量子計算的進展正在為區(qū)塊鏈網(wǎng)絡帶來新的安全風險。本節(jié)旨在探討旨在應對量子威脅的技術(shù)，并審視比特幣和以太坊如何為這一轉(zhuǎn)變做準備。

核心要點

• Q-Day 情景，即量子計算機能夠攻破區(qū)塊鏈密碼學的情景，估計將在 5 到 7 年內(nèi)到來。貝萊德在其比特幣 ETF 申請文件中也指出了這一風險。
• 后量子密碼學在三個安全層面提供針對量子攻擊的保護：通信加密、交易簽名和數(shù)據(jù)存續(xù)。
• 谷歌和 AWS 等公司已經(jīng)開始采用后量子密碼學，但比特幣和以太坊仍處于早期討論階段。

一項新技術(shù)引發(fā)陌生問題

如果一臺量子計算機能在幾分鐘內(nèi)破解一個比特幣錢包，區(qū)塊鏈的安全性還能維持嗎？

區(qū)塊鏈安全的核心是私鑰保護。要竊取某人的比特幣，攻擊者必須獲取私鑰，這在現(xiàn)有的計算方式下實際上是無法做到的。在鏈上可見的只有公鑰，而即使使用超級計算機，從公鑰推導出私鑰也需要數(shù)百年時間。

量子計算機改變了這種風險狀況。經(jīng)典計算機順序處理 0 或 1，而量子系統(tǒng)可以同時處理兩種狀態(tài)。這種能力使得從公鑰推導出私鑰在理論上成為可能。

專家估計，能夠破 解現(xiàn)代密碼學的量子計算機可能在 2030 年左右出現(xiàn)。這個預計的時刻被稱為 Q-Day，表明距離實際攻擊變得可行還有五到七年的時間。

來源：SEC

監(jiān)管機構(gòu)和主要機構(gòu)已經(jīng)認識到這一風險。2024 年美國國家標準與技術(shù)研究院引入了后量子密碼學標準。貝萊德也在其比特幣 ETF 申請文件中指出，量子計算的進展可能威脅比特幣的安全。

量子計算不再是一個遙遠的理論問題。它已成為一個需要實際準備而非寄希望于假設的技術(shù)問題。

量子計算挑戰(zhàn)區(qū)塊鏈安全

要了解區(qū)塊鏈交易如何運作，請看一個簡單的例子：Ekko 向 Ryan 發(fā)送 1 個 BTC。

當 Ekko 創(chuàng)建一條聲明"我向 Ryan 發(fā)送我的 1 個 BTC"的交易時，他必須附加一個唯一的簽名。這個簽名只能使用他的私鑰產(chǎn)生。

然后，Ryan 和網(wǎng)絡中的其他節(jié)點使用 Ekko 的公鑰來驗證該簽名是否有效。公鑰就像一個可以驗證簽名但無法重新創(chuàng)建簽名的工具。只要 Ekko 的私鑰保持機密，就沒有人可以偽造他的簽名。

這構(gòu)成了區(qū)塊鏈交易安全的基礎。

私鑰可以生成公鑰，但公鑰無法揭示私鑰。這是通過橢圓曲線數(shù)字簽名算法實現(xiàn)的，該算法基于橢圓曲線密碼學。ECDSA 依賴于一種數(shù)學上的不對稱性，即一個方向的計算很簡單，而反向計算在計算上是不可行的。

隨著量子計算的發(fā)展，這道屏障正在減弱。關(guān)鍵要素是量子比特。

經(jīng)典計算機順序處理 0 或 1。量子比特可以同時表示兩種狀態(tài)，從而實現(xiàn)大規(guī)模并行計算。擁有足夠數(shù)量的量子比特，量子計算機可以在幾秒鐘內(nèi)完成經(jīng)典計算機需要數(shù)十年才能完成的計算。

有兩種量子算法對區(qū)塊鏈安全構(gòu)成直接風險。

Shor 算法為從公鑰推導私鑰提供了一條途徑，從而削弱了公鑰密碼學。Grover 算法通過加速暴力搜索，降低了哈希函數(shù)的有效強度。

Shor 算法：直接資產(chǎn)盜竊

當今大多數(shù)互聯(lián)網(wǎng)安全依賴于兩種公鑰密碼系統(tǒng)：RSA 和 ECC。

當今大多數(shù)互聯(lián)網(wǎng)安全依賴于兩種公鑰密碼系統(tǒng)：RSA 和 ECC。它們通過利用整數(shù)分解和離散對數(shù)等困難的數(shù)學問題來抵御外部攻擊。區(qū)塊鏈通過基于 ECC 的橢圓曲線數(shù)字簽名算法使用相同的原理。

以現(xiàn)有的計算能力，破解這些系統(tǒng)需要數(shù)十年時間，因此它們被認為是實際安全的。

Shor 算法改變了這一點。運行 Shor 算法的量子計算機可以高速執(zhí)行大整數(shù)分解和離散對數(shù)計算，這種能力可以破解 RSA 和 ECC。

利用 Shor 算法，量子攻擊者可以從公鑰推導出私鑰，并隨意轉(zhuǎn)移相應地址中的資產(chǎn)。任何曾經(jīng)發(fā)送過交易的地址都面臨風險，因為其公鑰在鏈上變得可見。這將導致數(shù)百萬個地址可能同時面臨風險的場景。

Grover 算法：攔截交易

區(qū)塊鏈安全也依賴于對稱密鑰加密（如 AES）和哈希函數(shù)（如 SHA-256）。

AES 用于加密錢包文件和交易數(shù)據(jù)，找到正確的密鑰需要嘗試所有可能的組合。SHA-256 支持工作量證明難度調(diào)整，礦工需要反復搜索滿足規(guī)定條件的哈希值。

這些系統(tǒng)假設，當一筆交易在內(nèi)存池中等待時，其他用戶沒有足夠的時間在其被打包進區(qū)塊之前分析或偽造它。

Grover 算法削弱了這一假設。它利用量子疊加加速搜索過程，并降低了 AES 和 SHA-256 的有效安全級別。量子攻擊者可以實時分析內(nèi)存池中的交易，并生成一個偽造版本，該版本使用相同的輸入（UTXO）但將輸出重定向到不同的地址。

這導致了交易被配備量子計算機的攻擊者攔截的風險，導致資金被轉(zhuǎn)移到非預期的目的地。從交易所提現(xiàn)和常規(guī)轉(zhuǎn)賬可能成為此類攔截的常見目標。

后量子密碼學

在量子計算時代，如何維持區(qū)塊鏈安全？

未來的區(qū)塊鏈系統(tǒng)需要即使在量子攻擊下也能保持安全的密碼算法。這些算法被稱為后量子密碼學技術(shù)。

美國國家標準與技術(shù)研究院已經(jīng)提出了三項主要的 PQC 標準，比特幣和以太坊社區(qū)都在討論將其采納為長期安全的基礎。

Kyber：保護節(jié)點間通信

Kyber 是一種算法，旨在允許網(wǎng)絡上的兩方安全地交換對稱密鑰。

長期以來支持互聯(lián)網(wǎng)基礎設施的傳統(tǒng)方法，如 RSA 和 ECDH，容易受到 Shor 算法的攻擊，并在量子環(huán)境下有暴露的風險。Kyber 通過使用一種基于格的數(shù)學問題（稱為 Module-LWE）來解決這個問題，該問題被認為即使對量子攻擊也具有抵抗力。這種結(jié)構(gòu)可以防止數(shù)據(jù)在傳輸過程中被攔截或解密。

Kyber 保護所有通信路徑：HTTPS 連接、交易所 API 以及錢包到節(jié)點的消息傳遞。在區(qū)塊鏈網(wǎng)絡內(nèi)部，節(jié)點在共享交易數(shù)據(jù)時也可以使用 Kyber，防止第三方監(jiān)控或提取信息。

實際上，Kyber 為量子計算時代重建了網(wǎng)絡傳輸層的安全性。

Dilithium：驗證交易簽名

Dilithium 是一種數(shù)字簽名算法，用于驗證交易是由私鑰的合法持有者創(chuàng)建的。

區(qū)塊鏈的所有權(quán)依賴于"用私鑰簽名，用公鑰驗證"的 ECDSA 模型。問題在于 ECDSA 容易受到 Shor 算法的攻擊。通過訪問公鑰，量子攻擊者可以推導出相應的私鑰，從而實現(xiàn)簽名偽造和資產(chǎn)盜竊。

Dilithium 通過使用結(jié)合了 Module-SIS 和 LWE 的基于格的結(jié)構(gòu)來避免這種風險。即使攻擊者分析了公鑰和簽名，私鑰也無法被推斷，并且該設計對量子攻擊保持安全。應用 Dilithium 可以防止簽名偽造、私鑰提取和大規(guī)模資產(chǎn)被盜。

它既保護了資產(chǎn)所有權(quán)，也保護了每筆交易的真實性。

SPHINCS+：保存長期記錄

SPHINCS+使用一種多層哈希樹結(jié)構(gòu)。每個簽名通過該樹中的特定路徑進行驗證，并且由于單個哈希值無法被反向推算出其輸入，因此該系統(tǒng)即使對量子攻擊也能保持安全。

當 Ekko 和 Ryan 的交易被添加到區(qū)塊中后，記錄就成為永久性的。這可以比作文檔指紋。

SPHINCS+將交易的每個部分轉(zhuǎn)換為哈希值，創(chuàng)建一個獨特的模式。如果文檔中即使一個字符發(fā)生變化，其指紋也會完全改變。同樣，修改交易的任何部分都會改變整個簽名。

即使幾十年后，任何修改 Ekko 和 Ryan 交易的企圖都會被立即檢測到。盡管 SPHINCS+產(chǎn)生的簽名相對較大，但它非常適合必須長期保持可驗證性的金融數(shù)據(jù)或政府記錄。量子計算機將難以偽造或復制這種指紋。

總之，PQC 技術(shù)在一筆標準的 1 BTC 轉(zhuǎn)賬中構(gòu)建了針對量子攻擊的三層保護：Kyber 用于通信加密，Dilithium 用于簽名驗證，SPHINCS+用于記錄完整性。

比特幣與以太坊：殊途同歸

比特幣強調(diào)不可更改性，而以太坊則優(yōu)先考慮適應性。這些設計理念是由過去的事件塑造的，并影響著每個網(wǎng)絡應對量子計算威脅的方式。

比特幣：通過最小化變更保護現(xiàn)有鏈

比特幣對不可更改性的強調(diào)可追溯到 2010 年的價值溢出事件。一名黑客利用漏洞創(chuàng)造了 1840 億枚 BTC，社區(qū)通過軟分叉在五小時內(nèi)使該交易失效。在這次緊急行動之后，"已確認的交易絕不能更改"的原則成為比特幣身份的核心。這種不可更改性維護了信任，但也使得快速的結(jié)構(gòu)性變更變得困難。

這種理念延續(xù)到比特幣應對量子安全的方法中。開發(fā)人員同意升級是必要的，但通過硬分叉進行全鏈替換被認為對網(wǎng)絡共識來說風險太大。因此，比特幣正在探索通過混合遷移模式進行漸進式過渡。

來源：bip360.org

這種理念延續(xù)到比特幣應對量子安全的方法中。開發(fā)人員同意升級是必要的，但通過硬分叉進行全鏈替換被認為對網(wǎng)絡共識來說風險太大。因此比特幣正在探索通過混合遷移模式進行漸進式過渡。

如果被采納，用戶將能夠同時使用傳統(tǒng)的 ECDSA 地址和新的 PQC 地址。例如如果 Ekko 的資金存放在舊的比特幣地址中，他可以在 Q-Day 臨近時逐步將其遷移到 PQC 地址。由于網(wǎng)絡同時識別兩種格式，安全性得到提高，而不會強制進行破壞性的過渡。

挑戰(zhàn)仍然很大。數(shù)億個錢包需要遷移，并且對于私鑰丟失的錢包尚無明確的解決方案。社區(qū)內(nèi)不同的意見也可能增加鏈分叉的風險。

以太坊：通過靈活架構(gòu)重新設計實現(xiàn)快速過渡

以太坊的適應性原則源于 2016 年的 DAO 黑客攻擊。當大約 360 萬枚 ETH 被盜時，VitalikButerin 和以太坊基金會執(zhí)行了一次硬分叉以逆轉(zhuǎn)這次盜竊。

這個決定將社區(qū)分裂為以太坊（ETH）和以太坊經(jīng)典（ETC）。從那時起，適應性已成為以太坊的一個決定性特征，也是其能夠?qū)嵤┛焖僮兏锏年P(guān)鍵因素。

來源：web3edge

歷史上，所有以太坊用戶都依賴外部賬戶，這些賬戶只能通過 ECDSA 簽名算法發(fā)送交易。由于每個用戶都依賴相同的密碼模型，更改簽名方案需要全網(wǎng)范圍的硬分叉。

EIP-4337 改變了這種結(jié)構(gòu)，使賬戶能夠像智能合約一樣運作。每個賬戶可以定義自己的簽名驗證邏輯，允許用戶采用替代的簽名方案，而無需修改整個網(wǎng)絡。簽名算法現(xiàn)在可以在賬戶級別替換，而不是通過協(xié)議范圍的升級。

在此基礎上，已經(jīng)出現(xiàn)了一些支持 PQC 采用的提案：

• EIP-7693：引入混合遷移路徑，在保持與 ECDSA 兼容的同時，支持逐步過渡到 PQC 簽名。
• EIP-8051：在鏈上應用 NISTPQC 標準，以在實際網(wǎng)絡條件下測試 PQC 簽名。
• EIP-7932：允許協(xié)議同時識別和驗證多種簽名算法，使用戶能夠選擇他們喜歡的方法。

在實踐中，使用基于 ECDSA 錢包的用戶可以在量子威脅迫近時遷移到基于 Dilithium 的 PQC 錢包。這種過渡發(fā)生在賬戶級別，不需要替換整個鏈。

總之，比特幣旨在保持其當前結(jié)構(gòu)的同時并行整合 PQC，而以太坊則正在重新設計其賬戶模型以直接吸納 PQC。兩者都追求抗量子這一相同目標，但比特幣依賴于保守的演進，而以太坊則采用結(jié)構(gòu)性創(chuàng)新。

當區(qū)塊鏈仍在爭論時，世界已經(jīng)改變

全球互聯(lián)網(wǎng)基礎設施已經(jīng)開始向新的安全標準過渡。

由集中化決策支持的 Web2 平臺行動迅速。谷歌從 2024 年 4 月開始在 Chrome 瀏覽器中默認啟用后量子密鑰交換，并將其部署到數(shù)十億臺設備。微軟宣布了一項全組織范圍的遷移計劃，目標是在 2033 年前全面采用 PQC。AWS 在 2024 年底開始使用混合 PQC。

區(qū)塊鏈面臨不同的情況。比特幣的 BIP-360 仍在討論中，而以太坊的 EIP-7932 已提交數(shù)月但尚未有公開測試網(wǎng)。VitalikButerin 已經(jīng)概述了漸進式遷移路徑，但尚不清楚是否能在量子攻擊變得實際可行之前完成過渡。

一份德勤報告估計，大約 20%到 30%的比特幣地址已經(jīng)暴露了其公鑰。它們目前是安全的，但一旦量子計算機在 2030 年代成熟，它們可能成為目標。如果網(wǎng)絡在那個階段嘗試硬分叉，分裂的可能性很高。比特幣對不可更改性的承諾，雖然是其身份的基礎，但也使得快速變革變得困難。

最終，量子計算既提出了技術(shù)挑戰(zhàn)，也提出了治理挑戰(zhàn)。Web2 已經(jīng)開始了過渡。區(qū)塊鏈仍在爭論如何開始。決定性的問題將不是誰先行動，而是誰能安全地完成過渡。