Circle 发布警示称，用于破解主流区块链签名算法的量子电路，所需资源还在持续下降，并引用了 813 个逻辑量子比特的低资源消耗纪录。问题在于，USDC 若要完成后量子迁移，暴露出的不是单一公司的升级任务，而是一个跨整个加密生态的协同工程。
根据 Circle 现行合约文档，USDC 已部署在 37 条主网上。Circle 可以保护自己控制的基础设施，也能在支持的网络中行使代币合约权限，但它无法替用户轮换私钥，不能改写托管机构的签名体系，也无法单方面修改以太坊、Solana、XRPL 等公链的签名规则。
在 8 月 31 日的披露文件中，Circle 呼吁开发者梳理自身密码学体系、排查第三方依赖，并为密钥轮换做准备。截至 9 月 2 日，USDC 市值约为 736 亿美元，这让生态协同问题直接关系到大额资产安全。如果迁移只强化 Circle 自有密钥，而旧钱包、跨链桥或底层链路径仍暴露在风险之下，整个 USDC 生态都谈不上真正安全。
813 个逻辑量子比特不是倒计时
Circle 表示，813 个逻辑量子比特来自 ECDSA.fail 网站在 2026 年 8 月更新的低资源消耗纪录。这一数据说明，量子电路设计的资源利用效率在提升，但单独引用这个数值，很容易被误读成接近现实攻击门槛。
这份公开挑战规范，针对的是比特币与以太坊使用的 secp256k1 椭圆曲线，目标是优化可逆点加法电路。评分方式是逻辑量子比特峰值宽度乘以托佛利门平均数量。开发者既可以通过增加逻辑门数量降低比特宽度，也可以增加比特宽度来减少逻辑门消耗。也就是说，仅凭 813 这个数字，无法完整描述一次基于肖尔算法的攻击，不足以说明电路深度、纠错开销，也不能反映在物理硬件上的实际运行时长。
文中解释称，托佛利门（Toffoli gates）是量子计算机中的关键计算指令，破解加密算法的量子程序需要大量使用这类指令，因此评估量子破解能力时，既要看量子比特数量，也要看这类指令的消耗规模。
2026 年 3 月的一篇论文给出了更完整的资源模型。研究人员估算，对 256 位椭圆曲线离散对数实施攻击时，一种方案需要少于 1200 个逻辑量子比特、且不超过 9000 万个托佛利门；另一种方案则需要不超过 1450 个逻辑量子比特和 7000 万个托佛利门。该分钟级攻击场景还建立在一组前提上：高速时钟超导架构、10⁻³ 的物理错误率、平面连接架构，以及少于 50 万个物理量子比特。
相比单纯比较比特宽度，上述估算更接近完整资源模型，但仍无法回答这类硬件何时会真正出现。
Circle 对硬件对比的表述被指存在偏差
文章指出，Circle 在对外表述中把谷歌 Willow 与逻辑量子比特指标放在一起比较，存在概念差异。Circle 称谷歌借助 Willow 实现了 105 个逻辑量子比特，但谷歌对 Willow 的定位是一款 105 量子比特处理器。对应的《Nature》论文记录的是，研究团队使用 105 个物理量子比特完成了距离为 7 的表面码逻辑存储实验，实际用到 101 个量子比特。这与可用于实施攻击的 105 个逻辑量子比特并不是同一概念。
文中还提到，推进迁移并不需要人为设定一个攻击截止日期。美国国家标准与技术研究院（NIST）已经将 SLH-DSSA 纳入 FIPS 205 标准，并要求各类机构立即着手替换容易受到量子攻击的加密方案。NIST 提出的 2035 年时间节点，只表示相关算法会在标准中被弃用移除，并不代表对「量子攻击日」的预测。
真正决定迁移何时启动的标准，是生态是否准备就绪。公链需要时间新增签名校验规则；钱包和托管机构需要经过实测的密钥轮换流程；用户也需要过渡期，使传统加密授权与后量子授权能够并行运行，避免流动性割裂或资产被锁。
Arc 只能覆盖 Circle 可控的一层
Circle 的 Arc 平台可以更直接地搭建后量子密码支持能力，但官方文档对不同层级做了拆分，而对外披露则被简化成「支持 SLH-DSA」。
按照 Arc 执行层文档，平台提供了一项预编译程序，可用于校验 SLH-DSA-SHA2-128s 签名。这个预编译组件可以让智能合约校验相应签名类型，但不会自动替换普通网络交易所使用的签名机制。
Arc 托管指南目前依然使用标准 secp256k1 ECDSA 来完成交易签名。其后量子路线图显示，主网上线时会提供可选测试版后量子钱包签名，后量子验证器签名功能则后续推出。Circle 也说明，Arc 尚未确定最终的后量子交易签名方案，迁移阶段将兼容混合模式的 ECDSA 签名。
这意味着，Arc 可以成为混合签名方案的试验场，但 Arc 的升级本身，不能让以太坊、Solana 以及其余 35 条主网上的 USDC 直接实现量子安全。
37 条公链意味着 37 条独立迁移路径
Circle 公布的网络数量本身也在变化。其 2026 年 6 月 29 日的 USDC 页面文字标注为 35 个网络，但实际列出了 37 个名称。本文参考的合约地址总表记录的是 37 条主网。如果把 Arc 测试网算入，Circle Mint 列表会达到 38 个，因此统计时未计入 Arc 测试网。
文中提到，表格会区分可验证签名类型，以及需要独立密码审计的宿主链。其中，「EVM 路径」指以太坊式外部账户，默认采用 secp256k1 ECDSA，签名后可恢复公钥；智能合约账户则可采用合约自定义校验逻辑。「链专属方案」则表示公链官方文档没有明确统一签名算法，因此不强行指定具体方案。状态列只记录公链是否已经完成全网络后量子升级，并不代表链上不存在探索性研发。
文章给出的结论是，USDC 的量子安全升级无法由 Circle 单方面完成。37 条公链、钱包、托管方、跨链桥和用户，都要同步升级并停用旧签名机制，整体安全性才算成立。
实例也说明了不存在一个适用于全生态的统一截止日期。Solana 交易使用 Ed25519 签名；Polkadot 同时支持 sr25519、Ed25519 与 ECDSA 账户。即便只看以太坊内部，外部账户与智能合约钱包的迁移路线也并不相同，更不用说非 EVM 公链。
不同公链的升级决策机制同样各不相同。XRPL 的提案修正案需要 80% 以上可信验证节点连续两周支持；Algorand 协议修改需要链上绝对多数投票；Stellar 网络升级依靠验证节点达成共识。对这些决策，Circle 都没有干预权。
冻结与重发不能替代用户密钥轮换
在代币层面，Circle 手中拥有多项关键管控能力。其 EVM 法币代币设计内置了铸造、销毁、暂停转账、黑名单和合约升级等权限。USDC 服务条款也写明，在特定场景下，Circle 拥有地址冻结和服务暂停权力。
这些能力可以在合约发生安全事件时帮助控制风险。在条件允许时，Circle 可以冻结地址、停止铸造或转账，并依据法律与业务规则执行赎回或重新发行代币。但地址冻结无法修复私钥被盗带来的风险，也不能修改底层公链的签名校验逻辑。
文中将密钥风险涉及的责任主体分为几类：
- Circle：必须轮换自身掌控的发行方与合约管理凭证。
- 用户和托管机构：必须借助兼容新签名的钱包与公链，把资产从风险账户转出。
- 跨链桥运营方：既要保护自身签名和合约权限，也要协调跨两侧的流动性。
- 底层链社区：负责审批并落地协议层改动。
- 钱包厂商、硬件钱包、交易所：需要在过渡期同时兼容新旧签名算法。
因此，最薄弱的环节未必是技术迭代最慢的公链。托管机构可能无法快速完成成千上万个账户的密钥轮换；跨链桥的紧急控制逻辑可能仍依赖风险密钥；大量用户也可能在旧签名方案淘汰前一直不迁移资产。这些都可能成为攻击切入点。
文章认为，一套可执行的落地方案，不能只靠设定一个区块高度开关。各方运营者需要梳理风险与安全密钥清单、确认经过验证的目标账户类型、准备适配新签名的软件和硬件，并为始终未迁移的余额制定处置方案。混合签名模式还必须有明确终点，不能让传统签名无限期保留为绕过路径。Circle 可以为自己的合约和服务设定里程碑，但每条公链生态仍要自行决定传统签名路径在何时、以什么方式关闭。
迁移紧迫性真实存在，但不能把它说成单点切换
文章最后指出，Circle 这次披露的价值，在于把后量子密码准备工作，从概念讨论推进到当前就需要落地的运营规划。813 比特纪录显示，在硬件团队攻克纠错技术的同时，攻击用量子电路也在持续优化。NIST 已公开标准，开发者也因此有了可测试的实施方案。
但同一篇披露也被认为存在夸大。直接将用于攻击的 813 个逻辑量子比特，与 Willow 的 105 个物理量子比特放在同一标尺下比较，会造成理解偏差。与此同时，文章还低估了现实迁移难度：在 Arc 内部校验 SLH-DSA 签名，与在数十条生产公链上完整实现 USDC 的授权、结算和资产追回，并不是同一层级的问题。
Circle 可以优化自己管辖范围内的系统。只有当宿主公链、钱包、托管机构、跨链桥以及全部用户都完成迁移，且所有传统签名路径要么被淘汰、要么被严格限制之后，Circle 才能宣称 USDC 整体实现量子安全。按文中说法，这是一项涉及多方否决权的大型迁移工程，不是简单切换一个密码学开关。