量子计算声称：3万量子比特或可在1小时内破解比特币密钥

量子计算公司预测：约3万量子比特或可在1小时内破解比特币私钥

法国量子计算公司Alice & Bob于周四发布了一项研究，声称基于其“猫量子比特”（Cat Qubits）技术构建的、拥有约30,000个物理量子比特的计算机，能够在大约一小时内破解比特币的私钥。

这一估算数据源自该公司提交至IACR密码学预印本档案（IACR Cryptology ePrint Archive）的一份预印本论文。该研究针对的是比特币签名背后的secp256k1椭圆曲线算法，并指出攻击所需的物理量子比特数量不超过29,588个，耗时约为61.8分钟。论文将这些数字视为上限，因为比特币的计算过程复用了为破解RSA-2048加密而编译的电路。

超导设计原理

“猫量子比特”是Alice & Bob自主研发的一种超导量子比特设计。该技术通过在硬件层面抑制比特翻转（bit-flip）错误，使得纠错机制只需专注于纠正相位翻转（phase-flip）。这种设计显著降低了每个经过纠错的逻辑量子比特背后所需的物理量子比特数量。早在2023年，该公司的研究人员曾估算，破解256位椭圆曲线对数运算需要126,133个猫量子比特，耗时九小时。

相比之下，Google Quantum AI在3月30日发布的白皮书中区分了两种类型的攻击场景：“即时花费攻击”（On-spend attacks）和“静态余额攻击”（At-rest attacks）。前者旨在区块确认交易前拦截资金；后者则针对链上已公开的公钥，攻击者拥有数天甚至更长的时间进行操作。

谷歌的设计方案仅需不到50万个物理量子比特。如果预先准备就绪，一旦公钥公开，该方案可在约九分钟内破解单个钱包的私钥，从而实现即时花费攻击。而Alice & Bob的方案虽然所需量子比特数量远少于谷歌方案，但运行时间更长。由于一小时以上的攻击时长超过了比特币10分钟的出块时间，因此正在进行中的交易仍处于安全范围之外。

早期地址与潜在目标

谷歌还统计发现，链上存在超过170万个比特币支付到公钥（P2PK）脚本的地址。这是一种早期的地址类型，会将公钥直接暴露在链上。这些地址中包含被视为量子攻击者首要目标的“ Satoshi时代”遗留币。

估算假设与现实差距

Alice & Bob的数据基于一个关键假设：计算过程中没有发生比特翻转错误，这相当于将比特翻转的时间间隔延长至约一个世纪。然而，如果比特翻转发生的频率达到每小时一次，那么对于支撑互联网大部分加密体系的RSA-2048算法，所需的量子比特数量将从22,593个激增至约45,000个。

目前，该公司的芯片规模与此仍有巨大差距。其在10月20日公布的最新成果属于法国政府量子计算计划PROQCIMA的第一阶段演示。这些结果来自三个演示项目，其中最大规模的演示在12量子比特芯片上进行。目前，其逻辑错误率尚未低于纠错阈值。

未来展望与应对建议

Alice & Bob预计，硬件性能的提升与资源需求的下降将在2030年代初趋于收敛。公司敦促各组织现在开始向抗量子密码学（Post-Quantum Cryptography）迁移。在比特币的抗量子提案中，Jameson Lopp与其他五名开发者提出了BIP-361，该提案建议分阶段冻结易受量子攻击的传统地址，以保障资产安全。