在过去几个月里，比特币长期存在的“量子抗性”担忧，已经从学术好奇心演变为现实中的风险管理问题。Jefferies 的 Christopher Wood 因量子风险将比特币从其长期模型投资组合中移除。
Coinbase 成立了一个“量子计算与区块链独立顾问委员会（Independent Advisory Board on Quantum Computing and Blockchain）”。在技术社区内部，BIP 360（量子抗性输出类型）作为草案被合并进官方 BIP 代码库，Blockstream 也在一条生产侧链上广播了首批后量子签名交易。
自那之后，时间线的压缩只会加速。2026 年 3 月 25 日，Google 宣布其所有系统必须在 2029 年前迁移到后量子密码学。在 2025 年 5 月到 2026 年 3 月之间发表的三篇论文，将破解公钥密码所需的量子比特预估成本降低了大约三个数量级：从约 2000 万个物理量子比特，下调到可能不足 10 万个。
2026 年 3 月 Google Quantum AI 的一篇论文估计，椭圆曲线密码学可以被少于 50 万个物理量子比特在几分钟内攻破；Google 没有公开攻击电路，只公布了该结果的零知识证明。Caltech/Oratomic 的一个团队则建议，大约 2.6 万个可重构原子量子比特就能在约十天内破解 ECC-256。“实验室好奇心”和“密码威胁”之间的鸿沟，从两个方向同时在收缩：算法压缩与硬件扩展同步推进。
要理解威胁，需要看清量子计算机能做什么、不能做什么。它们并不是“并行尝试所有密钥”。Shor 算法对离散对数和因数分解提供指数级加速——椭圆曲线和 RSA 密码的安全性正是建立在这些问题之上；而对称密码和哈希函数只在 Grover 算法下遭遇平方根级加速，通过放大参数就能补偿。
“量子会击穿密码学”这种说法既正确又容易误导：它瞄准的是安全性可归约到群结构问题的原语，而不是一种不加区分的暴力奇迹。后量子密码学已经存在并可在今天部署；NIST 已经最终确定了标准（ML-KEM、ML-DSA、SLH-DSA），就是为了支持从 ECC/RSA 迁移。
在比特币中，风险特别体现在签名上：只要攻击者能看到你的公钥，Shor 算法就能恢复你的私钥。对于公钥哈希地址（P2PKH/P2WPKH），公钥只在你花费时才暴露；主要风险是地址重复使用。但 Taproot 输出（P2TR）以及早期的 pay-to-pubkey 输出，会在创建时就暴露公钥，无需等待花费。BIP 360 的 Pay-to-Merkle-Root（P2MR）正面解决了这一点：一种类似 Taproot 的输出类型，却从不在链上放公钥。
当前的优先事项不是在纸面上把比特币的后量子故事讲到尽善尽美，而是现在就启动用户迁移。让用户在现有椭圆曲线路径旁边，附加一条后量子支出路径。在“和平时期”，他们继续使用 Schnorr/ECDSA；后量子密钥则保持未用状态。如果出现“明显而紧迫的危险”，网络可以弃用椭圆曲线签名，而不必再等待数年完成大规模迁移。它不必是一开始就“最终版”的方案——现在先选一个保守的，之后再改进。迁移时钟是由采用速度决定的，而不是工程难度。
我的看法是，比特币应该为这个逃生舱选择基于哈希的签名。原因并不是说基于格的（如 ML-DSA）不好，而是因为哈希签名几乎是密码学中最接近“安全到不能再安全”的东西：结构最少、魔法最少、预留后门的空间也最少。它也出奇地容易审计和理解，这很契合比特币的精神。
SPHINCS+（SLH-DSA）是标准选择，但为了实现“无状态性”，其签名相当庞大，约 8 KB。比特币并不“真正”需要这一性质。UTXO 模型本身就是一次性用完即弃；系统性的地址复用从来不是设计初衷，配套基础设施对这一点也相当适应。像 XMSS 这样的有状态方案能产生小得多的签名（约 2.5 KB），而比特币的支出模型也天然适配这种约束。
Blockstream Research 的 SHRINCS 构造两者兼得：一个是有状态的主工作模式，如果你丢了状态，还有一个无状态的 SLH-DSA 备用路径。Jonas Nick 的 SHRIMPS 扩展解决了多设备签名问题。两者都纯粹基于哈希，并且已经在 Liquid 网络上运行。
一旦跨过某个可信的“Shor 已经到来”的门槛，首要任务是阻止不可逆的盗窃，而不是拯救每一笔遗留输出。最安全的默认方案是一键“熄火”：在共识层面让椭圆曲线签名不可花费。临时锁定是可逆的；量子盗窃却不是。对于那些公钥从未暴露过的输出，可以用零知识证明（例如 STARK），让合法所有者在不暴露密钥的情况下，证明自己掌握解锁见证。对于已经暴露公钥的输出，唯一可行的拯救途径是依赖另一个秘密，比如 HD 钱包种子。对既没有额外路径、也没有额外秘密的币——沉睡币、早期币、甚至中本聪的币——则会一直锁着。与其“如今被盗”，不如“仍旧失联”。
StarkWare 在 2026 年 4 月的一篇论文表明，在不改动现有共识规则的前提下，实现量子安全的比特币交易在理论上今天就可行。这是一个相当巧妙的构造，但遗憾的是，围绕它的反应暴露了比特币社区中的一个真实问题。这个技巧在大规模使用上极不现实，完全不能替代软分叉，但由于“什么都不做”的惯性已经如此根深蒂固，它已经被人当作不去“轻松翻转开关、一次性修好一切”的理由。
先让所有人都穿上救生衣，别想太多。难点不在密码学本身，而在于如何让数百万用户以及每一个钱包、托管方、交易所、签名设备完成迁移。Tezos 采取的正是这种思路：把后量子准备视为两条平行轨道（用户密钥迁移 vs 协议密码学），让用户现在就附加一把后量子备用钥匙；如果威胁成真，再弃用椭圆曲线签名。在并不紧急的时候启动社会层面的迁移，因为真正紧急的时候，生态几乎注定会犯错。先穿上救生衣，再来讨论船要怎么改。