ตลอดช่วงไม่กี่เดือนที่ผ่านมา ความกังวลเรื่อง “ความต้านทานควอนตัม” ของบิตคอยน์ที่มีมาอย่างยาวนานได้ขยับจากความอยากรู้อยากเห็นทางวิชาการ ไปสู่การจัดการความเสี่ยงในทางปฏิบัติ Christopher Wood จาก Jefferies ได้ถอดบิตคอยน์ออกจากพอร์ตโฟลิโอโมเดลระยะยาวของเขาเพราะความเสี่ยงเชิงควอนตัม
Coinbase ตั้ง “คณะกรรมการที่ปรึกษาอิสระด้านคอมพิวเตอร์ควอนตัมและบล็อกเชน” ขึ้นมา ในชุมชนเทคนิค BIP 360 (ประเภทเอาต์พุตที่ทนทานต่อควอนตัม) ถูกผสานเข้าเป็นร่างในที่เก็บ BIP อย่างเป็นทางการ และ Blockstream ก็ได้ออกอากาศธุรกรรมที่ลงนามแบบโพสต์ควอนตัมครั้งแรกบนไซด์เชนในระบบจริง
นับจากนั้น การเร่งรัดของเส้นเวลาเกิดเร็วขึ้นไปอีก เมื่อวันที่ 25 มีนาคม 2026 Google ประกาศว่าระบบทั้งหมดของบริษัทต้องย้ายไปใช้การเข้ารหัสแบบโพสต์ควอนตัม ภายในปี 2029 งานวิจัยสามชิ้นที่ตีพิมพ์ระหว่างเดือนพฤษภาคม 2025 ถึงมีนาคม 2026 ลดประมาณการจำนวนคิวบิตที่ต้องใช้ในการโจมตีระบบเข้ารหัสกุญแจสาธารณะลงประมาณสามลำดับขั้น จาก ~20 ล้านคิวบิตเชิงกายภาพ เหลืออาจต่ำกว่า 100,000
งานวิจัยของ Google Quantum AI เดือนมีนาคม 2026 ประมาณว่าการเข้ารหัสเส้นโค้งวงรีสามารถถูกเจาะได้ด้วยคิวบิตเชิงกายภาพน้อยกว่า 500,000 ตัวภายในไม่กี่นาที Google ระงับไม่เผยแพร่รายละเอียดวงจรโจมตี และเผยแพร่เพียงหลักฐานแบบศูนย์ความรู้ของผลลัพธ์เท่านั้น ทีมจาก Caltech/Oratomic เสนอว่าคิวบิตเชิงอะตอมที่ปรับแต่งได้ประมาณ 26,000 ตัว สามารถเจาะ ECC-256 ได้ภายในราวสิบวัน ช่องว่างระหว่าง “ของเล่นในห้องแล็บ” กับ “ภัยคุกคามทางการเข้ารหัส” กำลังถูกปิดจากทั้งสองด้าน ด้วยการบีบอัดเชิงอัลกอริทึมและการขยายตัวของฮาร์ดแวร์พร้อมกัน
เพื่อจะเข้าใจภัยคุกคามนี้ เราต้องดูว่าคอมพิวเตอร์ควอนตัมทำอะไรได้และทำอะไรไม่ได้ มันไม่ได้ “ลองทุกกุญแจแบบขนานกัน” อัลกอริทึมของ Shor ให้การเร่งความเร็วเชิงเอ็กซ์โปเนนเชียลสำหรับปัญหา discrete log และการแยกตัวประกอบ ซึ่งเป็นปัญหาที่คริปโทกราฟีแบบเส้นโค้งวงรีและ RSA พึ่งพาอยู่ ขณะที่คริปโทกราฟีแบบสมมาตรและฟังก์ชันแฮช จะโดนเร่งความเร็วเพียงระดับรากที่สองจากอัลกอริทึมของ Grover ซึ่งชดเชยได้ด้วยการเพิ่มขนาดพารามิเตอร์
“ควอนตัมทำลายการเข้ารหัส” ทั้งจริงและทำให้เข้าใจผิดในเวลาเดียวกัน: มันโจมตีเพียงพริมิทีฟที่ความปลอดภัยลดรูปได้เป็นปัญหาโครงสร้างกรุ๊ป ไม่ใช่เวทมนตร์ brute-force แบบเหวี่ยงแหไม่เลือกหน้า คริปโทกราฟีโพสต์ควอนตัมมีอยู่แล้วและใช้งานได้วันนี้ NIST ได้มาตรฐาน (ML-KEM, ML-DSA, SLH-DSA) เสร็จสิ้นเพื่อรองรับการย้ายออกจาก ECC/RSA โดยเฉพาะ
สำหรับบิตคอยน์โดยเฉพาะ จุดอันตรายคือเรื่องลายเซ็น: ถ้าผู้โจมตีมองเห็นกุญแจสาธารณะของคุณ อัลกอริทึมของ Shor ก็สามารถกู้กุญแจส่วนตัวได้ สำหรับที่อยู่แบบ pubkey-hash (P2PKH/P2WPKH) กุญแจสาธารณะจะถูกเปิดเผยก็ตอนที่คุณใช้จ่ายเท่านั้น ความเสี่ยงหลักจึงอยู่ที่การใช้ที่อยู่ซ้ำ แต่เอาต์พุต Taproot (P2TR) และเอาต์พุต pay-to-pubkey เก่า เผยกุญแจสาธารณะตั้งแต่ตอนสร้างเอาต์พุต ไม่ต้องรอให้มีการใช้จ่าย Pay-to-Merkle-Root (P2MR) ใน BIP 360 จัดการปัญหานี้โดยตรง: เป็นเอาต์พุตแบบคล้าย Taproot ที่ไม่เอากุญแจสาธารณะขึ้นเชนเลย
เป้าหมายเร่งด่วนไม่ใช่การทำให้เรื่องโพสต์ควอนตัมของบิตคอยน์สวยหรูบนกระดาษ แต่คือต้องเริ่มการย้ายผู้ใช้เดี๋ยวนี้ ให้ผู้ใช้ผูกเส้นทางการใช้จ่ายแบบโพสต์ควอนตัมเข้าไปข้าง ๆ เส้นทางแบบเส้นโค้งวงรีที่ใช้อยู่ ในยามสงบพวกเขายังใช้ Schnorr/ECDSA ตามปกติ กุญแจโพสต์ควอนตัมถูกทิ้งไว้ไม่ใช้ ถ้าเกิด “อันตรายที่ชัดแจ้งและใกล้ตัว” เครือข่ายจะเลิกใช้ลายเซ็นเส้นโค้งวงรีได้โดยไม่ต้องรอการย้ายครั้งใหญ่หลายปี มันไม่จำเป็นต้องเป็นวิธีสุดท้ายที่ดีที่สุด — เลือกแบบอนุรักษ์นิยมที่ปลอดภัยตอนนี้ ปรับให้ดีขึ้นทีหลัง นาฬิกาการย้ายระบบนับด้วยการยอมรับใช้งาน ไม่ใช่ความยากง่ายทางวิศวกรรม
ผู้เขียนเห็นว่าบิตคอยน์ควรเลือกใช้ลายเซ็นแบบ hash-based เป็น “ทางหนีฉุกเฉิน” นี้ ไม่ใช่เพราะ lattice (ML-DSA) แย่ แต่เพราะลายเซ็นแบบ hash-based คือสิ่งที่ใกล้กับ “ปลอดภัยเท่าที่คริปโทกราฟีจะให้ได้” มากที่สุด: โครงสร้างน้อย เวทมนตร์น้อย ช่องว่างสำหรับกับดักน้อย นอกจากนี้ยังตรวจสอบและทำความเข้าใจได้ง่ายอย่างน่าประหลาด ซึ่งสอดคล้องกับแนวคิดของบิตคอยน์
SPHINCS+ (SLH-DSA) เป็นตัวเลือกมาตรฐาน แต่ลายเซ็นมีขนาดค่อนข้างใหญ่ ราว 8 kB เพื่อให้ได้คุณสมบัติ “ไร้สถานะ” บิตคอยน์ไม่ได้ จำเป็นต้อง มีคุณสมบัตินั้นจริง ๆ โมเดล UTXO มีลักษณะใช้แล้วทิ้งในตัว การใช้ที่อยู่แบบเป็นระบบซ้ำไปซ้ำมาไม่เคยเป็นส่วนหนึ่งของการออกแบบ และโครงสร้างพื้นฐานก็รองรับเรื่องนี้ได้ดี สกีมแบบมีสถานะอย่าง XMSS ให้ลายเซ็นที่เล็กลงอย่างมาก (~2.5 KB) และโมเดลการใช้จ่ายของบิตคอยน์ก็เข้ากับข้อจำกัดนี้ได้โดยธรรมชาติ
โครงสร้าง SHRINCS ของ Blockstream Research ให้คุณได้ทั้งสองอย่าง: โหมดหลักแบบมีสถานะพร้อมทางเลือก fallback แบบ SLH-DSA ที่ไร้สถานะ เผื่อคุณสูญเสียสถานะไป Jonas Nick เสนอส่วนขยาย SHRIMPS เพื่อแก้ปัญหาการลงนามหลายอุปกรณ์ ทั้งสองเป็นแบบ hash-based ล้วน ๆ และทั้งคู่ทำงานบน Liquid แล้ว
ถ้ามีการผ่าน “เกณฑ์ความน่าเชื่อถือว่า Shor มาถึงแล้ว” งานอันดับแรกคือหยุดการโจรกรรมที่ย้อนกลับไม่ได้ ไม่ใช่การช่วยเอาต์พุตเก่าทุกอัน ค่าเริ่มต้นที่ปลอดภัยคือสวิตช์ปิด: ทำให้ลายเซ็นเส้นโค้งวงรีไม่สามารถใช้จ่ายได้ในระดับฉันทามติ การล็อกชั่วคราวยังย้อนกลับได้; แต่การโจรกรรมด้วยควอนตัมย้อนกลับไม่ได้ สำหรับเอาต์พุตที่ไม่เคยเปิดเผยกุญแจสาธารณะ หลักฐานแบบ ZK (เช่น STARK) อาจให้เจ้าของที่แท้จริงพิสูจน์ความรู้เกี่ยวกับพยานปลดล็อก โดยไม่ต้องเปิดเผยกุญแจ สำหรับกุญแจที่ถูกเปิดเผยไปแล้ว วิธีช่วยเหลือที่พอเป็นไปได้มีเพียงการอาศัยความลับเพิ่มเติม เช่น seed ของกระเป๋าเงิน HD เหรียญที่ไม่มีเส้นทางใดเลย — เหรียญนิ่ง เหรียญยุคแรก เหรียญของ Satoshi — จะยังคงถูกล็อกต่อไป ดีกว่าให้มัน “ยังคงหาย” มากกว่ากลายเป็น “ถูกขโมยแล้ว”
งานวิจัยจาก StarkWare ในเดือนเมษายน 2026 แสดงให้เห็นว่าธุรกรรมบิตคอยน์ที่ปลอดภัยต่อควอนตัมสามารถทำได้ภายใต้กติกาฉันทามติปัจจุบัน เป็นโครงสร้างที่ฉลาดจริง ๆ แต่ปฏิกิริยาที่เกิดขึ้นกลับเผยให้เห็นปัญหาที่แท้จริงในชุมชนบิตคอยน์ กลเม็ดนี้ใช้ได้ยากมากในทางปฏิบัติ และไม่ใช่ตัวแทนของการ softfork ทว่าเพราะมีการฝังรากความคิดต่อต้าน “การทำอะไรสักอย่าง” ไว้มาก มันจึงถูกยกมาอ้างว่าเป็นเหตุผลไม่ยอมกด “สวิตช์แก้ทุกอย่างได้ง่าย ๆ” ไปแล้ว
เอาชูชีพให้ทุกคนก่อน อย่าคิดมากเกินไป สิ่งที่ยากไม่ใช่คริปโทกราฟี แต่คือการพาผู้ใช้หลายล้านคน และกระเป๋าเงิน ผู้ดูแลสินทรัพย์ ตลาดซื้อขาย และอุปกรณ์ลงนามทุกชิ้นให้ย้ายตาม นี่คือแนวทางที่ Tezos ใช้อยู่: ปฏิบัติต่อความพร้อมโพสต์ควอนตัมเป็นสองทางคู่กัน (การย้ายกุญแจผู้ใช้ vs คริปโทกราฟีของโปรโตคอล) ให้ผู้ใช้ผูกกุญแจโพสต์ควอนตัมสำรองไว้ตอนนี้ และเลิกใช้ลายเซ็นเส้นโค้งวงรีทีหลังหากภัยคุกคามเกิดขึ้นจริง เริ่มการย้ายเชิงสังคมในช่วงที่ยังไม่มีความเร่งด่วน เพราะช่วงเร่งด่วนคือเวลาที่ระบบนิเวศมักทำผิดพลาด ใส่ชูชีพให้ครบก่อน แล้วค่อยถกเถียงเรื่องการออกแบบเรือทีหลัง