AI 代理将比特币量子攻击步骤的成本降低了 86%

据一份 9 月 9 发表的论文显示，超过 100 名研究人员利用 AI 编码代理，将比特币量子攻击中一个非常关键部分的资源评分降低了 86.1%。这一进展并非破解比特币或恢复私钥的突破。相反，它表明只有软件优化才能大幅降低椭圆曲线算术所需的量子资源。

主要问题不在于“Q-Day”即将迅速到来。然而，真正的问题是，每一项降低量子攻击成本的技术进步，都会让比特币和各种其他区块链拥有更少的时间来进行成功且安全的后量子安全过渡。

什么 ECDSA.Fail 实际上进行了优化

Eigen Labs 于 5 月下旬推出了 ECDSA.Fail，旨在挑战使 secp256k1 点加法电路更高效。不同的设计通过将被使用的最大逻辑量子比特数与执行的平均 Toffoli 门数相乘来进行评分。

分数从107.5亿降至14.96亿。最高分数使用了1,151个逻辑量子比特和约130万个Toffoli门，但后来的尝试中门计数降至一百万以下，其中一个设计仅需813个量子比特。据Decrypt报道，研究人员正在探索问题背后的数学原理，并没有真正破解比特币钱包。

“虽然其时机仍不确定，但摆脱易受攻击的密码学的工作已经开始，”研究人员写道。

完整攻击仍需要一台尚未制造的机器

IonQ的端到端估算显示，实现完整的secp256k1攻击大约需要1,457个逻辑量子比特和3900万个Toffoli门。结果对应于19,397个物理囚禁离子量子比特，需要约25.7天的处理时间。IonQ声称，所涉及的硬件符合该公司为2028年左右制定的计划。

根据Google研究人员的计算，要么需要1,200个逻辑量子比特和9000万个Toffoli门，要么需要1,450个逻辑量子比特和7000万个门，才能有效进行完整的secp256k1攻击。他们的电路可以在几分钟内运行，使用少于50万个物理量子比特，这得益于超导模型。

所引用的数字不能直接与ECDSA.Fail进行比较。原因是ECDSA.Fail进行的优化程序仅适用于点加子程序。真实攻击所需的容错硬件尚不存在。

比特币已暴露的地方

根据Glassnode的数据，有604万枚BTC面临量子攻击风险，占当前供应量的30.2%，因为相应的公钥在区块链上可用。其中，192万枚BTC在输出类别中暴露，412万枚BTC在行为方面暴露，例如由于地址重用。

第二个风险出现在隐藏公钥在花费时变为公开的时刻。足够快的计算机理论上能够在交易确认之前计算出私钥。

有帮助的补丁及其局限性

BIP 360引入了一种名为Pay-to-Merkle-Root的新类型输出，消除了Taproot密钥路径支出选项的威胁，该选项易受量子攻击。虽然这将保护公钥可见时间较长的硬币，但不幸的是，它没有解决交易在内存池中且尚未确认时的有限时间内的量子风险，也没有提供将硬币自动迁移到新格式的机制。

StarkWare 此前已在主网上演示了量子安全的比特币交易，Cryptopolitan 此前曾报道过。该方法需要数小时的链下 GPU 工作，使用非标准的矿工直连通道，且无法保护那些公钥已暴露的硬币。

Avihu 的突破之所以重要，是因为它提供了我们以及资产本身所需的心理安慰。

—— StarkWare 首席执行官 Eli Ben-Sasson

在实际操作中，它提供的是喘息空间，而非治愈方案。Ben-Sasson 仍然倾向于协议层面的解决方案。

迁移窗口，而非机器，才是风险所在

更大的挑战在于治理。正如 Coinbase 量子计算与区块链独立咨询委员会在一份 报告 中所指出的，分布在约 20,000 个早期 P2PK 公钥中的近 170 万枚 BTC 存储在据信由 Satoshi 本人或那些丢失访问权限的人控制的钱包中。为这些硬币的迁移设定截止日期可能会导致它们被冻结，或者存在有人破解它们并窃取它们的風險。

Ethereum 的目标是在 2029 年 12 月之前实现执行、共识和数据层面的量子抗性；此外，该公司还打算尽早为 2030 年的 Q-Day 做好准备。与此同时，G7 网络专家组 呼吁在金融部门协调开展后量子迁移工作。

因此，比特币在面临任何量子问题之前，首先要面对市场风险，特别是关于迁移流程、托管方法和休眠硬币的模糊性，这些问题可能会在能够解密 secp256k1 的技术被创造出来之前就引发问题。