Bitcoin 的量子威胁真实存在，迁移时钟正在滴答作响

业界一直在问，量子计算机何时才能强大到足以破解 Bitcoin。椭圆曲线加密技术已知存在量子漏洞已有三十多年，而加密货币仍然没有机制让所有人放弃它。

Fortune 估算，由椭圆曲线加密技术保护的数字资产风险敞口达 $2 万亿，而加密货币市场总价值为 $2.8 万亿。几乎整个资产类别都建立在业界公认已经过时的加密技术之上。

开发人员可以引入新的签名类型，但转移资产取决于代表客户行事的托管机构以及为自己行事的自托管持有者。

参与仍然是可选的，在风险突然发生变化之前，延迟仍然是理性的。

抢占先机的成本

NIST 已经标准化了替代签名方案，因此后量子解决方案现在已经可用。用 ML-DSA 替换 ECDSA 需要重新设计，因为新的签名和公钥要大得多。

托管提供商还取决于他们无法控制的事情：钱包无法独自实现后量子化。在托管机构可以将任何资产转移到其上之前，底层网络必须支持新的签名类型。

签名只是加密技术在这些系统中应用的其中一个地方。点对点通信、共识、零知识证明系统、跨链桥和托管基础设施都基于各自的假设，而加固交易签名对其他部分没有任何作用。

等待的动机是更艰巨的障碍。先行者现在就要为重新设计、托管变更、硬件支持和新的操作流程付出代价，而威胁感仍然遥不可及。

后起之秀可以让其他人先承担这些成本，并采用更成熟的工具。因此，延迟对每个参与者来说似乎都是理性的，即使这增加了行业的集体风险。

某些资产可能永远不会迁移，Coinbase 已经指出了被遗弃或未迁移代币这一尚未解决的问题。不活跃的持有者在自愿升级方面行动缓慢，而被遗弃或丢失的账户则永远不会升级。

自愿协调需要强制力

Coinbase 提供了一个有用的起点，因为它对 Bitcoin 核心基础设施和钱包级风险敞口的区分在技术上是正确的。Bitcoin 的哈希、挖掘和历史账本与量子计算机将攻击的签名层不同。

将眼前的漏洞称为钱包级，可以防止真正的加密风险被解读为所有 Bitcoin 都会立即失效。

“钱包级”确定了加密技术破裂的地方，而经济损失可能会远远超出这一界限。

单个钱包可能持有数十亿美元，而管理密钥可以拥有对主要稳定币的权限。一个易受攻击的签名背后拥有足够的价值或控制权，就可以通过市场、交易对手和从未受到直接攻击的协议来传递失败。

托管打破了局部技术故障与系统性金融事件之间的界限。冷存储可以保护私钥免受盗窃或设备损坏的影响；但如果攻击者可以从暴露的公钥中推导出该私钥，那么冷存储就无能为力。

多重签名仍然可以防范操作失误，但如果五个锁都共享同一个易受攻击的机制，那么这五个锁也无济于事。

改变底层数学逻辑需要付出实际成本。原始的 ECDSA 签名是 64 字节。ML-DSA-65 签名是 3,309 字节——大了 52 倍——而 ML-DSA-87 则达到 4,627 字节，这还不包括同样会增加的公钥。

这种重量负担落在带宽和存储、费用、签名较小时做出的吞吐量假设，以及围绕旧尺寸设计的硬件钱包和托管系统上。