比特币开发者提出量子陷阱，让未来的钱包攻击代价高昂

目录

• 你可能想知道
• 主题
• 重点摘要表
• 后续……

你可能想知道

• 比特币钱包持有人能否让未来的量子攻击变成攻击者代价高昂的赌注？
• 对于持有人失联、离线或无法转移资金的易受攻击代币，可能会发生什么事？

主题

比特币开发者 Cory Fields 提出一种推测性的做法，以阻止未来的量子攻击：要求试图花费易受攻击代币的攻击者，拿自己的比特币冒险。Fields 在 11 月 4 日发表于比特币开发邮件列表的文章中说明了这个构想。他的提案包含“量子地雷”和两种拍卖机制。他将这些构想称为“思想实验”，而非已完成的升级或比特币目前支持的功能。

比特币交易依赖公钥密码学。钱包持有人使用秘密私钥授权交易，而相对应的公钥则让网络能在不泄露秘密的情况下验证签名。以现今的计算机，要从公钥计算出私钥，在实际上并不可行。具备足够能力的量子计算机，则可能利用 Shor 算法推导出密钥，让攻击者能够创建看似由钱包持有人授权的交易。

并非所有比特币持有量面临的潜在风险都相同。有些较早期的输出已泄露公钥，某些较新的地址格式也会泄露公钥。其他格式则会将公钥隐藏起来，直到持有人花费资金时才会显示。研究人员以“Q-Day”称呼具备执行这类攻击能力的量子计算机问世这一假设性时刻。目前尚无公开展示的计算机能以这种方式窃取比特币，而任何此类能力何时出现也无从得知。

Fields 的构想从 Q-Day 到来前的准备开始。想象某位持有人在一个旧钱包中有 1 BTC，而该钱包可能容易受到未来量子攻击。在量子盗窃尚不可行时，持有人创建一笔独立且金额不大的抗量子比特币输出。该输出包含一份隐藏证明，显示持有人在威胁出现前控制着原来的私钥。这份证明预计可作为所有权收据，日后若出现可疑交易，持有人便能揭露它。

检查区块链的人不会直接看到这份收据所代表的证明。在提议的设计中，外部人士只能看到这笔小额输出，却不知道其中隐藏的证据，甚至不会察觉它是用来设陷阱的。如果未来有攻击者使用量子计算机找出旧私钥，并试图花费这 1 BTC，提议中的规则会要求攻击者从抗量子钱包中拿出自己的 1 BTC 作为抵押品。

易受攻击的代币和攻击者的抵押品随后会一同放入一笔受限制、价值 2 BTC 的输出中。Fields 以 30 days 的挑战期为例，说明资金可能会受到限制多久。在此期间，合法持有人可以监控交易并揭露 Q-Day 前准备的证明。如果证明符合提议中的规则，持有人便能将完整的 2 BTC 转移至先前指定的抗量子地址：原来的 1 BTC，加上攻击者抵押的 1 BTC。

这种设计旨在改变攻击者的盘算。量子窃贼无法预先得知哪些易受攻击的钱包藏有隐藏证明。即使窃贼成功找出私钥，攻击也可能造成 1 BTC 的损失，而非带来获利。因此，隐藏收据可能存在的风险，或能吓阻攻击或使其风险高到不值得尝试。

然而，同样的抵押要求也可能加重诚实持有人的负担。按照 Fields 的构想，Q-Day 后想转移自己旧有代币的持有人，也可能需要提供等额抵押品。没有多余比特币的人，即使能证明自己是合法持有人，也可能难以转移自己的存款。这是提案中一个重要的矛盾：旨在提高盗窃成本的规则，也可能让合法的资产取回或转移变得昂贵。

量子地雷也依赖事先准备和及时响应。持有人必须在 Q-Day 前准备隐藏证明，并能在挑战期间揭露它。这种做法无法保护密钥已丢失的代币，也无法保护持有人已不在、无法采取行动的资产。有些早期比特币持有量普遍被认为已无法访问，对于任何依赖持有人响应花费尝试的系统而言，这些代币都是特别棘手的案例。

为了处理看似已遭放弃的代币，Fields 提议采用“质押式拍卖”。在此模式中，参与者会在 Q-Day 前锁定抗量子比特币，并秘密登记一笔与特定旧钱包相关的出价；他们预计攻击者可能会盯上该钱包。这套机制能让事先参与的出价者有机会挑战疑似盗窃行为，即使原持有人没有响应也一样。

例如，假设一个看似已遭放弃的钱包中有 50 BTC。未来有攻击者试图转移这些代币，并按照提议中的规则再拿出 50 BTC 作为抵押品。在拍卖期间，事先登记出价的参与者可以挑战这项尝试。在 Fields 的例子中，成功提出挑战的人会取得攻击者部分的抵押品，而原本易受攻击的代币则会被销毁，而非判给挑战者。

这种安排的目的不是把代币归还给失联的持有人，而是通过让攻击者无法确保获利，降低盗窃的吸引力。这个区别带来伦理和实际层面的影响：如果钱包持有人只是离线或无法响应，销毁原有代币可能会伤害合法持有人。系统必须设法区分已遭放弃的资金，以及持有人仍在但错过挑战机会的资金。

Fields 提出的另一种拍卖机制是“聪拍卖”，参与者不必事先质押资金。相反，易受攻击钱包的一笔花费会启动竞价。出价最高者可取得代币，但须扣除自己的出价；第二高的出价者则要支付出价，却一无所获。这种结构旨在让任何试图认领代币的人面临不确定性和潜在损失。

聪拍卖类似一种竞价游戏：出价者不断提高出价，因为谁都不想成为最后承受损失的人。如果竞争出价可能耗掉的价值超过易受攻击代币本身的价值，准窃贼或许会决定不启动竞价。不过，这种机制也需要周详的规则：其运作方式取决于如何提交出价、如何决定得标者，以及不同结果下款项和资金将如何处理。原始提案并未解决所有这些细节。

这些构想为应对量子风险提供了不同于常见做法的答案：在迁移期限后冻结易受攻击的比特币。冻结或许能阻止攻击者花费旧代币，但也可能永久排除未能及时转移资金的合法持有人。Fields 则探讨维持旧代币可供花费的可能性，同时让花费尝试代价高昂且可受挑战。

根本的难题在于，比特币可以验证签名，却无法自行辨别生成签名的人究竟是诚实持有人还是量子攻击者。如果两者都能生成相同的有效签名，网络就没有简单的密码学方法可以区分他们。以抵押品、隐藏证明、等待期和挑战为基础的系统，试图通过额外规则和证据，而非只靠签名本身，建立两者之间的区别。

每种提议中的防御方式都有取舍。诚实持有人可能需要存入大量抵押品；未活跃的持有人可能错过提出异议的机会；拍卖规则也可能销毁仍在世但离线的持有人所拥有的代币。因此，任何设计都必须考虑的不只是能否吓阻窃贼，还包括它可能多常阻碍合法交易，或惩罚无法参与的持有人。

实施任何一种构想，都不只是加入拍卖这么简单。比特币需要一种抗量子的资金持有和花费方式。钱包软件必须能够创建并管理隐藏的所有权承诺。比特币的共识规则也必须定义抵押品如何运作、挑战期持续多久、恢复交易的形式，以及如何执行拍卖。

开发者和用户还需要对新规则何时启用、需要多少抵押品，以及未得标的出价或剩余资金如何处理达成共识。Fields 认为，部分机制或许能通过软分叉引入；软分叉是比特币规则变更的一种类型，但他尚未提出详细设计。提案也尚未厘清拍卖如何分配款项，以及拍卖预期要实现什么结果。

目前这些构想仍属假设。它们不是现成可用的钱包防护措施，也没有公布实施或启用时间表。这些构想的价值，在于为比特币若有朝一日面临量子计算机威胁现有密码学假设时该如何应对，提供讨论的起点。任何实际解决方案都需要广泛共识，并在抵御盗窃、维持合法持有人的资产访问权，以及避免对无法及时响应的人造成不可逆伤害之间取得平衡。

重点摘要表

后续……

这项提案凸显了比特币长期安全性的一项核心挑战：未来的量子威胁可能不只需要替换某一种密码学工具，还可能需要新的钱包使用方式、网络规则，以及如何处理无法迁移的代币或持有人无法响应时的相关决策。

Fields 提出的量子地雷和拍卖并非现成解决方案，也无法免除审慎设计的必要。后续讨论必须检视合法用户承担抵押品的负担、销毁或重新分配代币是否公平，以及如何在不造成新漏洞的前提下实际证明所有权。无论是否采用这些构想，在具备量子能力的攻击者出现之前评估这些取舍，都能让比特币社区有更多时间考虑选项。