量子计算究竟何时能够攻破比特币等加密货币的密码学防线？最新深度分析指出，尽管理论进展已将破解椭圆曲线密码（ECC）所需的量子硬件需求大幅降低，但实际硬件进展仍相差数个数量级，最早也要到2035年才能构成实质性威胁。
根据2026年的一篇论文，通过优化Shor算法电路设计和预处理技术，破解ECC所需的物理量子比特数已从2022年的约3.17亿个骤降至2026年的50万个以下。然而，当前全球最先进的量子计算机——谷歌Willow芯片——仅能稳定运行约105个物理量子比特的算法，距离50万仍有三个数量级的差距。
研究指出，量子计算领域不存在类似摩尔定律的指数增长规律。尽管双量子比特保真度从2005年的约90%提升至如今的99.9%以上，相干时间从1微秒延长至1毫秒，但单台机器中可用的量子比特数在过去十年仅增长约10倍。业内专家Justin Drake预估，Q日（量子计算破解密码之日）在2030年前的概率为10%，2032年前为50%。美国国家标准与技术研究院（NIST）和国家安全局（NSA）已计划在2035年前淘汰易受攻击的密码系统。
比特币与以太坊面临的实际风险
Shor算法允许攻击者通过公钥Q恢复私钥k，从而伪造交易签名。但比特币地址是公钥的哈希值（SHA-256+RIPEMD-160），哈希函数无法被Shor算法破解。然而，当用户发起交易时，公钥会暴露在链上。因此，所有已使用过的比特币地址都可能被攻破。据统计，约有670万枚BTC（约占总流通量的3%）已暴露在公钥泄露风险下。现代钱包通过每次交易将全部余额转移至新地址的策略，可以有效降低风险，但历史遗留地址仍需用户主动迁移。
以太坊使用与比特币相同的椭圆曲线secp256k1和ECDSA签名方案。由于以太坊采用持久账户模型，地址会被重复使用，一旦量子计算可用，任何发送过交易的钱包都有可能被接管。替换签名方案技术可行，但后量子签名体积远大于ECDSA，会对节点存储造成压力。以太坊正考虑在转向zk技术的同时改革签名体系。
技术拆解：为什么需要50万量子比特？
破解ECC的核心电路需要约1200个逻辑量子比特无错误地链接9000万个Toffoli门。在当前纠错水平下，每个逻辑量子比特需要约416个物理量子比特支持（例如distance-7表面码），总计约50万个物理量子比特。此外，还需要高效的魔术态制备和纯化工厂，以及微秒级实时解码能力。目前谷歌展示的101物理量子比特逻辑门错误率为1.4×10⁻³，比目标10⁻⁹高出百万倍。
Shor算法通过量子傅里叶变换寻找椭圆曲线离散对数问题的周期。在模数为2²⁵⁶的规模下，网格有2²⁵⁶列，经典计算机无法暴力搜索，而量子计算机可在多项式时间内实现。实际攻击流程包括：将物理量子比特置于芯片上 → 通过纠错捆绑成逻辑量子比特 → 消耗魔术态执行非克利福德门 → 测量后经典后处理得到私钥。
应对之策
唯一彻底的解决方案是让所有用户切换到量子安全密钥（如基于格的密码学），并在过渡期后销毁未迁移的资产。比特币社区需达成共识，而以太坊则面临更紧迫的迁移压力。目前，学术界和工业界正在加速研究模块化架构、qLDPC码、快时钟与慢时钟架构等前沿方向，但实际路线图依然清晰：在2035年之前，加密货币的密码学安全性大概率不会受到量子计算的实际威胁。
