
  • EVM 是否会获得 NIST 标准化的 PQ 验证器预编译（precompile）？ Vitalik 的路线图暗示是的，但在 EVM 上进行 CRYSTALS-Dilithium 签名验证的 Gas 成本经济学尚未公布。如果验证器 Gas 成本过高，Optimism 的智能账户迁移将需要不同的加密底层。
  • EIP-7702 将如何与 PQ 智能账户交互？ EIP-7702 允许 EOA 临时委托给智能合约代码，这是 Optimism 倚重的迁移工具。交互模型需要处理在双重支持窗口期间，用户的 ECDSA 密钥被攻破的情况。
  • 跨链桥会发生什么？ Optimism 通往以太坊 L1 的官方桥继承了以太坊结算层接受的任何内容。第三方桥（LayerZero, Wormhole, Axelar, Across）运营着自己的签名委员会，且尚未发布 PQ 计划。如果一个桥的签名密钥易受量子攻击，即使两端都是 PQ 安全的，它也是一个容易被攻击的目标。
  • 超级链（Superchain）是集中于单一 PQ 方案，还是多元化？ Falcon、Dilithium、SPHINCS+ 和 Winternitz 各有不同的体积/速度/安全权衡。多方案的超级链会带来操作复杂性；单方案的超级链则承载了方案本身的风险。

在 2026 年，这些问题都没有完美的答案。但所有这些问题都必须在 2036 年之前得到解决。

这对开发者和运营者的意义​

对于在 Superchain 上构建的团队来说，实际的启示是开始将后量子（Post-Quantum）视为一个真实的架构限制，而不仅仅是一个研究好奇心。钱包提供商应规划 ECDSA / PQ 双重密钥管理接口。智能合约开发者应避免在托管逻辑、多签钱包或治理模块中硬编码签名方案假设。集成了 OP Mainnet、Base 或 World Chain 的托管商和交易所应将 PQ 迁移列入其五年路线图，而不是十年路线图。NIST 弃用时间表的 36 个月后版本将在触及 Optimism 硬分叉之前，先影响到机构采购。

对于基础设施运营者来说，问题不在于是否迁移，而在于何时开始。Superchain 的双重支持窗口意味着，在十年后期相当于 Phase B 的强制执行生效之前，没有运营上的强制机制。但机构买家的尽职调查问卷是一个周期短得多的强制机制。

BlockEden.xyz 为 Optimism、Base 以及更广泛的 Ethereum L2 生态系统运营生产级 RPC 基础设施。随着 Superchain 在未来十年向后量子签名过渡，我们的团队正与合作伙伴一起追踪这一迁移进程——确保你所构建的链在 Q-Day 及其之后保持可验证性。探索我们的 API 市场，在专为长远规划而设计的基础设施上进行部署。

来源​

Project Eleven 的 1.2 亿美元豪赌：一位特种部队退伍军人如何让 Coinbase 相信量子威胁已经临近

· 阅读需 13 分钟
Dora Noda
Dora Noda
Software Engineer

2026 年 4 月，一位名叫 Giancarlo Lelli 的研究员通过在真实的量子硬件上破解 15 位椭圆曲线密钥，获得了 1 个比特币。15 位。而比特币使用的是 256 位。这个差距听起来巨大 —— 直到你回想起 RSA-129 在 1994 年被破解，RSA-768 在 2009 年被破解，而 RSA-829 在 2020 年被破解。图表上的曲线只朝着一个方向弯曲。

这笔赏金来自 Project Eleven，一家由前美国特种部队军官创立的低调的后量子安全初创公司。三个月前，该公司以 1.2 亿美元的估值完成了 2000 万美元的 A 轮融资，由 Castle Island Ventures 领投，参投方包括 Coinbase Ventures、Variant、Quantonation、Fin Capital、Nebular、Formation、Lattice Fund、Satstreet Ventures、Nascent 以及 Balaji Srinivasan 本人。从 600 万美元的种子轮到 20 倍的估值涨幅，仅用时 7 个月，这并非正常的风投节奏。这是那些研究过时间线并认定窗口期比共识预期的更短的投资者们所展现出的节奏。

本文将揭示这些投资者所看到的景象。

绝无仅有的交付产品​

大多数 “量子加密” 公司都在构建全新的 Layer 1 —— Naoris Protocol、QANplatform 以及 Circle 基于格（lattice）的原生 Arc 链都将后量子签名直接写入全新的创世区块中。这是该问题的简单版本。困难的版本，也就是 Project Eleven 所承担的任务，是为已经存在且承载着数万亿美元资产的区块链进行加密安全性的改造。

已交付的产品名为 yellowpages。这是一个免费的开源注册库，它允许比特币持有者完成一件原本不可能实现的事情：在不移动代币、不进行硬分叉且不泄露任何敏感信息的情况下，在今天证明他们拥有后量子密钥下的 UTXO。

其流程在机制上非常严密。yellowpages 客户端根据用户现有的 24 位助记词，确定性地生成 ML-DSA 密钥对和 SLH-DSA 密钥对（这是美国国家标准与技术研究院 NIST 于 2024 年 8 月定稿为 FIPS 204 和 FIPS 205 的基于格和哈希的数字签名标准）。然后，用户使用其比特币私钥 以及 新的后量子密钥对挑战进行签名。该数据包通过由 ML-KEM 保护的通道发送到可信执行环境（TEE），后者验证签名并将单一证明写入公共目录，从而永久地将旧地址与新密钥关联起来。

结果是一个能够在 Q-Day（量子日）幸存的可验证声明。如果十年后，一台足够强大的量子计算机从链上暴露的公钥推导出私钥，合法所有者可以出示 yellowpages 证明 —— 该证明带有回溯日期、由两组密钥签署且不可否认 —— 从而质疑任何由量子计算衍生的支出。这是一种加密不在场证明（cryptographic alibi）。区块链无需改变。钱包无需移动。证明本身就是迁移。

这一特性使得 yellowpages 在结构上与比特币的所有其他后量子方案截然不同。BIP-360（Hunter Beast 的量子抗性地址提议）需要软分叉共识。各种 Taproot 扩展方案则假设持有者最终会进行交易。Yellowpages 不做任何假设 —— 它适用于冷钱包中的代币，无论其所有者已经过世、处于休眠状态，还是单纯不想动用它们。

为什么 Coinbase Ventures 实际上领投了​

Coinbase 为机构客户托管了超过 100 万个比特币。这是一个无法随意迁移的数字。存放在 Coinbase Custody 中的每一枚代币都代表着一种针对无固定日期概率性事件的未对冲尾部风险。该交易所有着其他战略投资者所不具备的两个动机：

  1. 运营层面：保护现有托管资产，而无需强迫 5 万名机构客户进行可能耗时数年的协调式密钥轮换。
  2. 监管层面：NIST IR 8547 设定了 2035 年完全弃用易受量子攻击算法的截止日期，高风险系统则需更早迁移。联邦监管机构阅读了美联储 2025 年 10 月关于分布式账本 “先收集，后解密” 风险的工作论文。他们不会允许一家上市托管机构无限期地承担这种风险敞口。

Coinbase Ventures 资助 Project Eleven 是加密领域最接近 “台积电资助阿斯麦（ASML）” 的时刻 —— 下游巨头为拥有唯一可行迁移路径的供应商提供资金。Castle Island 和 Variant 参与投资的原因，与他们十年前投资关键基础设施的原因相同：当整个资产类别都需要一种原语，而有一个团队拥有交付该原语的生产规模和集成经验时，剩下的就只是数学问题了。

Solana 悖论​

虽然 yellowpages 解决了比特币的协调问题，Project Eleven 的另一个部门正在做一件更痛苦的事情：向各条链展示在迁移时它们究竟会损失多少性能。

2026 年 4 月，Solana 基金会运行了一个由 Project Eleven 支持的测试网，将 Ed25519 签名更换为基于格的后量子等效签名。结果非常残酷：

  • 签名大小与目前的紧凑型签名相比增长了 20-40 倍。
  • 在早期基准测试中，网络吞吐量下降了 约 90%。
  • 带宽、存储和验证者硬件要求成比例增加。

对于其核心价值主张是单体高吞吐量的 Solana 来说，这是一个关乎生存的权衡 —— 是选择安全性，还是选择作为营销优势的性能。该链的架构师现在陷入了三个令人不安的选项之中：交付格签名并失去性能优势，等待能压缩开销的基于哈希或零知识的封装方案，或者寄希望于量子硬件的里程碑进度严重滞后，以至于他们永远不必做出承诺。

Project Eleven 处于这一权衡的两端。他们提供加密原语，同时也提供关于成本的经验证据。这种双重身份很不寻常 —— 大多数安全供应商更希望你不要看到账单 —— 而这正是其集成合作伙伴信任他们的原因。数据是不会骗人的。

Q-Day 奖与弯曲的曲线​

大多数读者已经学会了对量子威胁警告不以为然。2030 年代似乎还遥不可及。2026 年 4 月 24 日的 Q-Day 奖结果，正是“遥不可及”开始变得不再安稳的时刻。

Lelli 对 15 位 ECC 的破解采用了一种混合经典-量子的方法，通过每个逻辑量子比特对应多个物理量子比特来进行纠错 —— 这种架构与 IBM 的 Condor（1,121 量子比特，2023 年）以及计划中的 Kookaburra（4,158 量子比特，2026–2027 年）上线后的扩展方式相同。历史性的扩展模式非常明显：

年份攻击方式破解的密钥大小
1994RSA-129~426 位
2009RSA-768768 位
2020RSA-829829 位
2026ECC-15 (量子)15 位

15 位这个数字看起来很小，直到你意识到这是 第一个 生产级演示。整数分解曲线花了 25 年才跨越了 700 位的进展。而依托逻辑量子比特增长的量子攻击曲线，其弯曲速度可能会更快。Project Eleven 的奖金结构 —— 针对破解的每一个新位增加悬赏 —— 将时间线变成了一个排行榜。市场由此获得了一个公开的、带有时间戳的反馈，以此了解威胁有多近。

这种反馈正是比特币机构持有者无法忽视的催化剂。在颁奖时，贝莱德（BlackRock）的 IBIT 持有超过 960 亿美元的管理资产（AUM）。Tether 的储备持有约 140,000 BTC。Strategy 持有超过 200,000 BTC。这些持有者在编写 10-K 披露文件时，都无法忽视这种可衡量的、不断提升的技术进步。

无人愿谈的协同挑战​

有一个沉默的数字定义了比特币的后量子困境：大约 400 万至 600 万枚 BTC 存放在 Taproot 之前的 P2PKH 和 P2PK 地址中，其公钥已经在链上曝光。一些对总风险供应量的估计更高，最近的一项分析显示，公钥曝光的地址中存有价值 7,180 亿美元的比特币。除了原始持有者，任何人都无法迁移这些代币。许多持有者已无法联系、离世，或持有十年未动的冷钱包。据信大约有 110 万枚 BTC 属于中本聪（Satoshi）。

将其与千年虫（Y2K）—— 典型的加密协同灾难 —— 进行对比。Y2K 之所以能够解决，是因为有固定的截止日期、政府协调、强制预算以及可以强迫迁移的中央机构。对比特币而言，这些都不存在。截止日期是概率性的。没有政府可以强制执行钱包轮换。没有中央机构可以发布一个 100% 持有者都会遵循的软分叉时间表。

这就是 yellowpages 默默变得重要的原因。它并没有解决协同问题 —— 它划定了范围。通过在今天创建一个可验证的后量子声明，能够 做出承诺的持有者可以低成本地完成这一操作。失去持有者的代币最终容易受到量子派生支出的攻击，但可找回代币的合法所有者将拥有优先权的加密证明。该证明不是迁移的替代品。它是一个分流系统。

2026–2029 窗口期的走向​

后量子加密基础设施的竞争版图正在明朗化：

  • 原生 PQC 链 (Naoris, QANplatform, Circle Arc): 架构简洁，没有迁移负担，没有遗留资产。
  • ZK 封装 PQC (Trail of Bits 2026 年 4 月亚 100 毫秒验证结果): 通过在链下证明有效性，可能压缩签名开销。
  • 改造式 PQC (Project Eleven 的 yellowpages, Solana 的格密码测试网, BIP-360 提案): 唯一针对链上数万亿遗留资产的类别。

Project Eleven 的赌注 —— 以及支持它们的机构资本的赌注 —— 是改造方案将占据主导地位。原生链在技术上可能更优越，但价值并不在那里。ZK 封装方法很有前途，但仍处于实验室基准阶段，而非生产部署。改造是资金所在地。改造是监管机构关注的地方。

对于一个 2029 年或更晚才会出现的威胁，1.2 亿美元的估值是否合理，是一个见仁见智的问题。量子硬件里程碑习惯性地推迟。NIST 的 2035 年弃用期限还很遥远。但在 2026 年 4 月之前，“量子是 2030 年代的问题”很容易脱口而出。在 Lelli 的奖项之后、在 Solana 吞吐量崩毁 90% 之后、在 Coinbase Ventures 领投该轮融资之后，对话已经从 是否会发生 转向了 发生得有多快。Project Eleven 的优势在于，他们花了 18 个月的时间将“多快”的问题转化为已交付的代码、集成合作伙伴和一系列公开基准测试。这是一种可以产生复利效应的护城河。

跨年度加密转型的基础设施很少在转型发生的当年建成。它是在转型前夕，由那些足够早开始行动、以便在市场其他部分醒来时已具备生产能力的团队建立的。Project Eleven 目前是后量子改造类别中唯一具备这一特征的团队。

量子时钟尚未大声滴答作响。但它确实在走动。而那些开出最大额支票的人已经认定，未雨绸缪的成本远小于错失良机的代价。

BlockEden.xyz 在 Bitcoin、Ethereum、Sui、Aptos、Solana 以及 25 个以上其他网络上运营生产级区块链基础设施 —— 也就是那些面临后量子迁移挑战的链。随着加密标准的演进，基于稳定 RPC 和索引基础设施构建的团队将有空间专注于应用逻辑，而非底层维护。探索我们的 API 市场，获取旨在超越未来十年协议升级的区块链访问服务。

来源​

Solana 的后量子悖论：当 40 倍签名体积和 90% 的速度损失威胁到最快公链的身份时

· 阅读需 16 分钟
Dora Noda
Dora Noda
Software Engineer

Solana 比任何其他 Layer 1 都更强调一点：速度。400 毫秒的出块时间、65,000 TPS 的营销基准，以及围绕一个假设构建的并行执行模型——即签名很小且验证成本低廉。2026 年 4 月，这一假设遭遇了量子计算机。

当 Project Eleven 和 Solana 基金会完成首次端到端抗量子签名测试时，结果介于警告和危机之间。后量子签名的体积比 Solana 目前使用的 Ed25519 签名大 20 到 40 倍。吞吐量下降了约 90%。这个以超越以太坊为品牌核心的区块链，在测试条件下，突然看起来比它嘲讽了五年的网络还要慢。

这不是普通的性能衰退。这是 Solana 很久以前做出的设计决策所带来的架构性账单——当账单到期时，整个生态系统现在必须决定自己想要成为什么样的区块链。

账单：为什么量子安全签名对 Solana 的打击如此之重​

每个 Layer 1 都使用椭圆曲线密码学对交易进行签名。比特币和以太坊依赖 ECDSA。Solana 使用 Ed25519。两者都很快，都能产生约 64 字节的紧凑签名，并且都依赖于同一个数学硬度假设——椭圆曲线离散数问题。Shor 算法在足够强大的量子计算机上运行，可以在多项式时间内解决该问题。当那台机器出现时，每个受 ECDSA 或 Ed25519 保护的账户都可以在几分钟内被开启。

NIST 标准化的后量子替代方案——如 Dilithium 和 Falcon 等基于格（lattice-based）的方案，以及 SLH-DSA 等基于哈希的方案——在数学上对 Shor 算法具有鲁棒性。然而，它们对带宽并不友好。Dilithium 签名可能达到 2.4 KB。SLH-DSA 根据参数选择可能延伸至 7-49 KB。Falcon 作为最紧凑的 NIST 标准化格方案，产生的签名仍约为 666 字节——大约是 Ed25519 大小的 10 倍，而这已经是“较优”的选择。

对于比特币来说，这种膨胀很烦人。但对于 Solana 来说，这是关乎存亡的。Solana 的吞吐量模型依赖于在 400 毫秒的出块时间内塞入尽可能多的交易，领导者（leaders）通过 Turbine 树传播数据切片（shreds），而该树的大小是基于紧凑载荷设计的。如果将单笔交易签名扩大 20-40 倍，下游的整个流水线——带宽、内存池传播（或其等效的 Gulf Stream）、验证节点验证、账本存储——都要支付同样的倍数。测试中 90% 的吞吐量下降不是软件 Bug。它是当你将 40 倍的字节推入一个为既有容量设计的管道时必然会发生的结果。

不对称脆弱性：为什么 Solana 的时间对比特币更紧迫​

大多数区块链量子分析都将所有链混为一谈。它们不应该被归为一类。Solana 存在一个比特币所没有的结构性问题。

在比特币中，你的钱包地址是公钥的哈希值。只要你从未从该地址消费，你的公钥就会隐藏在 SHA-256 墙后面，量子攻击者无从下手。只有在消费的瞬间，公钥才会在链上暴露。那个窗口——从广播交易到被挖出的几秒或几分钟——就是易受攻击的面，而且非常小。

Solana 的运作方式不同。Solana 账户地址就是公钥。没有哈希过程。Ed25519 公钥即地址，从账户获得资金的那一刻起就在链上可见。攻击 Solana 的加密相关量子计算机不需要等待用户进行交易。它可以随时、并行、无限期地攻击任何有资金的账户。

Project Eleven 的分析给出了一个数字：在量子场景下，100% 的 Solana 网络都是脆弱的，而比特币和以太坊只有较小一部分已消费并暴露公钥的地址子集处于暴露状态。这不是一个小细节。它将迁移的紧迫性提高了几个数量级。比特币可以理直气壮地说“如果你不移动你的币，你就是安全的”。Solana 不能。

威胁有多真实？2026 年 4 月的 Q-Day 奖金​

对这一切的标准反对意见是，能够破解真实加密技术的量子计算机仍需 10-15 年的时间，所以现在没必要恐慌。但 2026 年 4 月的两条新闻让这一反对意见变得难以立足。

首先，一名独立研究人员利用公开可用的量子硬件破解了 15 位椭圆曲线密钥，从而领取了 Project Eleven 价值一个比特币的 Q-Day 奖金——这是迄今为止针对椭圆曲线密码学最大规模的公开量子攻击。15 位不等于 256 位，差距巨大。但这次演示意义重大，因为它标志着跨越了从理论到可执行的门槛，且是在按小时租用的硬件上完成的。

其次，由以太坊基金会研究员 Justin Drake 和斯坦福大学的 Dan Boneh 共同撰写的谷歌量子 AI 论文，大幅下调了破解真实加密货币密钥所需的量子比特估值。之前的共识一直徘徊在 2,000 万个物理量子比特左右。而新的分析显示：少于 50 万个物理量子比特，其中一种设计建议约 26,000 个量子比特的系统即可在“几天内”破解比特币的加密。另一篇由谷歌主导的论文模拟了量子机器在约 9 分钟内从暴露的公钥推导出私钥。

这些仍是未来的系统。IBM 目前最大的芯片是 1,121 个量子比特的 Condor。从 1,121 个嘈杂量子比特到 26,000 个容错量子比特是真实存在的工程挑战，并非一蹴而就。但时间表被压缩了，而压缩时间表的人正是制造这些机器的研究人员。对于管理加密资产托管的机构来说，“现在存储，以后解密”的风险——即今天捕获链上公钥以便在硬件成熟时进行攻击——已不再是一个假设。

Falcon：两大 Solana 客户端独立选择的折衷方案​

如果量子安全迁移是不可避免的，且 Dilithium 级别的签名膨胀难以承受，那么 Solana 有一个现实的答案：选择最小的 NIST 批准的后量子方案并围绕它进行工程设计。这个答案就是 Falcon。

使 2026 年 4 月 27 日 Solana 基金会路线图变得有趣的地方不在于选择本身 —— 而是 Anza 和 Jump 的 Firedancer 独立选择了 Falcon。这两个旗舰级 Solana 客户端并没有协调这一决定。他们评估了相同的权衡空间 —— 签名大小、验证成本、密码库的成熟度、硬件加速潜力 —— 并最终趋于一致。在两个团队存在诸多分歧的碎片化客户端生态中，这种趋同是一个强烈的信号。

Falcon 是基于 NTRU 的格密码（lattice-based）方案。NIST 将其作为 FIPS 206 的一部分（以 FN-DSA 的名称）进行了标准化。其签名为 666 字节，大约是 Ed25519 的 10 倍 —— 虽然令人心痛，但比 Dilithium 的 2.4 KB 或 SLH-DSA 的数 KB 规模要小一个数量级。验证速度很快。此外，Firedancer 报告称，其流水线中优化的 Falcon 实现运行速度可能比目前的椭圆曲线替代方案 快 2-3 倍，这表明最初 90% 的吞吐量崩塌可能只是最坏情况的上限，而非最终目标。

Falcon 确实存在成本。签名比验证更昂贵 —— 独立基准测试显示，某些后量子方案的签名成本大约是 Ed25519 的 5 倍。Falcon 的签名涉及高斯采样（Gaussian sampling），众所周知，这很难在恒定时间内实现，历史上一直存在侧信道风险。围绕 Falcon 的密码库生态比 ECC 更加年轻。这些都不是致命障碍，但都需要投入工作。

Solana 无法回避的迁移问题​

Solana 基金会发布的路线图是分阶段的，且故意模糊了日期：继续研究威胁、评估 Falcon 及其替代方案、在需要时为新钱包引入后量子签名，然后迁移现有钱包。每一步都包含一个基金会尚未准备好公开讨论的问题。

新钱包是简单的部分。 Solana 可以引入一种新的账户类型，通过功能标志（feature flag）进行限制，并允许用户选择加入。在过渡期内，协议可以同时接受 Ed25519 和 Falcon 签名。

迁移现有钱包才是链面临失败的地方。 Solana 拥有数千万个有资金的账户。每一个都是未来量子计算机攻击者可以瞄准的公钥。迁移要求每个用户构造一笔交易，证明对旧密钥的所有权，并将账户绑定到新的后量子密钥。丢失助记词、弃用钱包或已去世的用户无法进行迁移。随后协议将面临与比特币完全相同的困境 —— 正如 2026 年 3 月围绕 BIP-360 “冻结还是被盗”的辩论中所阐述的那样 —— 即在冻结未迁移账户（有争议）和将其留作建造出第一台密码学相关机器者的“量子免费午餐”（同样有争议）之间做出选择。

经济影响面是巨大的。 SOL 的流通供应量约为 5.4 亿枚代币。很大一部分存在于多年未动过的地址中。市场、DAO、金库、沉睡的巨鲸钱包 —— 每一个最终都需要由可能存在或已不存在的密钥持有者进行链上操作。迁移不是一个技术特性；它是一个多年的协调问题，没有明确的截止日期，没有明确的权威机构，对于错过窗口期的账户也没有明确的补救措施。

Solana 的方法与比特币和以太坊的对比​

三大巨头正从完全不同的起点向抗量子性迈进。

比特币 (BIP-360 / P2QRH)：Pay-to-Quantum-Resistant-Hash 创建了一种新的地址类型，使用 Falcon 和 Dilithium 签名，结构类似于 P2TR，但没有量子易受攻击的密钥路径。BTQ Technologies 于 2026 年 3 月在 Bitcoin Quantum Testnet v0.3.0 上部署了 BIP-360。比特币的挑战在于保守主义 —— 达成共识以激活增加新地址类型的软分叉很慢，而且关于迁移的辩论（针对中本聪时代代币的冻结还是被盗）在政治上充满了争议。但比特币的哈希公钥结构为它赢得了 Solana 所没有的时间。

以太坊 (EIP-7701 + EIP-8141)：以太坊并非在全协议范围内进行密码学切换，而是利用原生账户抽象。EIP-7701 启用了智能合约账户验证逻辑，而 EIP-8141 允许账户通过抽象层轮换到量子安全认证方案。权衡之处在于：以太坊获得了一条更平滑的迁移路径，没有特定的切换日（flag day），但安全性取决于智能账户的实现，而非统一的协议保证。以太坊可以逐个账户、逐渐迁移，而无需硬分叉。

Solana (Falcon + 分阶段推出)：介于两者之间。协议必须原生支持新的签名方案（比以太坊的抽象方法更具侵入性），但每个账户的迁移看起来更像以太坊的渐进模式，而非比特币的地址类型切换。性能约束是其他主流链都没有面临的独特压力。

另一个值得注意的方法：Circle 的 Arc 和类似的量子原生 L1 通过从创世之初就设计后量子签名，完全跳过了改造。他们预先支付了带宽成本，永远不需要迁移。如果 Solana 的 Falcon 迁移拖到 2027-2028 年，而 Arc 级别的链在出厂时就内置了抗量子性，那么目前认为 Solana “足够快”的机构渠道可能会寻找新家。

这对开发者和基础设施意味着什么​

对于应用开发者来说，直接的实际影响很小。Falcon 迁移将通过标准的 Solana 协议升级落地，开发库将对这些变化进行抽象化处理，大多数 dApp 无需了解其用户使用的是哪种签名方案。更大的二阶效应在于开发者对交易吞吐量、费用可预测性以及账户状态大小的假设。

如果 Falcon 的优化路径能维持 Firedancer 所报告的 2-3 倍提升，Solana 落地迁移时的吞吐量损失可能仅为 30-60%，而非 90%。对于那些围绕 Solana 当前单次交易成本底线构建的高频用例——如永续合约 DEX、链上订单簿、AI 代理执行循环——这仍然具有重要意义。

对于基础设施提供商来说，情况则更为严峻。索引器、RPC 提供商和存档节点运营商需要为随着签名尺寸变大而同步增长的账本数据预留预算。推送账户更新的 WebSocket 订阅在每次事件中将传输更多字节。任何运行 Solana 验证者硬件的人员都需要重新评估 Turbine 传播的带宽假设。

对于正在评估在哪条链上构建长周期基础设施的机构而言，现在的选择变得更加困难。Solana 的速度是其竞争护城河，而量子迁移直接冲击了这一优势。对冲策略是选择那些迁移路径最短、架构成本最低的链。这可能意味着基于 Falcon 的链将优于基于 Dilithium 的链，基于账户抽象的迁移将优于协议范围内的统一切换，而量子原生 L1 将优于改造版——直到真正的量子硬件出现，理论变为现实。

身份定位问题​

在密码学的背后，隐藏着一个更深层次的问题：迁移之后，Solana 的定位是什么？

该网络的市场地位建立在其他链无法企及的绝对速度底线之上。即使这个底线降低 30%，Solana 依然很快——但它与 Aptos、Sui、Sei 等高性能 L1 阵营的距离，将比发布以来的任何时候都更近。差异化正在缩小。“Solana 具有独特的速度优势”这一说辞将演变为“Solana 是几条快速区块链之一”。

这未必是件坏事。一个速度慢了 30% 但具备量子安全性、且按交易量计仍是最活跃的链，是一个走向成熟而非衰退的网络。但该团队在过去五年里将每一个架构选择都框定为为吞吐量服务，而后量子时代迫使他们进行重新定位。速度不再是架构优化的唯一目标，对抗未来硬件的安全防护现在成为了一个同等重要的约束条件。

Anza 与 Firedancer 在 Falcon 方案上的趋同表明开发者生态系统已经接受了这一点。接下来的两年将揭示用户群、机构买家和投机叙事是否也会达成同样的共识。

BlockEden.xyz 为 Solana 及其他 27+ 条链提供企业级 RPC 和索引器基础设施。随着后量子迁移重塑开发者所依赖的性能假设，欢迎探索我们的基础设施服务，在为未来设计的基石上进行构建。

资料来源​

BIP-361：自 SegWit 以来比特币最具争议的提案

· 阅读需 14 分钟
Dora Noda
Dora Noda
Software Engineer

一小群比特币开发者刚刚提出了一项在五年前还不可思议的提议：在未来的量子计算机将其席卷到公开市场之前，蓄意冻结约 650 万枚 BTC，其中包括整个中本聪时代的储备。

欢迎来到 BIP-361 —— 这项提议迫使比特币在两个最神圣的价值之间做出选择：不可篡改性和生存。

当 AI 代理掌握私钥：为什么 Mind Network 的 FHE 押注可能定义下一个 3110 亿美元

· 阅读需 11 分钟
Dora Noda
Dora Noda
Software Engineer

目前，有 25 万个自主代理在加密轨道上路由价值。它们涉及的稳定币供应量高达 3110 亿美元。然而，目前还没有一个生产系统能够回答财务主管在交出钱包前会问的最简单问题：“我能否证明该代理是在我的数据上进行推理，而包括代理宿主在内的任何人都无法读取这些数据？”

这个问题是 2026 年 4 月流传的每一份“代理经济”融资计划书中的软肋。Web3Caff 发布的一份长达 19,000 字的研究报告将 Mind Network 填补到了这一空白中，并认为全同态加密（ FHE ）是当今受 TEE 保护的代理钱包与可靠的“不可信机器经济”之间缺失的原语。这一论点非常大胆，但也值得认真对待，因为其他替代方案——必须信任的 TEE 、无法推理的 ZK 证明，以及滞后于漏洞利用数周的声誉系统——各自都存在结构性上限。

Project Eleven 的 2000 万美元豪赌：深度解析 Q-Day 前夕的比特币抗量子化竞赛

· 阅读需 16 分钟
Dora Noda
Dora Noda
Software Engineer

如果赋予量子计算机强大能力的物理学原理，同时也可能清空中本聪（Satoshi）的钱包——以及随之而来的价值约 4400 亿美元的比特币，那会怎样？2026 年 1 月，一家名为 Project Eleven 的纽约初创公司以 1.2 亿美元的估值筹集了 2000 万美元，旨在确保在那一天到来之前，防御措施已经准备就绪。在 Castle Island Ventures、Coinbase Ventures、Variant 和 Balaji Srinivasan 的支持下，本轮融资标志着首个进入“量子安全加密（quantum-safe crypto）”领域的严肃资本周期——也标志着比特币最隐秘的生存风险正式成为了一个可获投资的行业。

多年来，“量子风险”一直存在于学术论文的脚注中。但在 2026 年，它进入了风险投资条款清单、NIST 标准以及一场实时的 BIP（比特币改进提案）辩论中。以下是原因，以及目前正在构建的实际内容。

让量子威胁成真的融资轮次​

Project Eleven 的 A 轮融资于 2026 年 1 月 14 日结束，由 Castle Island Ventures 领投，Coinbase Ventures、Variant、Fin Capital、Quantonation、Nebular、Formation、Lattice Fund、Satstreet Ventures、Nascent Ventures 和 Balaji Srinivasan 参投。这笔 2000 万美元的资金将 Project Eleven 的投后估值推高至 1.2 亿美元，使其在 16 个月内的总融资额达到约 2600 万美元——该公司此前曾在 2025 年中期筹集了 600 万美元的种子轮融资。

创始人 Alex Pruden 曾是美国陆军步兵和特种作战部队军官，他简洁地阐述了公司的使命：数字资产需要有组织地迁移到抗量子密码学，而必须有人来制造这些“铁锹和铲子（基础工具）”。

值得关注的不只是融资金额，还有投资者的组合。Castle Island 和 Coinbase Ventures 通常不会为纯投机性的理论开出七位数的支票。Variant、Nascent 和 Lattice 是加密原生基金，而 Quantonation 则是专注于量子技术的投资者。他们共同释放了一个信号：量子安全基础设施已从研究层面的好奇心跨越到了预算开支项——而且比特币超过 1.4 万亿美元的市值，足以成为在攻击出现之前就资助防御的动力。

为什么比特币的密码学突然面临紧迫倒计时​

比特币通过 secp256k1 曲线上的椭圆曲线数字签名（ECDSA）保护着约 1970 万枚代币。ECDSA 在传统硬件上是无法破解的，但 Shor 算法（一种 1994 年提出的量子算法）可以在多项式时间内分解大整数并计算离散对数。一旦出现了足够大且具有容错能力的量子计算机，每一个暴露的比特币公钥都将变成一个等待被获取的私钥。

这种威胁蛰伏了数十年，因为硬件看起来还遥不可及。但这个时间窗口在 2026 年 3 月崩溃了。

3 月 31 日，Google Quantum AI 发布了新的资源估算，显示破解比特币的 secp256k1 曲线需要少于 1,200 个逻辑量子比特（logical qubits）和大约 9000 万个 Toffoli 门——这相当于在超导表面码架构（superconducting surface-code architecture）上需要不到 500,000 个物理量子比特。之前的估算大约是 900 万个物理量子比特。一篇论文就将需求降低了 20 倍。

一位谷歌研究员给出了这一里程碑的概率：到 2032 年，量子计算机有至少 10% 的机会能从暴露的公钥中恢复 secp256k1 ECDSA 私钥。谷歌官方目前已敦促开发者在 2029 年之前完成迁移。

目前的硬件距离 50 万个量子比特还很遥远。谷歌的 Willow 芯片目前拥有 105 个物理量子比特。IBM 的 Condor 在 2023 年跨越了 1,121 个量子比特的门槛，而该公司的 Nighthawk 在 2025 年达到了 120 个逻辑量子比特。但是，“遥不可及”与“令人不安的临近”之间的距离，正是保险定价生存的空间——如果迁移需要十年时间，那么比特币的风险暴露就不是 2035 年才需要面对的问题。

哪些资产真正处于风险中——而哪些不是​

并非所有比特币都面临同样的风险。脆弱性取决于某种代币的公钥是否曾在链上广播过。

  • 支付至公钥 (P2PK)：比特币最早几年的输出——包括中本聪挖掘的大约 100 万枚 BTC——直接在脚本中嵌入了原始公钥。这些公钥永久暴露，为量子攻击者提供了一个长期的、无防御的攻击路径。
  • 重用地址：任何类型的重用地址在第一笔支出交易确认的那一刻就会暴露公钥，此后任何剩余余额都会变得脆弱。
  • 现代地址 (P2PKH, P2WPKH, 带密钥路径支出的 P2TR)：在第一次支出之前只显示哈希值。它们在冷钱包中是安全的，但在交易广播期间会失去保护——在这个时间窗口内，拥有量子能力的对手可能会进行抢先交易（front-run）。

总量是惊人的。据估计，约有 650 万至 700 万枚 BTC 存储在量子脆弱的 UTXO 中，按当前价格计算价值约 4400 亿美元。这并不是隐藏在订单簿角落里的尾部风险。这是加密领域第五大“资产类别”，而其所有权属于尚未露面的攻击者。

正在竞争的三种缓解方案​

Project Eleven 的 2000 万美元资金并非孤立投入。它正处于关于比特币如何实际转型的三方辩论中心，而给出的答案各不相同。

1. 迁移工具：Project Eleven 的 Yellowpages​

Project Eleven 的旗舰产品 Yellowpages 是一个后量子密码学注册表。用户利用基于格的算法（lattice-based algorithms）生成混合密钥对，创建将新的量子安全密钥与现有 Bitcoin 地址相关联的密码学证明，并将该证明的时间戳记录在可验证的链下账本上。当（或如果）Bitcoin 采用后量子地址标准时，Yellowpages 的用户已经预先提交了可以申领其代币的密钥。

至关重要的是，Yellowpages 是目前唯一实际部署在 Bitcoin 生产环境中的后量子密码学解决方案。该公司还为 Solana 构建了一个后量子测试网——在其他人还在起草白皮书时，悄无声息地将自己定位为跨链迁移供应商。

2. 协议级地址标准：BIP-360​

由开发者 Hunter Beast 倡导的 BIP-360 提出了一种名为 Pay-to-Merkle-Root (P2MR) 的新 Bitcoin 输出类型。P2MR 的功能类似于 Pay-to-Taproot，但剥离了容易受量子攻击的密钥路径支出（key-path spend），取而代之的是 FALCON 或 CRYSTALS-Dilithium 签名——这两种方案都是被认为具有量子抗性的基于格的方案。

如果通过软分叉激活，BIP-360 将为用户提供一个迁移目的地。然而，它并不能自动解救已经暴露的代币。

3. 代币冻结：BIP-361​

于 2026 年 4 月提出的 BIP-361 是最具争议的回应：冻结大约 650 万枚处于量子威胁下的 BTC——包括中本聪（Satoshi）的一百万枚代币——以防止攻击者进行抢跑（front-run）交易。恢复将仅限于从 BIP-39 助记词生成的钱包。P2PK 输出和其他早期格式将实际上被销毁。

该提议将 Bitcoin 社区沿其最古老的裂痕分离开来。一派认为不可篡改性和公信中立性是神圣不可侵犯的——即使攻击者最终窃取了这些代币。另一派则反驳称，允许 4400 亿美元在单个周末迁移到敌对势力手中将是货币史上最大的财富转移，而且 Bitcoin 固定供应模型的完整性本身就是值得捍卫的属性。

目前没有完美的答案。要么 Bitcoin 接受 650 万枚代币可能被悄无声息盗取的事实，要么接受通过协议级干预冻结代币，而这将建立一个网络在过去 17 年里一直极力避免的先例。

NIST FIPS 203/204 设定加密默认标准​

技术基石现在已经存在，因为 NIST 已经将其最终定稿。2024 年 8 月 13 日，该机构发布了三项后量子密码学标准：

  • FIPS 203 (ML-KEM)：基于模块格的密钥封装机制，衍生自 CRYSTALS-Kyber。用于取代 RSA 和 ECDH 进行密钥交换。
  • FIPS 204 (ML-DSA)：基于模块格的数字签名算法，衍生自 CRYSTALS-Dilithium。用于取代 ECDSA 和 RSA 进行签名。
  • FIPS 205 (SLH-DSA)：无状态基于哈希的数字签名标准，衍生自 SPHINCS+，提供了一种保守的基于哈希的签名替代方案。

美国国家安全局（NSA）的 CNSA 2.0 路线图强制要求在 2027 年前为新的机密系统部署后量子加密，并在 2035 年前完成全面过渡。NIST 自身预计关键基础设施的采用周期为 5-10 年。Cloudflare 的目标是到 2029 年实现全面的后量子覆盖。

Bitcoin 的迁移时间表本应处于这个范围之内。困难在于，主权国家的 IT 部门可以强制执行最后期限。而一个无需许可的去中心化网络必须说服成千上万个独立的参与者在没有 CEO 的情况下进行协作。

Optimism 对标：Ethereum 的超级链（Superchain）如何应对​

Bitcoin 在这场竞赛中并不孤单。2026 年 1 月底，Optimism 为其超级链（Superchain）发布了一份为期 10 年的后量子路线图——这形成了一个有用的对比。

OP Stack 计划分为三层：

  • 用户层：利用 EIP-7702 让外部账户 (EOA) 将签名权限委托给能够验证后量子签名的智能合约账户，而不必强制用户放弃现有地址。
  • 共识层：将 L2 排序器（sequencers）和批处理提交者（batch submitters）从 ECDSA 迁移到后量子方案。
  • 迁移窗口：在 2036 年 1 月截止日期前，同时支持 ECDSA 和后量子签名。

Optimism 还在游说 Ethereum 主网，希望其承诺将验证者从 BLS 签名和 KZG 承诺中迁移出来的时间表。据报道，以太坊基金会已参与其中。

架构上的分歧具有启发性。Ethereum 的账户抽象路线图（以及 Solana 的运行时灵活性）使后量子迁移更像是一次智能合约升级。而 Bitcoin 的 UTXO 模型和极简的脚本语言使其成为一场软分叉辩论，需要在开发者、矿工和经济节点之间达成社会共识。同样的问题产生了截然不同的治理挑战。

投资者论点：保险溢价定价​

为什么在今天还没有量子计算机能破解 Bitcoin 的情况下，2000 万美元的 A 轮融资在 1.2 亿美元的估值下是合理的？

这背后的逻辑是精算。如果你认为 Q 日（Q-day）在 2032 年之前发生的概率为 10%，并将其应用于 1.8 万亿美元的 Bitcoin 和 Ethereum 风险敞口，预期损失将超过 1800 亿美元。即使是对该风险敞口收取 1% 的保险溢价，在托管商、交易所、钱包和受监管的代币化平台中也能产生 18 亿美元的经常性收入。Project Eleven 只需要占领其中的一小部分，就足以支撑数十亿美元的估值。

竞争格局非常稀疏。Zama 正在构建全同态加密 (FHE) 原语，而非签名替代方案。Mina 在设计上对后量子友好，但它是一个独立的 L1，而非迁移供应商。AWS KMS 和 Google Cloud HSM 最终将提供开箱即用的后量子签名服务——但追求通用型 PQC 服务的大型云服务商，与实际为 Bitcoin 交付了生产级工具的领域专家团队不可同日而语。

Project Eleven 面临的风险与任何“为必然性而建的基础设施”初创公司相同：如果迁移耗时太长，客户就不会为此预留预算；如果发生得太快，在 Project Eleven 建立分销渠道之前，它就会被云供应商吞噬。A 轮融资为其赢得了在尴尬的过渡期内成为默认选择的资金支持。

建设者、托管机构和持有者现在应该做什么​

实际步骤虽枯燥乏味，且无需等待比特币治理：

  1. 审计地址重用。任何曾经支出过且仍持有余额的地址都在广播其公钥。将资金转移到你从未进行过交易的新地址。
  2. 避免 P2PK 和传统格式。如果你的托管技术栈仍涉及这些格式，请计划迁移到单次使用的现代地址类型。
  3. 跟踪 BIP-360 / BIP-361 的进展。对于长期持有者来说，激活时间表比现货价格更重要。
  4. 对于机构：现在就开始调研阶段。NIST 和美联储都建议在两到四年内完成资产清点和迁移规划。这包括 HSM 供应商路线图、KYT 流程和财务政策。
  5. 对于建设者：设计具有加密敏捷性（crypto-agility）的新系统。如今硬编码 ECDSA 的协议将比那些在接口后抽象化签名方案的协议支付更高的迁移成本。

即使 Q-day 永远不会以 Google 论文中所描述的形式到来，其中的大多数步骤也是有用的。它们同样能减少针对传统威胁的攻击面。

大局观：量子迁移是新的“千年虫”——只不过它是真实存在的​

千年虫（Y2K）的比喻被过度使用了，但在结构上是恰当的。这是一个长期预警、技术性强、重治理、具有外部强制期限的升级，成功是无形的，而失败则是灾难性的。据估计，全球经济为补救 Y2K 花费了 3000 亿至 6000 亿美元。后量子迁移的成本可能会更高，因为安装基数更大，且正在升级的系统包括没有任何一家公司可以控制的公有区块链。

Project Eleven 的 2000 万美元融资是对比特币无法再忽视时间表的首次严肃承认。Optimism 的 10 年路线图是主要 L2 的首次严肃承认。Google 3 月 31 日的论文则是量子领域巨头首次严肃承认时间线比行业假设的要短。

到 2027 年，预计会出现三件事：至少有一个与后量子地址类型相关的 BIP 达到激活状态（BIP-360 是领先候选者），每个主要的机构托管商都会发布量子准备声明，以及至少还有两家以上的初创公司以 Project Eleven 的模式完成融资。到 2030 年，后量子签名将成为每份企业加密采购 RFP（招标书）中的必选项。

Q-day 可能会也可能不会按照 Google 的时间表到来。抵御它的迁移已经开始，而抢占先机的窗口期正在迅速缩小。

BlockEden.xyz 在 15+ 条链上运营企业级 RPC 和索引基础设施。随着后量子标准的成熟和链级迁移的展开，我们的节点是新签名方案、地址类型和双重支持窗口在生产环境中实际运行所需的层级。探索我们的 API 市场，在为加密转型的长远发展而设计的基础设施上进行构建。

来源​