過去幾個月，比特幣長期存在的「量子抗性」疑慮，已從學術上的好奇心轉變為實務上的風險管理議題。Jefferies 的 Christopher Wood 因量子風險而把比特幣從其長期模型投資組合中移除。
Coinbase 成立了「獨立量子運算與區塊鏈顧問委員會」。在技術社群內部，BIP 360（一種量子抗性輸出類型）已作為草案合併進官方 BIP 儲存庫；Blockstream 則在一條生產環境的側鏈上，廣播了首批使用後量子簽名的交易。
自那之後，時間線收縮的速度只會愈來愈快。2026 年 3 月 25 日，Google 宣布其所有系統必須在 2029 年前遷移到後量子密碼學。2025 年 5 月到 2026 年 3 月間發表的三篇論文，將破解公開金鑰密碼學的估計量子位元成本，大約降低了三個數量級，從約 2,000 萬個實體量子位元降到可能少於 10 萬個。
2026 年 3 月 Google Quantum AI 的一篇論文估計，只需少於 50 萬個實體量子位元，就能在數分鐘內破解橢圓曲線密碼學；Google 隱藏了攻擊電路，只發表了結果的零知識證明。Caltech 與 Oratomic 的團隊則提出，大約 26,000 個可重組的原子量子位元，約十天即可破解 ECC-256。「實驗室好奇心」與「密碼學威脅」之間的鴻溝，正從兩端同時縮小：演算法壓縮與硬體擴展同步進展。
要理解這項威脅，有助於先看清量子電腦能做什麼、不能做什麼。它們並不是「把所有金鑰同時暴力試一遍」。Shor 演算法針對離散對數與因數分解帶來指數級加速，而這正是橢圓曲線與 RSA 密碼學所依賴的問題；但對稱式密碼與雜湊函數只會受到 Grover 演算法帶來的平方根級加速，透過放大參數就能彌補。
「量子會毀掉密碼學」既正確又誤導：它針對的是安全性可化約為群結構問題的原語，而不是無差別的暴力奇蹟。後量子密碼學其實已存在且可立即部署；NIST 已經完成標準化（ML-KEM、ML-DSA、SLH-DSA），目的就是支援自 ECC/RSA 遷移。
在比特幣這個脈絡中，危險主要出在簽名：只要攻擊者能看到你的公鑰，Shor 演算法就能還原私鑰。對於公鑰雜湊地址（P2PKH/P2WPKH），公鑰只有在你花費時才會暴露；主要風險是地址重複使用。但 Taproot 輸出（P2TR）以及舊的 pay-to-pubkey 輸出，則會在輸出建立時就暴露公鑰，無須花費。BIP 360 的 Pay-to-Merkle-Root（P2MR）正面回應了這點：這是一種類 Taproot 的輸出類型，永遠不在鏈上放公鑰。
優先事項不是把比特幣的後量子敘事在紙面上打磨到完美，而是現在就開始讓使用者遷移。讓使用者在現有的橢圓曲線路徑旁邊，再掛上一條後量子支出路徑。在「和平時期」，他們照樣使用 Schnorr/ECDSA；後量子金鑰則保持未使用狀態。如果有一天出現「明確且迫在眉睫的危險」，網路就能在不必等待多年大規模遷移的情況下，棄用橢圓曲線簽名。現在不必一步到位選定終極方案——先挑一個保守的，之後再改進。這個遷移時鐘量的是採用程度，而不是工程難度。
我的觀點是，比特幣應該選擇雜湊式簽名，作為這個逃生艙。不是因為格基（如 ML-DSA）不好，而是因為雜湊式幾乎是密碼學裡「能有多安全就多安全」的代表：結構最少、魔法最少、留下埋後門空間也最少。它也出奇地容易審計與理解，這很符合比特幣的精神。
SPHINCS+（SLH-DSA）是標準選項，但它為了達到「無狀態」特性，簽名相當大，約 8 KB。比特幣其實並不「真的」需要這個特性。UTXO 模型本來就是用完即棄；系統性重複使用地址從來不在設計內，而基礎設施對此也處理得不錯。像 XMSS 這樣的有狀態方案，簽名要小得多（約 2.5 KB），而比特幣的花費模式天然就很適合這種約束。
Blockstream Research 的 SHRINCS 結構兩者兼得：以有狀態模式為主，若遺失狀態，則以無狀態的 SLH-DSA 作為備援。Jonas Nick 的 SHRIMPS 擴展則解決了多裝置簽名問題。兩者都純粹基於雜湊，而且已經在 Liquid 上運行。
一旦跨過可信的「Shor 已經實現」門檻，首要任務是阻止不可逆的竊盜，而不是搶救每一個舊輸出。最安全的預設是緊急開關：在共識層面讓橢圓曲線簽名變成不可花費。暫時鎖住可以解開；被量子偷走則不行。對於那些公鑰從未暴露的輸出，可以用 ZK 證明（例如 STARK），讓正當擁有者證明自己掌握解鎖見證，而不洩露金鑰。對於已經暴露公鑰的輸出，唯一可行的搶救方式，得仰賴額外祕密，例如 HD 錢包種子。既沒有這些路徑的幣——休眠幣、早期幣、甚至中本聰的幣——會繼續被鎖住。比起「現在被偷」，「仍然遺失」更可取。
StarkWare 於 2026 年 4 月的一篇論文展示，在現有共識規則下，量子安全的比特幣交易在今天就已可行。這是一個相當巧妙的構造，但遺憾的是，圍繞它的反應暴露了比特幣社群的一個真問題。這種技巧在實務上非常不切實際，也無法取代軟分叉，可是社群對「做任何事」的反射性反對太根深柢固，以致它已被拿來當成不去按下那個「輕鬆修好一切開關」的藉口。
先讓所有人穿上救生衣，別想得太複雜。難的不是密碼學；難的是讓數百萬使用者，以及每一個錢包、託管方、交易所與簽名裝置完成遷移。Tezos 採取的正是這種做法：把後量子準備當作兩條軌道（使用者金鑰遷移 vs 協議密碼學），讓使用者現在就能掛上一把後量子備用金鑰，若威脅成真，再棄用橢圓曲線簽名。趁沒有緊急狀態時先完成社會層遷移，因為真正緊急時，生態系最容易犯錯。先把救生衣穿好，再來爭論船的設計。