過去幾個月，比特幣長期存在的「量子抗性」疑慮，已經從學術上的好奇心，轉變為實務上的風險管理問題。Jefferies 的 Christopher Wood 因量子風險，將比特幣自其長期模型投資組合中移除。
Coinbase 成立了「量子計算與區塊鏈獨立諮詢委員會」。在技術社群內部，BIP 360（一種量子抗性的輸出型別）已作為草案合併進官方 BIP 儲存庫，而 Blockstream 則在一條正式上線的側鏈上，廣播了首筆後量子簽名交易。
自那之後，時間表的壓縮只會愈來愈快。2026 年 3 月 25 日，Google 宣布其所有系統必須在 2029 年前遷移至後量子密碼學。2025 年 5 月至 2026 年 3 月間發表的三篇論文，將破解公鑰密碼學的估計量子位元成本大幅降低了約三個數量級，從約 2,000 萬實體量子位元降到可能少於 10 萬。
2026 年 3 月 Google Quantum AI 的一篇論文估計，橢圓曲線密碼學可在少於 50 萬實體量子位元下於數分鐘內被破解；Google 並未公開攻擊電路，只發表了該結果的零知識證明。Caltech/Oratomic 團隊則提出，約 26,000 個可重組原子量子位元即可在約十天內破解 ECC-256。「實驗室好奇心」與「密碼威脅」之間的距離，正從演算法壓縮與硬體擴展兩個方向同時縮短。
要理解這個威脅，有必要先看量子電腦能與不能做什麼。它們並不是「同時平行嘗試所有金鑰」。Shor 演算法為離散對數與質因數分解這類問題帶來指數級的加速，而橢圓曲線與 RSA 密碼學正是依賴這些問題；相對地，對稱式密碼與雜湊函數只會受到 Grover 演算法帶來的平方根速度提升，透過放大參數即可補償。
「量子會摧毀密碼學」這句話既正確又有些誤導：它瞄準的是安全性可化約為群結構問題的原語，而不是無差別的暴力奇蹟。後量子密碼學其實已經存在且可以部署；NIST 已經完成標準定案（ML-KEM、ML-DSA、SLH-DSA），就是為了支援從 ECC/RSA 遷移。
在比特幣上，風險主要在簽名：若攻擊者能看到你的公鑰，Shor 演算法就能還原私鑰。對公鑰雜湊位址（P2PKH/P2WPKH）而言，公鑰只會在你花費時暴露；主要風險在於位址重複使用。但 Taproot 輸出（P2TR）與早期的 pay-to-pubkey 輸出，則在輸出建立時就暴露公鑰，不需要花費。BIP 360 的 Pay-to-Merkle-Root（P2MR）正面回應了這點：一種類似 Taproot 的輸出型別，但永遠不在鏈上放公鑰。
優先順序不在於把比特幣的後量子敘事在紙面上打磨到完美，而是現在就開始使用者遷移。讓使用者在現有的橢圓曲線花費路徑旁，附加一條後量子花費路徑。在「和平時期」，他們仍然使用 Schnorr/ECDSA；後量子金鑰則處於閒置狀態。如果出現「明確且迫在眉睫的危險」，整個網路就可以棄用橢圓曲線簽名，而不必再等待數年進行大規模遷移。這不必是最終方案——現在先選一個保守的，之後再改進。遷移時鐘的單位是採用率，而不是工程難度。
我的看法是，比特幣應該選擇雜湊式簽名作為這個逃生艙。並不是因為格基（ML-DSA）不好，而是因為雜湊式幾乎是密碼學中最接近「安全到不能再安全」的東西：結構極簡、魔法極少、留下陷門的空間也最小。它也出乎意料地容易審計與理解，這很符合比特幣的精神。
SPHINCS+（SLH-DSA）是標準選擇，但它產出的簽名相當大，為了達到「無狀態性」約需 8 kB。比特幣其實並不「真的」需要這個性質。UTXO 模型天生是用完即丟；系統性的位址重用從來不是設計的一部分，而整個基礎設施也很好地支援了這點。像 XMSS 這一類有狀態的方案，能產出小得多的簽名（約 2.5 KB），而比特幣的花費模型也相當自然地符合這項限制。
Blockstream Research 的 SHRINCS 結構兩者兼具：以有狀態模式為主，如果你遺失狀態，則退回到無狀態的 SLH-DSA。Jonas Nick 的 SHRIMPS 延伸則解決了多裝置簽名的問題。兩者皆為純雜湊式，而且都已在 Liquid 上實際運行。
一旦跨過可信的「Shor 已經出現」門檻，第一要務是阻止無法逆轉的竊取，而不是搶救所有舊輸出。最安全的預設是緊急開關：在共識層面讓橢圓曲線簽名變得不可花費。暫時鎖定可以回復；量子竊取卻不可逆。對那些從未暴露公鑰的輸出，可以透過 ZK 證明（例如 STARK），讓正當擁有者在不洩露金鑰的前提下，證明自己知道解鎖見證。對已暴露金鑰的輸出，唯一可行的救援途徑，是依賴另一個秘密，例如 HD 錢包種子。沒有這兩條路徑的幣——休眠幣、早期幣、Satoshi 的幣——則會保持鎖定。與其從「原本就遺失」變成「現在被偷」，不如維持前者。
StarkWare 於 2026 年 4 月的一篇論文展示，在現有共識規則下，今天就能實現量子安全的比特幣交易。這個構造確實相當巧妙，但可惜的是，社群對它的反應暴露了比特幣圈內的真實問題。這個技巧在實務上非常不切實際，也無法取代軟分叉，但對於「什麼都不要做」這種根深柢固的立場來說，它已經被當成不去按下那個「可以輕鬆修好一切」開關的藉口。
先讓每個人都有救生衣。別想太多。困難之處不在密碼學本身，而是在於如何讓數以百萬計的使用者，以及每個錢包、託管方、交易所與簽名設備完成遷移。Tezos 採取的就是這種做法：將後量子準備分成兩條路（使用者金鑰遷移 vs 協議密碼學），讓使用者現在就附加一把後量子備用金鑰，若威脅成真，再棄用橢圓曲線簽名。趁著還沒有緊迫壓力時，就開始進行社會層面的遷移，因為在緊急狀態下，生態系往往會犯錯。先把救生衣穿好，再來爭論要怎麼改造船。