AI编码代理将比特币量子攻击关键资源评分降低86%

百余名研究人员利用AI编程代理将量子攻击比特币的资源评分降低86.1%

根据9月9日发表的一篇论文，超过100名研究人员利用AI编码代理，成功将针对比特币的量子攻击中关键部分的资源评分降低了86.1%。这一进展并非意味着黑客技术取得了突破，能够破解比特币或恢复私钥。相反，它表明仅通过软件优化，即可大幅降低椭圆曲线运算所需的量子资源。

真正的问题不在于“Q-Day”（量子计算威胁日）是否迫在眉睫，而在于每一次降低量子攻击成本的技术进步，都会让比特币及其他各类区块链用于实现安全、成功的后量子安全过渡的时间窗口变得更短。

ECDSA.Fail 实际优化了什么

Eigen Labs 于5月下旬推出了 ECDSA.Fail，旨在挑战如何使 secp256k1 点加电路更加高效。其评分机制是将使用的最大逻辑量子比特数量与执行的平均 Toffoli 门数量相乘得出。

7月26日，该评分从107.5亿降至14.96亿。最高评分使用了1,151个逻辑量子比特和约130万个 Toffoli 门，但随后的尝试中，门的数量降至百万以下，其中一种设计仅需813个量子比特。据 Decrypt 报道，研究人员正在探讨问题背后的数学原理，并未真正破解比特币钱包。“尽管时间仍不确定，但摆脱易受攻击密码学的迁移工作已经开始，”研究人员写道。

完整攻击仍需尚未制造出的机器

IonQ 提供的端到端估算显示，要实现完整的 secp256k1 攻击，大约需要1,457个逻辑量子比特和3,900万个 Toffoli 门。这一结果对应19,397个物理囚禁离子量子比特，处理时间约为25.7天。IonQ 声称，相关硬件符合该公司预计在2028年左右实现的计划。

谷歌研究人员进行的计算则表明，要高效实施完整的 secp256k1 攻击，要么需要1,200个逻辑量子比特和9,000万个 Toffoli 门，要么需要1,450个逻辑量子比特和7,000万个门。得益于超导模型，其电路可在少于50万个物理量子比特的情况下运行数分钟。

这些数字不能直接与 ECDSA.Fail 的结果进行简单比较。原因是 ECDSA.Fail 的优化程序仅适用于点加法子程序。真实攻击所需的容错硬件目前尚不存在。

比特币已暴露的风险区域

据 Glassnode 数据显示，有604万枚BTC面临量子攻击风险，占当前供应量的30.2%，因为其对应的公钥已在区块链上公开。其中，192万枚BTC暴露于输出类别中，另有412万枚BTC因行为模式（如地址复用）而暴露。

第二种风险出现在隐藏公钥在支出时变为公开的时刻。理论上，足够快的计算机能够在交易确认前计算出私钥。

补丁的作用及其局限

BIP 360 引入了一种名为“Pay-to-Merkle-Root”的新输出类型，消除了 Taproot 密钥路径支出选项面临的威胁，该选项易受量子攻击。虽然这将保护那些公钥长期可见的资金，但它未能解决交易进入内存池后短时间内存在的量子风险，也未提供将资金自动迁移到新格式的机制。

此前 Cryptopolitan 曾报道，StarkWare 也在主网上演示了量子安全的比特币交易。该方法需要数小时的链下GPU工作，使用非标准的矿工直连路线，且无法保护那些公钥已经暴露的资金。

Avihu 的突破之所以重要，是因为它提供了我们以及资产本身所需要的心理 reassurance（安心感）。—— StarkWare CEO Eli Ben-Sasson

在实际操作中，它提供的是喘息空间，而非治愈方案。Ben-Sasson 仍然倾向于协议层面的解决方案。

迁移窗口，而非机器，才是风险所在

更大的挑战在于治理。正如 Coinbase 独立量子计算与区块链咨询委员会报告所述，约有170万枚BTC分散在约20,000个早期的 P2PK 公钥中，存储在据信由中本聪本人控制或已丢失访问权限的钱包里。为这些资金的迁移设定截止日期可能会导致它们被冻结，或者有人破解并盗取它们。

Ethereum 的目标是在2029年12月前实现执行层、共识层和数据层的全面量子抗性；此外，该公司打算最早在2030年为 Q-Day 做好准备。与此同时，G7 网络专家小组呼吁在金融领域协调推进后量子迁移工作。

因此，在面临任何量子担忧之前，比特币首先要面对市场风险，特别是关于迁移流程、托管方式以及休眠币的模糊性，这些问题可能在能够解密 secp256k1 的技术诞生之前就引发麻烦。