围绕“量子计算会不会很快攻破比特币”的讨论又热了起来。Derrick Cui 在文中给出的判断很直接：按现在的硬件进展，距离用量子计算机实用化攻击 BTC 和其他依赖椭圆曲线密码的系统，仍然差着几个数量级，最早也要看到 2035 年前后。
文章指出，过去几年最大的变化主要发生在理论层面，而不是机器规模本身。2022 年，破解 ECC（椭圆曲线密码）在理论上需要约 3.17 亿个物理量子比特；到 2026 年，这个数字已被新论文压到 50 万以下。与此同时，硬件指标也在改善：双量子比特保真度从 2005 年约 90% 提升到如今的 99.9% 以上，相干时间从约 1 微秒拉长到约 1 毫秒。
但决定实用攻击能否落地的关键指标，并没有同步跨越。文中称，当前单台机器中，真正能运行实际算法的量子比特数大约只有 105 个，而理论所需水平约为 50 万个，两者之间仍有巨大差距。
Q 日时间表：没人能给出精确答案
文中把“量子计算破解密码之日”称为 Q 日，并列出几组被频繁引用的判断。
- Justin Drake 认为，2030 年前出现这种能力的概率为 10%，2032 年前达到 50%。
- 美国国家标准与技术研究院和美国国家安全局把淘汰易受攻击密码体系的目标定在 2035 年。
不过，作者强调，量子计算并不存在一个对应摩尔定律的稳定缩放路径。过去 4 年里，理论所需条件下降了约 600 倍，但机器规模在过去 10 年可能只增长了 10 倍左右。也正因为这两条曲线并不同步，真实时间表并不能被准确预测。
破解 ECC 到底需要什么
文章先梳理了几个基础概念。
物理量子比特，指量子计算机中的量子比特总数。
逻辑量子比特或纠错量子比特，指经过纠错后真正可以稳定用于计算的量子比特。文中举例，distance-5 码意味着要用约 49 个物理量子比特存储 1 个量子比特的信息。
非 Clifford 门，指经典计算机难以模拟的一类量子门，其中包括 T 门。
T 门，是对单个量子比特施加 45 度相位旋转的操作。对于超导量子计算机，这一效果通过微波脉冲诱导。
魔术态，是预先准备好、一次性消耗的量子比特资源。由于非 Clifford 门不能直接作用在纠错量子比特上，机器需要借助纠缠、测量和纠正的“门隐形传态”过程，消耗魔术态来间接执行这些门。
Toffoli 门，作用于 3 个量子比特，由约 7 个 T 门构建，优化后可降至 4 个，再配合 Clifford 门实现。文中指出，在纠错量子比特体系里，执行一个 Toffoli 门的唯一方法就是消耗一个魔术态。
Shor 算法，由 1994 年提出，是量子计算机破解 RSA 和 ECC 的核心方法，本质上依赖周期查找。
校验子，是用于检测数据量子比特是否出错的结果流。
提纯，则是把多个噪声魔术态组合处理，输出一个更干净魔术态的过程。文中提到，一个典型例子是消耗 15 个噪声态，得到 1 个质量更高的态。
2026 年论文把理论门槛压到了什么程度
按文中的介绍，2026 年一篇论文通过新的电路设计和 Shor 算法“预处理”，把破解 ECC 所需计算量继续压低。这项工作讨论的是在一台超导量子计算机上破解 ECC 的可行路径。
按论文估算，完成这类攻击大致需要：
- 约 1,200 个逻辑量子比特；
- 无错误串联约 9,000 万个 Toffoli 门；
- 在当前纠错水平下，对应约 50 万个物理量子比特；
- 运行时间为数分钟。
文中明确指出，这一数字一旦实现，不只是比特币和以太坊，SSH、TLS、HTTPS 等同样基于 ECC 的系统也会受到影响。
从物理量子比特到破解 ECC，中间卡在哪些环节
第一关：把足够多的量子比特塞进一台机器
最底层的问题仍然是规模。控制线路、解码芯片、激光束、布线，都限制了量子比特的堆叠。
这里理论进展很快。文中列出的路线是：2022 年约需 3.17 亿个量子比特，2023 年 Litinski 的估算降至约 900 万个，到 2026 年进一步降到 50 万个。
硬件端也有进步，但和理论压缩幅度不是一个量级。加州理工在 2025 年用光镊固定了 6,100 个量子比特，不过只是固定，并不是计算。IBM 的 Condor 芯片可容纳 1,121 个量子比特，但噪声太高，无法运行真实算法。文中称，真正跑过实际算法的最大芯片大约是 105 个量子比特，对应谷歌 Willow，时间为 2026 年 3 月。
第二关：把噪声量子比特捆成可靠的逻辑量子比特
即便量子比特数量够多，纠错也仍然是硬门槛。文中提到，2026 年论文要求串联约 9,000 万个 Toffoli 门，而且每一个都必须成功。这意味着单次操作的逻辑错误率要低于约 1/90,000,000；更现实的“北极星”目标是逻辑错误率达到约 10⁻⁹ 或更低。
谷歌在 2024 年展示了由 101 个物理量子比特构成的 1 个逻辑量子比特，即 distance-7 方案，其错误率比 49 个物理量子比特构成的 distance-5 低 2.14 倍，而后者又比 17 个物理量子比特构成的 distance-3 低 2.14 倍。这说明，随着物理量子比特增加，错误率在持续下降。
但下降幅度离可攻击 ECC 的要求还很远。文中给出的数据是，101 量子比特的 distance-7 逻辑量子比特错误率为每周期 1.4×10⁻³，和目标相比仍高出约一百万倍。
第三关：纠错过程本身要实时跑得动
量子纠错不是静态设计，而是要在机器运行期间持续解码。对超导量子计算机来说，大约每 1 微秒就会吐出一轮校验子数据，经典解码器必须在不到 1 微秒的时间里完成这一轮处理，而且需要持续不断地跟上机器规模扩张。
文中列出两项进展：
- Riverlane 的局部聚类解码器发表于《自然通讯》2025 年 12 月，被描述为首个实现每轮低于 1 微秒且具备自适应能力的硬件 FPGA 解码器。
- 谷歌的 AlphaQubit 2 在 2026 年 3 月实现了每周期低于 1 微秒的实时神经解码，可支持到 distance 11；模拟结果显示，一个 TPU 可达 distance 25。
不过，文章也明确写道，这些结果距离 50 万量子比特的规模仍然非常遥远。
第四关：制造足够多的魔术态
在纠错框架里，难门的执行离不开魔术态，而 ECC 攻击大约要消耗 9,000 万个 Toffoli 门，也就对应海量魔术态需求。文中把这部分称为主要吞吐量瓶颈之一。
提纯工厂本身由逻辑量子比特块和路由通道组成，在计算时常常处于闲置状态，但又必须占用大量资源。文中称，规模化以后，这类工厂通常会占掉总物理量子比特的约 2% 到 10% 以上。
这里也不是毫无进展。魔术态培养在 2024 年把单个魔术态的成本大幅压低；QuEra 则在 2024 年只用 5 个逻辑量子比特展示了逻辑级提纯。
第五关：测量和经典后处理不是核心障碍
文章认为，这一步不是瓶颈。把逻辑量子比特测量出来，再交给经典计算机完成后处理，也就是把测量结果转成周期并进一步恢复私钥，这一套流程已经比较清楚，成本也不高。
作者未展开但点到的研究前沿
文中还列出了一系列没有详细展开、但与量子计算实用化密切相关的方向，包括：
- 快时钟与慢时钟架构
- 模块化和多芯片架构
- 阈值以下纠错码
- 表面码与 qLDPC 码
- 魔术态成本
- 魔术态路由与编译
- 相干时间
- 在量子比特上同时运行存储与计算
- 低温控制电子设备
- 泄漏和相关错误
关于 IBM 的 qLDPC 进展，作者专门说明没有展开讨论，原因是其目前展示的主要是存储量子比特，而不是在其上进行计算。
比特币面临的真实风险是什么
文中对比特币风险的拆解相当具体。核心点在于，Shor 算法能做的是：在已知公钥 Q 的前提下，恢复对应私钥 k。拿到私钥后，攻击者就能像密钥持有人一样签名转账，把资产转走，而且这笔交易在协议上完全有效。
但比特币地址本身不是公钥，而是公钥哈希，先经过 SHA-256，再经过 RIPEMD-160。哈希属于另一类数学问题，文中称 Shor 算法无法破解它。
真正的问题出在花币时的公钥暴露。用户想授权一笔交易，必须公开公钥 Q，而这个公钥会永久保留在链上。也就是说，任何曾向其他地址发送过比特币的地址，都可能在未来被量子攻击。现代钱包通常在每次发送 BTC 时把全部余额转到一个新地址，以降低这一风险。
文中给出的估算是，大约有 670 万枚 BTC 已经暴露，存在被量子计算盗取的可能。这部分风险被作者看作更现实的问题。
Justin Drake 还讨论过另一类风险：在比特币 10 分钟出块时间窗口内，攻击者完成私钥恢复并抢先盗币。文中提到，他引用的论文认为这可能在 9 分钟内完成。但作者认为，这个问题远没有前述 670 万枚已暴露 BTC 的风险严重。
在治理层面，作者给出的结论也很明确：真正的解决办法只有一个，就是让所有人迁移到量子安全密钥，而在一段时间后销毁那些没有完成迁移的比特币。技术并非不存在，难点在于让比特币社区就这类方案达成一致。
以太坊为什么更直接暴露在同类问题下
以太坊底层使用与比特币相同的椭圆曲线 secp256k1，也使用相同的签名方案 ECDSA，所以从密码学结构上说，破解路径是一样的：给定公钥，用 Shor 算法恢复私钥；拿到私钥，攻击者就成为账户所有者。
问题在于，以太坊采用持久账户模型，地址会被反复使用。文章指出，这意味着如果量子计算今天就已经具备可攻击能力，那么每一个发过交易的钱包都可能被直接接管。
文中认为，从协议角度替换 ECDSA 并不难，难的是后量子签名比 ECDSA 大得多，节点需要存储更多内存。这也是以太坊在讨论改变签名方案时，同时转向 zk 的原因。
另一层约束是用户迁移。每一个用户都必须主动把旧密钥迁移到新密钥；那些没有迁移的账户，则需要被销毁，防止黑客在未来接管它们。
为什么量子计算能破解 ECC，而经典计算机做不到
文章后半部分给出了一段较长的技术解释。作者先从公钥密码学讲起：它允许两个参与方在不可信网络上安全通信，而不需要预先共享秘密。
不同协议依赖不同数学难题。Diffie-Hellman 密钥交换依赖离散对数，ECDSA 依赖椭圆曲线离散对数问题，RSA 则依赖因式分解。文中把它们共同的经典瓶颈概括为“周期性”难题，而量子计算机擅长处理的实际数学任务就是寻找周期。
ECC 的基本结构
作者把 ECC 形容成一条单向街道。从曲线上的公共点 G 出发，向前“跳” k 次，到达新点 Q。向前算很快，但如果只给出起点 G 和终点 Q，要倒推出跳了多少次，在经典计算机上没有已知的快捷方法。
这里，跳跃次数 k 就是私钥，终点 Q 就是公钥。数学表达为：
- 椭圆曲线是在有限域上满足 y² = x³ + ax + b 的点集；
- G 是公开基点，由标准固定；
- 给定私钥 k，公钥为 Q = kG；
- 通过倍加法从 k 计算 Q，需要 O(log k) 次群运算；
- 从 (G, Q) 反推出 k，属于 ECDLP，也就是椭圆曲线离散对数问题，经典方法基本只能试错，因此非常慢；
- Shor 算法则能在多项式时间里解决 ECDLP，把问题转成在 G 生成的群上寻找周期。
文中还配了一个 mod 17 的玩具示例：曲线为 y² ≡ x³ + 7（mod 17），秘密是 k = 6，也就是从 G 跳到 Q 需要 6 步。这个例子能手工数出来，但真实 ECC 使用的模空间大约是 2²⁵⁶。
Shor 算法怎样把私钥变成“斜率问题”
文章把破解 ECC 归结为一个函数：f(x, y) = xG + yQ，其中 G 是公开生成器，Q 是被攻击目标的公钥。由于 Q = kG，这个函数又可以写成 f(x, y) = (x + ky)G。
这里会出现一个关键性质：如果把输入按 (k, -1) 的方向平移，输出不会变化，因为 (x + k) + k(y - 1) = x + ky。结果就是，f 在整个 (x, y) 网格上会沿着一组平行对角线重复，而这些对角线的方向正编码了私钥 k。
经典计算机要想找出这种结构，只能暴力寻找不同输入对映射到相同输出的碰撞。量子计算机则能：
- 在叠加态里同时评估所有 (x, y) 对的 f；
- 虽然单次测量会坍缩到随机点，直接观测不到规律；
- 但经过傅里叶变换后，除重复方向外的幅度会相互抵消，留下频率峰值，再通过经典数学运算恢复 k。
文中的示意图里，每个金色单元格代表一组输入对 (x, y)，它们产生相同输出点，并以“向右 k、向下 1”的固定步长重复，所以私钥体现在这些对角线的方向上。玩具例子取 k = 2、n = 13；真实规模下，网格会有 2²⁵⁶ 列，经典机器一次只能看一个格子，因此这种模式并不可见。
mod 17 例子之外，作者又给了一个 mod 19 的完整流程
为了更具体地解释，文中使用整数 mod 17 上的曲线 y² = x³ + 2x + 2，并给出一个更完整的量子计算流程。作者写道，这个问题之所以简单，是因为它在 mod 17 下；真实系统通常在 mod 2²⁵⁶ 下运算。该例中，曲线恰好有 n = 19 个点，G = (5, 1) 生成所有点。假设公钥 Q = (0, 6)，目标是找出满足 Q = kG 的 k。答案是 k = 7。
量子流程被拆成几个阶段：
- 设置：准备两个计数寄存器，分别保存 x 和 y，各自覆盖 0 到 18；再准备一个工作寄存器保存曲线点。作者强调，这和 RSA 因式分解的差异在于，这里 n = 19 是公开的，所以可以在 mod-19 算术上精确执行 QFT，峰值是完全尖锐的。
- 阶段 1——初始化：重置所有寄存器，把工作寄存器置为单位点 O，也就是曲线上的“零”。
- 阶段 2——叠加：对两个计数寄存器施加 Hadamard 式叠加，使其同时包含全部 19×19 = 361 对 (x, y)。
- 阶段 3——点加法与纠缠：先在经典计算机上计算每个比特位置 j 对应的常数 2ʲG 和 2ʲQ，再根据计数量子比特的控制，把对应常数加到工作寄存器中。这样，工作寄存器最终保存 xG + yQ，并与每个 (x, y) 对纠缠。
- 阶段 4——逆 QFT 与测量：对两个计数寄存器施加逆 QFT，振幅集中到满足 v ≡ k·u（mod 19）的一条线上，测量后就会随机得到这 19 对中的一对。
文中把阶段 3 的整体状态写成对全部 361 对求和：Σ |x⟩|y⟩|xG + yQ⟩。由于 Q = 7G，工作寄存器实际保存的是 (x + 7y mod 19)G，因此只会出现 19 个不同值。每个值对应 19 对输入，构成网格中的一组对角线。秘密 k = 7 就编码在这组对角线的斜率里。
作者给了三个芯片外后处理例子：
- 若测得 (u, v) = (3, 2)，则 k = 2·3⁻¹ mod 19 = 2·13 = 26 ≡ 7；
- 若测得 (u, v) = (5, 16)，则 k = 16·5⁻¹ mod 19 = 16·4 = 64 ≡ 7；
- 若测得 (u, v) = (0, 0)，则无信息，需要重跑。文中称，只要 u ≠ 0，结果都有效，因此 19 次里有 18 次可用。
作者最后提醒，之所以关心求出 k，是因为它就是私钥。一旦得到它，攻击者和原本的私钥持有人在协议层面没有区别。
当前主流量子比特路线
文章最后还概括了几类主流量子比特技术路径。作者给出的表述是，凡是能以概率形式处在 0 和 1 之间输出状态的系统，都可能被用来制造量子比特。
- 超导电路：Google、IBM、Rigetti、IQM 采用这一路线，基于 LC 电路，属于“人造原子”思路。
- 囚禁离子：IonQ、Quantinuum 采用，通过激光制造叠加态并读出状态。
- 中性原子：QuEra、Pasqal、Atom Computing 采用，通过光学镊子固定不带电原子。
- 光子：PsiQuantum、Xanadu 采用，利用单光子的偏振或路径属性。
- 硅自旋量子比特：Intel、Diraq、Quantum Motion 采用，依赖电子自旋向上或向下的状态。
文末结论：恐慌太早，迁移准备不能太晚
整篇文章给出的主线并不复杂：理论上，破解 BTC 和 ETH 所依赖的 ECC 所需资源，近几年已经被大幅压缩；但硬件、纠错、解码和魔术态吞吐量这些最难的部分，并没有出现同等速度的跃迁。当前能跑真实算法的量子比特规模仍只有约 105 个，对比理论攻击所需的约 50 万个，差距依然巨大。
这也是作者为何把“最早也要 2035 年”作为现实判断的原因。短期内，量子计算不会突然把比特币私钥大规模扫空；但从长期看，已经暴露公钥的比特币、重复使用账户地址的以太坊钱包，以及向后量子签名体系迁移的治理成本，已经不是一个可以无限后拖的问题。