IOSG 在最新研究中将量子计算带来的风险概括为 Web3 正在累积的一笔“安全债务”。文章提出，所谓 Q-Day，并不是某个精确日期，而是容错量子计算机首次具备实际破解主流公钥密码能力的时间临界点。对区块链行业而言，真正的问题并不是量子计算会不会“瞬间摧毁”链上系统，而是整个生态能否在这一天到来前，完成底层密码学与存量资产的协同迁移。
文章以一个极端场景展开：如果未来某天，大量沉睡十余年的早期 BTC 地址突然开始向外转移资金，而并不存在黑客入侵或私钥泄露痕迹，那么最可能的解释就是攻击者已能从历史暴露的公钥中逆推出私钥。届时，链本身仍会继续出块，但市场与治理层面的连锁反应将迅速放大，尤其是比特币社区可能围绕是否冻结被量子能力掠夺的休眠币产生严重分裂。
Q-Day 时间窗口与量子威胁的现实边界
IOSG 指出，当前主流判断认为 Q-Day 大致落在2035 年至 2045 年，更激进的情景可能提前到 2030 年至 2035 年，而 2030 年前出现的概率仍属尾部风险。文章援引 Mosca 不等式 X + Y > Z 解释迁移紧迫性：只要数据保密期与完成迁移所需时间之和，大于距离 Q-Day 的剩余时间，系统就已经进入滞后区间。这也是“先收集、后解密”风险持续被强调的原因。
从算法层面看，量子计算的真正破坏力主要来自 Shor 算法。它能直接打击 RSA、ECC 等现代公钥密码体系，对区块链的影响远高于只会带来暴力搜索加速的 Grover 算法。后者主要削弱哈希和对称加密的安全边际，但通常可通过提高密钥长度或增加哈希输出长度来缓解；前者则可能直接击穿比特币和以太坊当前依赖的签名安全假设。
文章同时强调，量子计算本身并非只有负面意义。其正向价值主要集中在量子化学、药物研发、新材料、能源技术，以及物流、金融、供应链、芯片设计等复杂优化问题。但在退相干、物理噪声、纠错成本和可扩展性等约束下，产业化仍处于从实验室走向工程应用的关键阶段。这也意味着，行业需要在不确定的技术进展中，为高影响低概率风险提前布局。
后量子密码学已成主线，但迁移难点不在算法
IOSG 认为，抗量子迁移的现实主线已经较为明确，即采用后量子密码学（PQC）替代现有公钥体系。当前最主流的两条路线分别是基于格的方案与基于哈希的签名方案。前者代表包括 ML-KEM、ML-DSA，后者则以 SLH-DSA 为代表。相比理论上更具未来感的量子密钥分发等方案，PQC 最大优势在于仍可运行在现有经典计算架构上，具备更强的大规模部署可行性。
文章梳理了 NIST 的标准化进展。2024 年 8 月，美国国家标准与技术研究院正式发布 FIPS 203、FIPS 204 和 FIPS 205，分别对应 ML-KEM、ML-DSA 与 SLH-DSA，基本确立了“一封装、两签名”的迁移框架。与此同时，HQC 已在 2025 年 3 月被选为第五个 PQC 算法，草案标准预计 2026 年发布，正式标准预计 2027 年落地，用作 ML-KEM 的非格基备份方案。
不过，IOSG 强调，区块链行业面临的核心障碍并不是缺乏可用算法，而是缺乏可快速完成全网替换的治理与协同机制。与 Web2 可通过证书轮换、账号冻结、中心化运维快速响应不同，公链体系具有账本永久公开、资产转移不可逆、私钥自托管三重特征。也就是说，一旦签名体系遭到结构性击穿，后果会被直接映射为资产风险，而不存在中心化兜底。
比特币：高风险集中于已暴露公钥与休眠 UTXO
在 IOSG 看来，比特币的量子风险并不是平均分布于所有 BTC。真正暴露在高风险中的，是那些公钥已在链上暴露且仍持有余额的 UTXO，包括早期 P2PK、Taproot（P2TR）输出，以及已花费并复用、但地址上仍有余额的 P2PKH/P2WPKH。对于这类资产，一旦容错量子计算机可用，攻击者理论上能直接利用 Shor 算法恢复私钥并伪造签名。
相比之下，尚未暴露完整公钥、仅暴露公钥哈希的未花费 P2PKH/P2WPKH 输出，风险更多体现在未来花费时的短暂“量子抢跑窗口”。而未来若通过软分叉迁移到量子安全地址，风险可显著下降。但这一路径依赖钱包、节点、矿池、交易平台、托管方和硬件钱包的长期同步升级，难度远高于单点代码修改。
文章认为，比特币更现实的迁移方向是通过软分叉引入新的抗量子输出类型，例如 BIP-360、P2MR 等讨论中的思路，而不是一次性通过硬分叉淘汰 ECDSA 或 Schnorr。问题在于，候选 PQ 签名方案体积普遍远大于现有签名。现行 ECDSA/Schnorr 签名约为 64 至 72 字节，而 ML-DSA 约为 2.4 至 4.6 KB，SLH-DSA 则可达 7 至 49 KB。签名膨胀会直接推高区块权重、手续费、节点存储和带宽压力，并恶化 UTXO 集与钱包体验。
更复杂的是休眠币的治理问题。即便未来上线 PQ 地址，如何处理长期不迁移的遗留 UTXO，尤其是市场常与中本聪时代联系在一起的大量长期休眠 BTC，仍将触碰比特币最核心的价值观。若完全不作为，这些资产可能成为最先被量子攻击者收割的目标；若强制冻结或作废，又会直接冲撞“Not your keys, not your coins”与不可篡改叙事。IOSG 提到，所谓“Legacy Sunset”机制，本质上就是试图在长期预警、提高旧输出花费摩擦和最终软分叉限制之间寻找折中路径，BIP-361 一类讨论也属于这一范畴。
以太坊：执行层、共识层与数据层的全栈重构
与比特币相比，以太坊的抗量子路线更偏向主动规划。IOSG 指出，以太坊基金会 Post-Quantum 团队已通过 All Core Devs 等治理流程持续推进研究，核心策略不是押注单一 PQ 算法，而是提升整个网络的密码敏捷性。这意味着账户认证、共识签名、证明系统和数据层承诺都需要具备可替换、可升级的能力，以应对未来算法演进。
文章将以太坊的量子风险概括为四大组件：EOA 账户使用的 ECDSA/secp256k1、验证者共识依赖的 BLS 签名、数据可用性相关的 KZG 承诺，以及部分 ZK 证明系统。围绕这些组件，以太坊正在沿执行层、共识层、数据层三条轨道推进“Lean”路线图。执行层方面，账户抽象机制如 ERC-4337、EIP-7702 被视为缓冲带，可让智能合约钱包率先获得签名敏捷性，并支持混合签名与渐进迁移，L2 则天然适合作为试验场。
共识层方面，以太坊瞄准的是对 BLS 的长期替换。IOSG 提到的方案包括基于哈希的 leanXMSS，以及配合极简 zkVM 的 leanVM，用于完成 SNARK 聚合。其中一个关键卖点是，leanVM 预计可将哈希签名带来的数据膨胀压缩约 250 倍，从而在迈向后量子时代的同时，尽可能保留现有聚合签名的扩展优势。
至于数据层，文章认为 KZG 在容错量子计算条件下的长期安全假设需要重新审视，最终可能需要向更适合后量子环境的承诺或证明系统迁移，例如基于哈希的 STARK，或基于格的承诺方案。这不是短期补丁，而是多年期协议重构。与此同时，真正可能率先承压的并不一定是协议本身，而是交易平台、跨链桥、托管热钱包、治理和升级密钥、L2 sequencer 与 admin key 等高价值 operational keys。
行业结论：Q-Day 前的窗口或只剩 5 至 8 年
IOSG 最终给出的判断是，量子计算并非会一夜终结区块链，而是将迫使行业在未来 5 至 15 年内完成一次大规模密码学迁移。但从工程准备角度看，真正相对从容的窗口可能只剩5 至 8 年。这要求从 BIP、EIP 提案，到节点实现、钱包适配，再到交易平台和托管机构的合规升级，整个链路必须尽早启动。
文章进一步提醒，市场重定价未必会等到 Q-Day 真正到来。一旦量子资源估算显著下修、硬件路线图提前，或监管机构和大型托管方开始提出 PQC 合规要求，加密资产的安全模型就可能被重新评估。在这一背景下，比特币面对的是围绕不可篡改性、产权和遗留 UTXO 处置的全球治理博弈；以太坊面对的则是账户、共识、DA、ZK 与 L2 共同参与的全栈升级复杂度。对整个 Web3 来说，后量子迁移已不再是边缘议题，而是正在逼近的系统性基础设施工程。