TechFlowPost 7 月 16 日刊发 Derrick Cui 的文章称，尽管理论研究近几年大幅压低了破解椭圆曲线密码（ECC）所需的量子硬件门槛，但现实中的量子计算机距离实用攻击仍有数个数量级的差距。文章给出的核心判断是：现在远未接近所谓的“Q 日”，也就是量子计算机能够实际破解现代公钥密码的那一天。
文中提到，ECC 被用于 TLS、比特币和 HTTPS。按 2026 年论文的理论结果，若要在一台超导量子计算机上运行针对 ECC 的攻击，约需 1,200 个逻辑量子比特，并在无错误条件下连续链接约 9,000 万个 Toffoli 门。按当前纠错水平折算，这大致意味着约 50 万个物理量子比特，以及数分钟运行时间。
理论门槛下降很快，硬件规模没有跟上
文章给出的对比显示，最大的进展主要来自理论层面。算法设计和纠错方案优化，已经把破解 ECC 所需的物理量子比特规模，从 2022 年的约 3.17 亿个降至 2023 年 Litinski 提出的约 900 万个，再降至 2026 年的 50 万个以下。
硬件性能也在进步。文中写道，双量子比特保真度已从 2005 年约 90% 提升到现在的 99.9% 以上，相干时间也从约 1 微秒延长到约 1 毫秒。但最关键的指标并不是这些，而是单台机器中能稳定用于真实算法的量子比特数量。这个数字目前几乎没有出现相应级别的增长：现阶段能运行真实算法的量子比特数约为 105 个，而理论攻击所需规模约为 50 万个。
作者据此认为，理论与硬件之间仍存在巨大鸿沟。文章还提到，量子计算没有类似摩尔定律的清晰等价物。过去四年，理论所需条件下降了约 600 倍，但机器规模在过去十年可能只增长了 10 倍，因此很难准确判断真正的时间表。
关于“Q 日”的预估，文中列出 Justin Drake 的判断：2030 年前发生的概率为 10%，2032 年前为 50%。美国国家标准与技术研究院和美国国家安全局则把淘汰易受攻击密码的目标定在 2035 年。
文中如何定义量子计算中的关键概念
文章先对若干基础概念作了解释。
- 物理量子比特：量子计算机中的量子比特总数。
- 逻辑量子比特或纠错量子比特：经过纠错后可实际用于计算的量子比特。文中举例，distance-5 码大致意味着用约 49 个物理量子比特存储 1 个量子比特信息。
- 非 Clifford 门：经典机器难以模拟的一类计算操作，其中包括 T 门。
- T 门：对单个量子比特施加 45 度相位旋转的操作。对超导量子计算机而言，这种效果依靠微波脉冲诱导。
- 魔术态：预制的一次性量子比特，预先携带了非 Clifford 门所需资源。由于非 Clifford 门不能直接作用于纠错量子比特，实际计算要通过消耗魔术态，以纠缠、测量和纠正的方式间接实现，也就是门“隐形传态”。
- Toffoli 门：作用于 3 个量子比特，通常由约 7 个 T 门构建，优化后可降至 4 个，再配合 Clifford 门实现。对纠错量子比特而言，应用一个 Toffoli 门的办法是消耗一个魔术态。
- Shor 算法：1994 年提出，可用于破解 RSA 和 ECC，核心是把问题转化为周期查找。
- 校验子：用于检测数据量子比特是否发生错误的结果流。
- 提纯：把多个噪声魔术态组合起来，得到一个更干净魔术态的过程。文中举例，15 个噪声态可输出 1 个显著更干净的态。
破解 ECC 需要怎样的计算管线
文章把量子攻击 ECC 的整体流程概括为四步：先把物理量子比特布置到芯片上；再把大量物理量子比特捆绑成带纠错能力的逻辑量子比特；随后在逻辑量子比特上运行算法，并为困难门持续供给魔术态；最后进行测量，并由经典计算机完成后处理。
第一步：从噪声物理量子比特开始
第一道难题是，如何把足够多的量子比特物理地放进一台机器里。这涉及控制线路、解码芯片、激光束和布线等现实工程约束。
文章列出几项现有进展。2025 年，加州理工利用光镊固定了 6,100 个量子比特，但只是固定，并不是进行计算。IBM 的 Condor 芯片可容纳 1,121 个量子比特，但噪声过高，无法运行真实算法。真正运行过实际算法的最大芯片规模约为 105 个量子比特，文中对应的是谷歌 Willow，时间为 2026 年 3 月。
第二步：通过纠错把它们捆绑成可靠的逻辑量子比特
2026 年论文要求约 9,000 万个 Toffoli 门按顺序完成，而且每一步都必须成功。这意味着单次操作的逻辑错误率必须低于约 1/90,000,000。文章称，现实中的目标“北极星”大致是逻辑错误率达到约 10⁻⁹ 或更低。
在这一点上，谷歌 2024 年展示过一个重要结果：由 101 个物理量子比特组成的 1 个逻辑量子比特，也就是 distance-7，其错误率比 49 个物理量子比特组成的 distance-5 低 2.14 倍；后者又比 17 个物理量子比特组成的 distance-3 低 2.14 倍。文章认为，这说明随着物理量子比特数量增加，错误确实在持续下降。
不过，距离攻击 ECC 所需水平仍然很远。文中写道，101 量子比特的 distance-7 逻辑量子比特错误率为每周期 1.4×10⁻³，仍大约高出目标一百万倍。
第三步：维持纠错系统持续运行
即便得到了逻辑量子比特，还必须让纠错持续工作，否则量子信息无法存活足够长时间。难点在于解码器必须随着量子比特规模扩张同步提升性能。
文中提到，超导量子计算机大约每 1 微秒发出一轮校验子数据，经典解码器必须在不到约 1 微秒内处理完整轮结果，而且需要连续运行。
在这方面，Riverlane 的局部聚类解码器发表于 2025 年 12 月《自然通讯》，被文中称为首个达到每轮 1 微秒以下、且具备自适应能力的硬件 FPGA 解码器。谷歌 AlphaQubit 2 在 2026 年 3 月实现了对 distance 11 的实时神经解码，每周期耗时低于 1 微秒；模拟结果显示，一个 TPU 可支持到 distance 25。即便如此，距离 50 万量子比特级别的完整系统仍相差很远。
第四步：持续制造并消耗魔术态
ECC 攻击中，每一个困难门，也就是 Toffoli 门，都要消耗一个魔术态。文章给出的规模是约 9,000 万个 Toffoli 门，因此魔术态的制造、提纯和输送成为主要吞吐瓶颈。
作者解释说，提纯工厂本质上是一块逻辑量子比特区域加上路由通道。在计算期间，这部分资源不能用来执行别的任务。到了大规模系统中，这类工厂通常要占总物理量子比特的约 2% 到 10% 以上。
已有进展也被列出。魔术态培养在 2024 年显著降低了单个魔术态成本。QuEra 则在 2024 年仅用 5 个逻辑量子比特展示了逻辑级提纯。
测量与经典后处理不是瓶颈
文章认为，最后一步并不构成主要障碍。对逻辑量子比特进行测量，并由经典计算机把结果转换为周期再推导私钥，这套后处理流程已经比较清楚，成本也较低。
作者没有展开的研究前沿
文中还列出了一批没有详细展开、但仍处于研究前沿的话题，包括快时钟与慢时钟架构、模块化和多芯片架构、阈值以下纠错码、表面码与 qLDPC 码、魔术态成本、魔术态路由与编译、相干时间、在量子比特上运行存储与计算、低温控制电子设备，以及泄漏和相关错误等。
作者特别说明，没有讨论 IBM 在 qLDPC 方向的进展，因为其展示截至目前主要还是量子比特存储，而不是在其上执行计算。
比特币面临的风险，关键在公钥是否暴露
文章专门讨论了比特币。其基本结论是，Shor 算法在已知公钥 Q 的情况下可以恢复私钥 k。一旦私钥被恢复，攻击者就能够像原持有人一样签名，把币转到自己控制的地址，而且这笔交易在协议层面完全有效。
但作者同时强调，比特币地址本身并不是公钥，而是公钥先经 SHA-256，再经 RIPEMD-160 得到的哈希值。哈希属于另一类数学问题，Shor 算法无法直接破解。
真正的风险来自于交易时公开公钥。为了授权转账，用户必须公开公钥 Q，而这个公钥会永久保留在链上。因此，任何曾向其他地址发送过比特币的地址，都可能在量子攻击可行后面临风险。现代钱包的常见做法是，每次转账都把全部余额转到一个新地址，以此降低暴露时间。
文中给出的数字是，约有 670 万枚 BTC 已经暴露，理论上可能被量子计算盗取。
文章还提到 Justin Drake 对另一个场景的讨论，即在比特币 10 分钟出块时间内窃取私钥的风险。他列出的论文显示，这种攻击可能在 9 分钟内完成。不过作者认为，相比链上已经暴露的 670 万枚 BTC，这个问题没有那么严重。
在应对方案上，文中观点很直接：唯一真正的办法，是让所有人都迁移到量子安全密钥，相关技术已经存在；随后在一段时间后销毁那些没有迁移的比特币。作者写道，让比特币社区就此达成一致将会非常困难。
以太坊风险与比特币类似，但账户模型不同
文章称，以太坊使用与比特币相同的椭圆曲线 secp256k1，以及相同的签名方案 ECDSA，因此底层破解方式没有区别：只要已知公钥，Shor 算法就能恢复私钥，进而接管账户。
差别在于，以太坊采用持久账户模型，地址会被反复使用。按文中说法，如果量子计算今天就已经具备攻击能力，那么每一个发起过交易的钱包都可能被接管。
在技术改造层面，作者认为替换 ECDSA 并不困难，难点在于后量子签名体积比 ECDSA 大得多，这意味着节点需要存储更多内存。这也是以太坊一边更换签名方案、一边转向 zk 的原因之一。
和比特币类似，以太坊也要求用户主动从旧密钥迁移到新密钥。那些没有迁移的账户，需要被销毁，避免被黑客接管。
为什么量子计算能对公钥密码构成威胁
文章接着从密码学基本原理展开。公钥密码学的作用，是让两个人在不可信网络中安全通信，而无需事先共享秘密。
文中列举了几种不同协议，包括 Diffie-Hellman 密钥交换、ECDSA 签名和 RSA 加密。它们分别依赖离散对数、椭圆曲线离散对数和因式分解等难题。作者的概括是，经典计算机难以处理的核心数学瓶颈是周期性，而量子计算机擅长的实际数学运算正是寻找周期。
什么是 ECC
文章把 ECC 描述为建立在一条“单向街道”上。从曲线上的公共点 G 出发，连续“跳跃” k 次，会到达新的点 Q。向前计算很快，但如果只给出起点 G 和终点 Q，要反推出中间跳了多少次，在经典计算条件下几乎不可行。
其中，跳跃次数 k 就是私钥，终点 Q 是公钥。每个人都能看到 G 和 Q，但只有私钥持有者知道步数。
文中的数学解释包括：
- 椭圆曲线是有限域上满足 y² = x³ + ax + b 的点集。
- G 是公开基点，由标准固定。
- 对于私钥 k，公钥满足 Q = kG。
- 通过倍加法从 k 计算 Q，只需要 O（log k）次群运算。
- 从（G，Q）恢复 k，对应 ECDLP，即椭圆曲线离散对数问题。经典方法基本依赖试错，因此速度极慢。
- Shor 算法能够在多项式时间内解决 ECDLP，把它转化为由 G 生成的群上的周期查找问题。
文章给出一个玩具例子：在模 17 的条件下，考察曲线 y² ≡ x³ + 7（mod 17）上的点乘法。曲线、基点 G 和终点 Q 都是公开的，秘密是 k = 6，也就是从 G 跳到 Q 所需步数。在这个小空间里，可以直接数出步数；真实的 ECC 规模约是 2²⁵⁶ 级别。
Shor 算法如何破解 ECC
按文章的拆解，破解 ECC 的关键在于构造函数 f（x，y） = xG + yQ，其中 G 是公共生成元，Q 是目标公钥。由于 Q = kG，所以这个函数也可以写成 f（x，y） =（x + ky）G。
这会带来一个直接后果：如果把输入沿着（k，-1）的方向平移，输出不会改变，因为（x + k） + k（y - 1） = x + ky。也就是说，函数值会沿着二维网格中的一组平行对角线重复，而这些对角线的方向正好编码了私钥 k。
经典计算要找到这个方向，必须暴力寻找两组不同输入对应同一输出的碰撞。量子计算机的能力则在于：
- 把所有（x，y）输入对同时放入叠加态，一次性评估整个网格上的函数值；
- 但此时依然不能直接观察，因为测量会坍缩成一个随机点，不会直接给出方向信息；
- 再通过傅里叶变换，让除重复方向以外的模式彼此抵消，留下频率峰值；
- 最后借助经典数学运算恢复 k。
文中配图所示，每个金色格子都对应一个输入对（x，y），这些输入产生同一个输出点。它们以固定步长重复：向右 k，向下 1，因此私钥被编码在对角线方向里。文章使用的玩具例子取 k = 2，n = 13，而真实规模中，网格会有 2²⁵⁶ 列，经典方法一次只能检查一个格子，这也是为什么这种结构在现实 ECC 中不可见。
一个模 17 曲线上的完整示例
文章进一步给出一个完整的小型示例。取整数 mod 17 上的曲线 y² = x³ + 2x + 2。这个系统恰好有 n = 19 个点，基点 G =（5，1）生成全部点。设公钥 Q =（0，6），目标是找出 k，使得 Q = kG。文中给出的答案是 k = 7，因为从 G 开始依次得到（5，1）、（6，3）、（10，6）、（3，1）、（9，16）、（16，13），第 7 步到达（0，6）。
接着文章按步骤拆开量子计算过程。
设置
准备两个计数寄存器，分别保存 x 和 y，取值范围都是 0 到 18；再准备一个工作寄存器保存曲线上的点。文章指出，这和因式分解场景不同：RSA 中周期 r 是未知数，因此寄存器必须做得过大，峰值也只是近似值；这里 n = 19 是公开的，所以可以在 mod 19 算术上精确做 QFT，得到完全尖锐的峰值。
阶段 1：初始化
先把所有寄存器重置，工作寄存器设为单位点 O，也就是曲线上的“零”。
阶段 2：叠加
对两个计数寄存器进行 Hadamard 式叠加后，它们会一次性同时表示全部 19 × 19 = 361 组（x，y）输入。
阶段 3：点加法与纠缠
先在经典计算机上预先算出每个比特位置 j 对应的常数 2ʲG 和 2ʲQ。之后，根据每个计数量子比特的控制，把相应常数加到工作寄存器里。整套过程结束后，工作寄存器就保存 xG + yQ，并与每一组（x，y）输入发生纠缠。
完整量子态可以写成对全部 361 对输入求和的形式：Σ |x⟩|y⟩|xG + yQ⟩。由于这里 Q = 7G，工作寄存器实际保存的是（x + 7y mod 19）G，因此总共只会出现 19 个不同值。按工作寄存器值分组后：
- 所有满足 x + 7y ≡ 0（mod 19）的（x，y）对应 |O⟩；
- 所有满足 x + 7y ≡ 1（mod 19）的（x，y）对应 |（5，1）⟩；
- 所有满足 x + 7y ≡ 2（mod 19）的（x，y）对应 |（6，3）⟩；
- 一直到 19 组，每组各有 19 对输入。
此时，秘密 k = 7 已经被编码进各组对角线的斜率中。但如果直接测量，只会随机得到一个输入对，无法读取斜率。
阶段 4：逆 QFT 与测量
对两个计数寄存器施加逆 QFT 后，振幅会集中到恰好满足 v ≡ k·u（mod 19）的 19 组（u，v）上。文章把这一步解释为：傅里叶变换把“线在原坐标空间中的斜率”，转成“频率空间中的斜率”。测量后会随机得到这 19 组结果之一。
随后进入芯片外的经典后处理。文中举了三种测量结果：
- 如果测得（u，v）=（3，2），则 k = 2 · 3⁻¹ mod 19 = 2 · 13 = 26 ≡ 7；检查 7G =（0，6）= Q，成立。
- 如果测得（u，v）=（5，16），则 k = 16 · 5⁻¹ mod 19 = 16 · 4 = 64 ≡ 7。
- 如果测得（u，v）=（0，0），则没有信息，需要重跑。文章称，任何 u ≠ 0 的结果都有效，因此有效率是 18/19。
作者强调，我们之所以关心求出 k，是因为它就是私钥。一旦得出 k，攻击者在签名能力上就与原密钥持有人没有区别。
量子比特有哪些实现路线
文章最后简单梳理了几种量子比特实现方式。作者写道，凡是能够让输出以概率方式处于 0 和 1 之间状态的系统，都可以用来构造量子比特。
- 超导电路：Google、IBM、Rigetti、IQM 采用这一方案，基于 LC 电路，本质上是行为类似原子的“人造原子”。
- 囚禁离子：IonQ、Quantinuum 使用单原子离子，通过激光制造叠加态，再用另一束激光和成像读出状态。
- 中性原子：QuEra、Pasqal、Atom Computing 使用不带电原子，由光学镊子固定，通过内部态编码信息并读出。
- 光子：PsiQuantum、Xanadu 采用单光子偏振或路径作为信息载体。
- 硅自旋量子比特：Intel、Diraq、Quantum Motion 走这条路线，利用电子自旋向上或向下状态。
文章末尾还提到，作者把自己几年前密码学课程中的一道作业题和解答，留给读者作为练习。