欧盟警告：量子计算机或先于商用成熟前攻破区块链加密

欧盟官员于2026年8月28日警告称，量子计算机可能在实现可行商业应用之前就具备破解区块链加密技术的能力，这将使约690万枚比特币面临风险，按当前价格计算价值约5860亿美元。

这一警告援引了Cryptoquant的一份分析报告，将量子威胁定性为比特币及其他工作量证明区块链加密基础中的结构性漏洞。核心问题不在于当今的量子计算机是否已达到足够规模，而在于量子技术的发展轨迹可能超越区块链行业升级其安全架构的能力。690万枚比特币这一数字代表的是公钥已在链上暴露的地址中所持有的代币，这些地址直接暴露在足够强大的量子攻击风险之下。

欧盟警告矛头指向比特币脆弱的加密算法

欧盟的警告聚焦于支撑比特币安全模型的两大加密原语：椭圆曲线数字签名算法（ECDSA）和SHA-256哈希函数。ECDSA负责保护交易签名安全，而SHA-256则是工作量证明挖矿过程和地址生成的基础。两者都被认为容易受到量子攻击，但攻击机制和时间线各不相同。

ECDSA是更为紧迫的隐患。已经花费过资金的比特币地址会在链上暴露其公钥。运行Shor算法的量子计算机可以从公钥推导出私钥，使攻击者能够签署交易并窃取相关代币。这并非理论上的边缘情况：欧盟警告中提到的690万枚比特币，对应的正是公钥已在区块链上可见的地址中的代币。这些地址包括中本聪时代的早期挖矿产出、发送过部分余额的地址，以及频繁转移资金的交易所热钱包。

SHA-256面临不同的威胁特征。Grover算法理论上可以将SHA-256的有效安全性从256位降低到128位，这将削弱但不会立即破坏挖矿过程。实际影响将首先体现在地址生成和交易哈希方面，量子加速可能使拥有量子设备的攻击者实施碰撞攻击或获得挖矿主导权。欧盟阐述的理由强调，这两种算法都是标准化的、广泛部署的，并且在设计时并未考虑抗量子性。

欧盟的表述以其具体性而引人注目。官员们并未发布关于量子计算的笼统警告，而是将威胁直接与各大区块链生产环境中使用的加密算法挂钩。该警告暗示升级路径并非易事：替换ECDSA需要协调一致的软分叉或硬分叉，而将现有代币迁移到抗量子地址则需要数百万持有者自愿采取行动。欧盟尚未发布正式的技术附件，但警告的措辞表明，官员们将当前的加密技术栈视为数字资产市场的系统性风险。

量子威胁逼近 690万枚比特币面临风险

690万枚比特币约占截至2026年8月比特币流通供应量（约1980万枚）的35%。按照警告中引用的5860亿美元估值，这些面临风险的持仓规模超过了大多数全球金融机构的市值，如果将其视为单一投资组合，足以跻身全球最大主权财富基金之列。

风险敞口集中在特定类别的地址中。早期挖矿产出——包括与比特币匿名创始人中本聪相关的代币——从未移动过，因此未暴露公钥。然而，690万枚比特币中有相当一部分来自至少花费过一次资金的地址，这些地址的公钥已永久暴露。定期转移代币的交易所钱包、支付处理机构和托管服务在风险池中所占比例过高。

欧盟警告中引用的Cryptoquant分析按地址类型对风险敞口进行了细分。支付到公钥哈希（P2PKH）地址是比特币最初的地址格式，仅在花费时暴露公钥。支付到公钥（P2PK）地址用于比特币最早期的阶段，会立即暴露公钥，完全处于脆弱状态。SegWit和Taproot地址提供了一些改进，但并未从根本上改变ECDSA的风险敞口。分析表明，向新地址格式的迁移速度慢于量子威胁时间线所要求的节奏。

5860亿美元这一数字是一个快照，而非静态的风险敞口。比特币价格的波动性意味着风险代币的美元价值每天都在波动。欧盟警告使用这一数字是为了说明潜在损失的规模，而非预测具体的攻击日期。警告的核心信息是：这种风险敞口今天已经存在，并且随着每一笔暴露公钥的交易而增长，尽管按照大多数估计，量子威胁仍需数年时间才会成为现实。

量子计算机或先于商业可行性实现前攻破区块链

欧盟的警告引入了一个时间线悖论，这一悖论受到的关注远不及头条数字。能够破解ECDSA的量子计算机可能先于量子计算机找到可行的商业应用而出现。这种对通常技术采用曲线的倒置是欧盟关切的核心理由：区块链行业不能依赖市场力量来推动抗量子升级，因为威胁可能在通常为这些升级提供资金和动力的商业生态系统形成之前就已经成为现实。

当前的量子计算机运行在数百到数千个低端物理量子比特的范围内，其错误率使得Shor算法在破解256位椭圆曲线加密方面不切实际。据估计，在合理时间范围内破解ECDSA所需的逻辑量子比特数量在1500到4000之间，具体取决于纠错开销。这相当于数百万个物理量子比特，是当前任何系统都无法企及的规模。欧盟警告没有指定具体日期，但其表述框架表明，官员们认为这一能力差距可能在十年内被弥合。

商业可行性差距是欧盟立场中更为新颖的要素。当今的量子计算由研究实验室和政府项目主导，在优化、模拟和材料科学领域的商业部署有限。破解区块链加密技术并不需要一台商业上可行的量子计算机；它只需要一台由国家行为体或资源充足的对手方运行的、足够强大的机器。欧盟的警告暗示，建造这样一台机器的激励结构独立于商业需求而存在，因为窃取数十亿美元加密货币的回报足以证明投资的合理性。

这创造了一种不对称的风险特征。区块链行业的升级周期由开发者、矿工和节点运营商之间的共识驱动，即使是适度的变更，这一过程在历史上也需要数年时间。相比之下，量子威胁的时间线由物理学和工程进展驱动，不会等待区块链治理的节奏。欧盟的警告表明，这两条时间线之间的差距才是真正的脆弱性所在，而非量子计算机本身的存在。

欧盟提出抗量子区块链的缓解措施

欧盟的警告包含了初步的缓解建议，但截至2026年8月28日，完整方案尚未公布。所讨论的措施分为三类：抗量子加密技术、区块链协议升级和监管协调。

抗量子加密技术是最直接的缓解手段。CRYSTALS-Dilithium、Falcon和SPHINCS+等后量子签名方案已由美国国家标准与技术研究院（NIST）完成标准化，可以在区块链协议中替代ECDSA。挑战不在于这些算法的可用性，而在于将其集成到现有区块链中。比特币的共识规则需要硬分叉才能更改签名方案，而这一过程历来充满争议。欧盟的警告表明，官员们认为这一升级不可避免，但对时间线感到担忧。

区块链协议升级提供了一条更为渐进的路径。在花费前保持公钥隐藏的地址格式——例如Taproot使用带密钥聚合的Schnorr签名——缩小了暴露窗口。然而，它们并不能消除已经处于暴露地址中的代币所面临的脆弱性。欧盟的警告暗示，有必要开展协调一致的迁移行动，可能涉及激励持有者将代币转移到抗量子地址。目前比特币协议中尚不存在此类激励机制。

监管协调是第三大支柱。欧盟的加密资产市场监管（MiCA）框架于2025年全面生效，赋予监管机构对在欧盟运营的加密资产服务提供商的管辖权。量子警告表明，MiCA的技术标准可以扩展，要求采用抗量子的托管实践，包括地址迁移时间表和量子风险敞口披露。欧盟尚未发布正式指引，但警告的措辞表明，官员们正在考虑是否应将抗量子能力作为交易所和托管机构的许可要求。

悬而未决的问题仍然重大。欧盟尚未明确量子计算机何时可能达到破解区块链加密技术的能力、除比特币外哪些具体区块链面临最大风险，以及任何抗量子强制要求将附带何种执行机制。警告的发布表明，这些细节正在积极制定中，预计未来几个月将有进一步的公告。