甚麼是抗量子代幣？加密資產如何抵禦量子計算威脅

量子計算以往只在理論物理論文出現，如今已成為區塊鏈底層加密機制的實質威脅。本文探討抗量子代幣及相關密碼技術，如何為總市值約 2.7 兆美元的加密貨幣市場，預先構建對抗這場「遲早會來」的安全風險防線。

量子電腦的運作模式與傳統電腦根本不同，使用可同時處於多個狀態的量子位元（qubits）及量子疊加原理；配合量子纏結，可執行以往根本做不到的計算路徑。

對依賴「某些數學問題在計算上幾乎不可能被解出」這一假設來維持安全性的加密貨幣網絡而言，量子計算構成存亡級威脅。

近年的技術進展，已將量子風險由純理論推向實務層面：

• Google 於 2023 年公布 433 量子位元的量子處理器「Willow」，在特定運算任務上展示所謂量子霸權
• IBM 的 2024 路線圖預期 2027 年前推出逾 4,000 量子位元系統，逼近破解常用密碼系統的門檻
• 薩塞克斯大學研究指出，約 2,000 萬個「嘈吵」量子位元即可能在 24 小時內破解比特幣目前採用的橢圓曲線密碼

按 2024 年 Global Risk Institute 的量子威脅報告，足以擊破現行主流密碼標準的量子電腦時間表明顯收窄。報告估算，到 2032 年量子系統可以破解 RSA-2048 及 ECC-256 的機率達 50%，到 2040 年則升至 90%。

區塊鏈的特定量子風險

區塊鏈的安全機制設計，本身就令其在量子攻擊下格外脆弱：

1. 公鑰密碼曝光風險

比特幣及以太幣等加密貨幣，大量依賴使用 secp256k1 橢圓曲線的 ECDSA 來驗證交易。當用家發起交易時，會公開其公鑰，於是出現一段關鍵「暴露視窗」。一名擁有成熟量子電腦的攻擊者，理論上可以：

• 利用 Shor 演算法，由公開公鑰反推出私鑰
• 偽造交易，把資金自受影響地址轉走
• 在交易確認前的空檔完成這些攻擊操作

德勤的量化分析估算，目前約有 25% 比特幣（以現價計逾 4,000 億美元）儲存在已公開公鑰的地址上，一旦量子技術成熟，理論上全數暴露於量子攻擊風險之下。

2. 共識機制的結構性弱點

除了直接偷取資產，量子計算亦可能撼動區塊鏈的共識機制：

工作量證明（PoW）：量子演算法可在解 Hash 難題上取得指數級優勢，潛在導致：

• 以遠低硬件成本發動 51% 攻擊
• 大幅加快掘礦速度及重組鏈歷史
• 打破「計算公平性」這個 PoW 安全性的核心假設

權益證明（PoS）：雖然較不依賴純計算優勢，但若底層簽署算法被量子破解，仍可出現：

• 冒簽驗證者簽名
• 操控驗證流程
• 製造互相矛盾的檢查點，令最終性機制失靈

以太坊基金會密碼研究團隊估算，一台具 6,600 個「邏輯量子位元」的容錯量子電腦，已足以實際威脅 secp256k1 安全性；當規模升至逾 20,000 邏輯量子位元，現行機制幾近全面失守。按現時對錯誤更正的需求推算，這相當於數百萬個實體量子位元；以技術發展軌跡計，未來 15 至 20 年內不無可能達成。

後量子密碼學：技術基礎

NIST 標準化及遴選進程

美國國家標準與技術研究院（NIST）在 2016 年啟動後量子密碼學（PQC）標準化計劃，從多個密碼類別中評估 69 組候選演算法。經多年安全性與效能評估後，NIST 於 2022 年選出一批重點方案：

密鑰封裝（密鑰協議）：

• CRYSTALS-Kyber（主要建議）
• BIKE、Classic McEliece、HQC、SIKE（替補候選）

數碼簽署：

• CRYSTALS-Dilithium（主要建議）
• FALCON（適用於要求更細簽名的應用）
• SPHINCS+（適用於重視 Hash 型安全保證的情境）

這些標準為抗量子區塊鏈實作提供基本積木，正式標準文件預期最快在 2025 年底前完成。

抗量子技術路線

目前多條密碼學路線可在不同程度上抵擋量子攻擊，各有優劣取捨：

基於晶格的密碼學

晶格密碼依賴在高維晶格中尋找最短／最近向量的計算難度，這類問題即使在量子環境下仍被視為困難。

技術側寫：

• 安全基礎：最短向量問題（SVP）、帶誤差學習問題（LWE）
• 計算效能：中高，涵蓋加解密及驗證速度
• 密鑰／簽名大小：中等（以 KB 計，而非 Bytes）
• 成熟度：高（已獲 NIST 選為主軸標準）

NIST 遴選的 Kyber，對區塊鏈應用尤具吸引力：

• 公私鑰大小約 1.5 至 2KB，尚可在鏈上存儲
• 加解密效能逼近傳統演算法
• 對傳統及量子攻擊均保留寬裕安全邊際
• 對資源有限裝置的計算要求相對溫和

按 NIST 基準測試，提供約 128-bit 後量子安全度的 Kyber-768，在現代處理器上，產生密鑰約需 0.3ms，封裝 0.4ms，解封 0.3ms，效能足以支撐高吞吐量區塊鏈。

Hash 型簽名

Hash 型簽章方案的安全性來自密碼雜湊函數在量子環境下仍具強碰撞阻力，安全置信度高，但實務限制明顯。

技術側寫：

• 安全基礎：雜湊函數的抗碰撞性
• 計算效能：高（簽署及驗證均頗快）
• 密鑰／簽名大小：偏大，特別是具狀態版本
• 成熟度：極高（安全性分析歷史悠久）

XMSS（eXtended Merkle Signature Scheme）及 SPHINCS+ 等實作具嚴謹安全歸約，其中 SPHINCS+ 已被 NIST 選為備用簽章標準。不過實務上要面對：

• 簽章大小通常介乎 8–30KB，遠大於現行 ECDSA 的約 72 Bytes
• 具狀態方案需複雜的狀態管理
• 如 XMSS 這類方案每把鑰匙可安全簽署的次數有限

因此，Hash 型簽名較適合簽署頻率較低，或更重視安全保證而不太計較簽名大小的區塊鏈場景。

基於碼及多變量密碼學

這些替代路線提供安全假設的多元化，倘若晶格或 Hash 路線日後被發現有結構性弱點，可分散系統風險。

基於碼（Code-based）的技術側寫：

• 安全基礎：錯誤向量綜合理論（Syndrome decoding）
• 計算效能：中等
• 密鑰／簽名大小：極大（動輒數十至數百 KB）
• 成熟度：中等（理論及攻擊研究歷史長，但實際部署有限）

多變量密碼的技術側寫：

• 安全基礎：解多元多項式方程組
• 計算效能：表現不一（驗證快、簽名較慢）
• 密鑰／簽名大小：公鑰大、簽名相對較細
• 成熟度：中等（長期受密碼學界關注）

由於效能與密鑰大小的掣肘，這些路線暫不算是區塊鏈主流選項，但在專家建議的「密碼多樣性」策略中仍佔一席位。

抗量子區塊鏈項目：落地實作

原生抗量子網絡

部分區塊鏈自設計伊始已採納抗量子密碼方案，為實務部署帶來不少經驗與教訓：

Quantum Resistant Ledger（QRL）

2018 年推出的 QRL 是其中一條最早以抗量子為目標設計的公鏈，採用 XMSS 作為主簽名方案。

技術設計重點：

• 以 XMSS 配合 256-bit SHAKE-128 雜湊函數
• 地址格式預留支援多種簽名方案
• 一次性簽名設計，需嚴謹的密鑰管理
• 原生支援多重簽章以加強安全性

QRL 的實作充分反映 Hash 型方案的利與弊。鏈上交易資料顯示，其平均簽名大小約 2.5KB，明顯大於比特幣約 72 Bytes 的簽章，導致存儲及頻寬開銷顯著上升。按交易計算，QRL 區塊鏈的體積膨脹速度約為比特幣的 3.5 倍。

儘管如此，QRL 仍展示了在公鏈環境下運行具狀態 Hash 型簽名的可行性。自推出以來已產生逾 260 萬個區塊，迄今未見公開的安全事故報告。

IOTA 的過渡策略

（以下為後續內容預留位置：IOTA 如何由早期的 Winternitz 一次性簽名過渡至更成熟的抗量子方案，以及相應的技術與治理考量。） IOTA 最初採用 Winternitz 一次性簽署（WOTS）來對抗量子攻擊，其後隨多次協議升級而調整技術路線。

技術演進路徑：

• 早期採用 WOTS：具量子抗性，但在實際使用上帶來明顯不便
• Chrysalis 升級：轉用 Ed25519 簽名，優先提升效能與易用性
• 未來 Coordicide 升級：計劃引入符合 NIST 標準的後量子密碼算法

IOTA 的歷程凸顯，在落地量子抗性方案時，如何在安全性、效能與使用體驗之間取捨是一大難題。項目文件亦坦言，早期的量子抗性設計（尤其是嚴格限制地址重用）嚴重影響用戶體驗，最終不得不階段性退回傳統密碼體系，同步研發更易用的新一代量子抗性方案。

QANplatform

QANplatform 採用與 NIST 建議一致的格基（lattice-based）密碼技術，具體實作包括：以 CRYSTALS-Kyber 作為密鑰交換機制，並以 CRYSTALS-Dilithium 作為數碼簽章方案。

技術路線重點：

• 直接整合 NIST 後量子密碼決賽算法
• 採用傳統＋後量子並存的混合加密模型
• 提供原生量子抗性智能合約平台
• Layer-1 設計以降低開發者使用門檻為目標

QANplatform 測試網的效能數據顯示，格基方案在實務上具可行性：交易驗證平均約 1.2 秒，與不少傳統密碼實作的表現相若。其混合模式容許按步就班過渡，有助緩解後量子密碼在落地採用上的最大阻力之一：一次過全面切換的風險與成本。

既有大型網絡的量子抗性策略

主流加密貨幣網絡在導入量子抗性時，需面對規模龐大、資產價值高和協調成本巨大的結構性挑戰。

比特幣的路線

比特幣一向奉行極為保守的開發哲學，強調穩定性與向後相容性，令任何密碼基礎轉換都變得格外困難。

現況與討論方案：

• 至今未有任何後量子簽名的 BIP（Bitcoin Improvement Proposal）獲正式採納
• Taproot 升級改善了隱私與腳本表達能力，但未觸及量子脆弱性問題
• 社群提出過的方向包括：
  • 新增可選用的量子抗性地址格式
  • 設計具「雙重驗證」的漸進過渡期
  • 預先設計在量子威脅突然實現時可啟動的緊急硬分叉機制

比特幣社群一貫傾向「寧穩勿新」，Taproot 這類相對溫和的升級，從提出到啟用亦歷時數年。這種治理模式，意味要推動涉及核心密碼原語的大改動（例如全面引入後量子簽名）將面臨更高的共識門檻。

根據 BitMEX Research 的分析，目前約有 250 萬枚 BTC（按現價計超逾 1,300 億美元）仍存放於直接暴露公鑰的 p2pk（pay-to-public-key）地址中，成為整個供應中最易受量子攻擊的一部分。

以太坊的路線圖

相較比特幣，以太坊在協議演進方面一向更具靈活性，量子抗性亦已被納入其長期技術規劃之中。

預期路線：

• 在以太坊技術路線圖的「Endgame」階段納入後量子簽名方案
• 研究能與現有零知識證明系統相容的格基簽名
• 利用帳戶抽象（account abstraction）提高整個系統在密碼算法上的可塑性
• 先以「自選加入」方式提供量子抗性，再視情況推展至網絡層面的廣泛採用

以太坊研究員 Justin Drake 曾提出「密碼敏捷性」（cryptographic agility）的願景，即在不打斷現有應用運作前提下，讓網絡可以替換及升級底層簽名方案。這種設計思路強調，要應對量子威脅，不單需要新算法，還需在協議層建立可持續演進的結構。

在以太坊測試網上的壓力測試顯示，如改用 CRYSTALS-Dilithium 簽名，單筆交易數據會膨脹約 2.3KB，對一般交易的 gas 成本影響估計約 40–60%。雖然負擔不輕，但在以太坊中長期擴容藍圖下仍屬可管理範圍。

落實量子抗性的技術與治理難題

技術約束

為區塊鏈引入後量子密碼，牽涉多重技術層面權衡。

儲存與頻寬壓力

多數後量子方案的公私鑰與簽名體積均較傳統方案大得多。

其影響包括：

• 區塊空間利用效率下降
• 網絡頻寬需求上升
• 节點本地儲存壓力增加
• 交易手續費和成本上揚

可行的技術應對包括：

• 簽名聚合與壓縮技術
• 將大量簽名數據推向鏈下的 Layer-2 設計
• 階段性資料修剪（pruning）機制
• 更高效的編碼與序列化格式

效能與資源消耗

後量子算法一般需要更高的計算資源。

對高吞吐量區塊鏈而言，影響層面包括：

• 交易驗證延遲
• 出塊速度及可穩定維持的區塊大小
• 節點硬件門檻
• 能源消耗與營運成本

常見優化方向：

• 為特定算法設計硬件加速（如 FPGA／ASIC）
• 批量驗證（batched verification）
• 更徹底的平行化實作
• 針對單一 PQC 算法的實作級微調與優化

以太坊基金會的研究指出，若採用針對格基簽名的硬件優化實作，效能差距有望收窄至現時 ECDSA 的約 2–3 倍，對多數應用場景而言屬可接受水平。

治理與協調挑戰

公鏈的去中心化特性，令密碼基礎設施轉換不再是單一機構可以拍板的工程。

協議升級協調

與可由單一管理者強制更新的中心化系統不同，公鏈要推行安全升級，必須同時取得以下參與者廣泛共識：

• 核心開發團隊
• 節點營運者
• 礦工／驗證者
• 錢包與基礎設施服務商
• 交易所及託管機構

比特幣與以太坊過往的經驗顯示，只要升級內容具爭議性，便極有可能引發鏈分裂，削弱安全性及流動性。例如比特幣的 SegWit 升級，從提出到啟用歷時近 18 個月，即使其主要是針對交易擴容與 malleability 問題。

遷移策略設計

有效的量子抗性轉換，需配合周詳的資產遷移路線圖：

自選遷移（Opt-In）模式：

• 允許用戶自願將資產轉移至量子抗性地址
• 透過手續費折扣或額外功能鼓勵提早遷移
• 設定清晰的時間表與最後期限

混合運作模式：

• 在過渡期同時支援傳統與後量子簽名驗證
• 逐步提高對新類型地址與簽名的要求
• 允許同一交易或同一帳戶同時採用多種簽名方案

緊急應變機制：

• 預先設計在量子威脅突然具現時啟動的快速升級流程
• 為緊急密碼更新設定特別的共識程序
• 建立安全、可驗證的跨社群溝通渠道，以便在危機時期快速協調行動

前路：行業回應與最佳實務

現行行業倡議

多個跨鏈及跨機構合作正在成形，以正面回應量子威脅：

跨鏈標準制訂

行業層面的量子抗性協作正逐步增加，包括：

• 「加密貨幣量子抗性聯盟」（Cryptocurrency Quantum Resistance Alliance, CQRA）：目前有 14 個區塊鏈項目參與，就實作標準展開協調
• NIST 旗下 Cryptographic Technology Group：向分布式帳本應用提供專門指引
• Post-Quantum Cryptography Alliance (PQCA)：開發可供區塊鏈整合的開源後量子工具

這些倡議的重點，是推動跨鏈可互操作的量子抗性標準，避免各條鏈各自為政，造成安全策略碎片化。

企業級與混合方案

在協議層尚未全面升級前，多個商業產品正填補防護空窗期：

• Quip Network 推出的「quantum vaults」，採用混合密碼架構，為現有資產提供即時量子抗性保護
• ID Quantique 聯同 Mt Pelerin 打造硬件保護的量子保險庫，面向機構級加密資產託管
• StarkWare 針對 Layer-2 擴容方案，研究具後量子安全性的零知識證明系統

這些路線顯示，量子抗性未必一定要由 Layer-1 馬上全面落實，而是可以自邊緣與上層協議逐步滲透。

各類持份者的實務建議

個人代幣持有人

在協議層尚未完成量子升級前，個人可採取的即時風險管理措施包括：

1. 地址衛生（Address Hygiene）：避免重用地址，盡量減少公鑰長期暴露在鏈上的情況
2. 定期更換密鑰：週期性將資產轉移至新地址，縮短單一公鑰「在線壽命」
3. 多重簽名：使用多簽錢包，提高攻擊所需破解的密鑰數量
4. 冷儲存策略：將大部分持倉存放於從未簽名、未公開公鑰的冷錢包地址
5. 分散風險：將資產分散於不同公鏈及不同密碼體系之間，以降低單點技術風險

開發團隊與新項目

技術層面的中長期準備宜包括：

1. 密碼敏捷性設計：在協議及合約層預留更換簽名方案與哈希函數的機制
2. 混合實作：在可行情況下，同時支援傳統及後量子方案，為未來過渡預先鋪路
3. 協議測試：建立專用測試網驗證後量子算法的整合、效能與相容性問題
4. 教育與溝通：及早向用戶及生態夥伴解釋量子遷移的必要性與操作流程
5. 開源工具貢獻：參與或貢獻符合 NIST PQC 標準的開源庫，降低整個行業的實作門檻

交易所與託管機構

機構級持份者需從風險管理與基礎設施兩方面部署：

1. 風險盤點：量化各種資產在現行地址類型與密碼方案下的量子風險暴露
2. 安全升級：在託管架構中優先導入多簽、分層簽名及混合密碼方案，為將來的後量子遷移保留彈性空間超越區塊鏈原生安全的多重防護層
3. 客戶教育：向用戶清晰講解量子風險及可採取的保護措施
4. 業界協作：積極參與量子抗性地址相關標準的制定
5. 交易監測：建立系統偵測疑似涉及量子技術的攻擊行為

結語：走出恐慌與不確定

量子技術對加密貨幣的威脅值得嚴肅對待，但毋須恐慌。只要及早部署並落實量子抗性密碼技術，區塊鏈網絡即使在量子運算日漸成熟之下，仍有能力維持其既有的安全承諾。

以下幾個關鍵視角，應成為業界制訂策略時的指引：

時間表與準備窗口

現時多數預測認為，實際能威脅現行主流密碼標準的量子攻擊，約在未來 5 至 10 年內才有可能出現。這為市場提供一個相對充裕的過渡窗口——前提是業界必須由現在開始，有步驟地作出規劃與技術轉換。

全球量子風險評估工作小組（Global Quantum Risk Assessment Working Group）的最新分析指出，要攻擊比特幣及以太幣目前採用的密碼機制，量子電腦至少需要具備約 6,000 個「邏輯量子位」（logical qubits）。以現時技術發展路徑推算，在 2030 年前達到這一級別的可能性偏低。

以密碼多樣性構建防線

多元化的後量子密碼方案本身就是一種韌性來源。區塊鏈若同時採用多套不同的密碼機制，而非押注於單一演算法，便能對傳統與量子兩類威脅建立更深層次的「縱深防禦」。

更重要的是，量子抗性不單純是「防守」的需要，亦是推動區塊鏈創新的契機。新一代密碼技術，有望帶來更強的隱私保護、更高效的驗證流程，以及過去受制於運算成本而難以實現的新型智能合約設計。

從長遠看，量子抗性密碼科技或會令區塊鏈不跌反升：行業將被迫走向更嚴謹的安全架構及更高階的密碼學應用。只要主動迎接這場技術考驗，加密貨幣生態系統仍可在量子時代維持其核心價值主張——在無需信任中介、免於審查干預的前提下進行價值傳遞。