量子计算机不会在一夜之间抹除比特币、以太坊或任何其他链，但它们最终会攻破几乎每条区块链都依赖的某些数学组件。这个区别非常重要。StarkWare（Starknet 背后的公司）最近发布的一份技术解析指出，区块链网络面临的真正量子风险并不是一刀切的末日场景，而是五个可识别的薄弱点，每个都有各自的修复方案和时间表。按照这份指南的说法，只要找出哪些数学是脆弱的，就能精确定位风险所在。
Summary
要点总结
- 量子计算机通过攻破特定的密码学数学（主要是椭圆曲线签名）来威胁区块链，而不是一次性摧毁整套技术。
- 三大类密码学暴露在风险之下：签名、加密和哈希，它们分别受到 Shor 算法和 Grover 算法等量子算法的不同影响。
- 标准化的后量子替代方案已经存在，包括用于签名的 ML-DSA、SLH-DSA、Falcon-512，以及用于加密的 ML-KEM。
- 五个区块链“迁移面”承载着风险：密钥与账户、应用与输入、证明系统、共识与跨链信任，以及网络传输加密。
- Starknet 被视为少见的案例，它结合了基于哈希的证明和可升级账户，为其提供了一条部分量子抗性且有文档记录的演进路径。
量子计算对区块链密码学的威胁
核心危险主要来自一个能造成大部分破坏的算法。Shor 算法在一台足够强大的量子计算机上运行时，可以从一个公钥反推出其背后的私钥——这是经典计算机在任何可行时间范围内都做不到的。正是这一能力，使得量子计算对区块链安全的担忧从理论层面变成了具体威胁。
根据 StarkWare 的指南，几乎所有暴露点都集中在三大类密码学之中，而量子计算机会对每一类采取不同的攻击方式。签名用于证明一笔交易属于某个钱包所有者；Shor 算法可以从公钥推导出私钥，并以该用户的身份签名。加密用于在传输过程中保持数据隐私，而同一个算法也能将其攻破——这意味着今天被记录下来的通信流量，可能在未来硬件追上时被解密。哈希是证明、地址和链状态背后的一种单向指纹，主要受到一个更弱的算法 Grover 的影响，它能加速穷举猜测，但很少构成真正威胁——除非某个哈希仍依赖椭圆曲线签名，在这种情况下 Shor 算法同样适用。
区块链的后量子密码学解决方案
同一份分析指出，每一类密码学的修复方案都已经存在并完成标准化。对于签名，推荐路径是采用后量子方案，例如 ML-DSA、SLH-DSA 或提议中的 Falcon-512。对于加密，标准化的替代方案是名为 后量子密钥交换的 ML-KEM，已在 FIPS 203 中正式规范。哈希则完全不需要新的数学——只要哈希长度足够大，基于 SHA-256 或 SHA-3 的哈希已经可以在量子攻击下保持安全。
这是指南中一个相对令人安心的发现：区块链向后量子密码学迁移并不是一个等待突破的研究难题。算法已经准备就绪。多数情况下真正缺失的是：如何在承载真实价值的在线网络上实现协同部署。
五个易受量子攻击的关键区块链表面
量子风险并不会以单点失效的形式打击区块链——它会出现在五个不同的迁移面上，每个都有不同的机理、不同的暴露方式和不同的修复手段。
密钥与账户：资金风险最高的地方
每一笔交易都由与钱包私钥绑定的签名授权，而如今这种签名几乎总是依赖 ECDSA 等椭圆曲线数学。这里的危险是直接且与资金相关的：一旦钱包发起交易，其公钥就会在链上可见，量子计算机就可能推导出私钥并冒充所有者签名。通过多签或 MPC 方案将托管拆分给多方并无帮助，因为真正被攻破的是底层签名方案本身。一个细节决定了谁会最先暴露——由于大多数地址只是公钥的哈希，未动用的资金在所有者首次花费之前都保持隐藏。
修复方案是将账户的签名方案替换为后量子方案，但难点不在密码学本身，而在迁移过程。大多数签名方案都被硬编码进协议中，因此更改它们意味着一次触及所有人资金的协调硬分叉。而在账户可编程的情况下，用户可以自行更新其签名方案，无需任何协议层面的变更。Starknet 正是以这种方式运作，后量子钱包已经在其主网上运行，其中包括由 Open Zeppelin 构建的实现。
智能合约、预言机与证明系统
除了钱包之外，链上运行的程序以及它们信任的外部数据也有各自的暴露点。一个在代码中硬编码旧签名校验的智能合约，即使在该方案被攻破后仍会继续信任它。预言机和随机数密钥通常在许多应用之间共享，因此一次攻破就会演变为系统性风险——伪造一个预言机的签名，就能同时破坏所有读取该数据源的合约。修复主要是生态层面的工作：合约和数据提供方迁移到后量子签名方案，最好是在那些无需等待全网升级就能验证新方案的协议上完成。
证明系统面临着类似的分化。如果某个证明依赖椭圆曲线数学——例如基于配对的 KZG 承诺——量子计算机最终可以为从未发生过的状态伪造证明。基于哈希的证明则不存在这种弱点。这也是更广泛地区分 zk-SNARK 与 zk-STARK 的关键：SNARK 通常依赖椭圆曲线假设，并且往往需要可信设置仪式，而 STARK 只依赖于哈希函数的抗碰撞性，这是一种在量子攻击下仍然站得住脚的更保守安全假设，正如 crypto.news 的另一篇技术说明所指出的那样。因此，不含椭圆曲线依赖的基于哈希的证明，被视为更持久的长期选择。
共识、跨链桥与网络加密
区块链终局性和跨链信任都归结为对一组验证者或委员会签名的校验。只要能伪造这组签名，攻击者就可能伪造终局性本身，或推动一笔虚假的跨链桥提现——考虑到跨链桥已经是加密领域攻击最频繁的部分之一，仅通过传统漏洞就被盗走了数十亿美元，这种场景尤其危险。修复方案是将验证者、委员会和结算签名迁移到后量子方案，在签名逻辑位于可升级合约内部的情况下，这一过程更为容易。据报道，Starknet 计划基于这一点迁移其共识签名。不过，跨链安全存在一个共同上限：二层网络继承其基础链的密码学，因此在底层一层完成迁移之前，没有任何二层能实现完全防护。
第五个表面——网络传输加密——涵盖节点之间以及钱包与网络之间的加密连接。由于公共账本本身并不保密，真正的目标是传输中的数据——这些流量可能在今天被记录下来，并在未来量子硬件成熟后被解密，同时还存在一旦节点密钥被攻破就能冒充节点的风险。补救措施是将这类流量迁移到后量子加密方案上，这一迁移已经在更广泛的互联网范围内展开，而不是某条单独链所特有的问题。
Starknet 的量子抗性区块链安全路径
决定一条链还剩多少工作要做的两个结构性优势是：依赖基于哈希的证明而非椭圆曲线数学，以及拥有可以自行更新签名方案的可编程账户。Starknet 被作为一个已经同时具备这两点的工作示例呈现出来。其证明系统在设计上就是量子抗性的，其状态的一部分已经运行在哈希函数之上，并有一条公开承诺的路线图覆盖剩余部分。唯一被承认的例外是数据可用性，作为以太坊的二层，Starknet 在这方面直接继承自以太坊本身——这也凸显出 Starknet 的量子迁移进度仍然与基础层的演进紧密相连。
这种继承依赖很好地提醒了我们，为何量子风险的区块链分析很少只停留在单一网络层面。即便一条链内部防御很强，它的推进速度也只能与其下方各层保持一致。指南指出，最关键的暴露窗口在于那些重复使用或已经花费过、且公钥永久暴露在外的地址——而不是那些从未发生过转移的币。比特币被描述为这一问题最典型的案例：数百万枚币停留在暴露地址中，而网络目前没有内置方式来升级这些地址背后的账户，现实可行的路径只剩下引入新的量子安全地址类型，或最终冻结所有仍未移动的资金。
分析最后得出的结论是，目前没有任何链能声称自己已经完全量子安全，因为脆弱的签名和证明方案几乎仍在各处被积极使用。对投资者、开发者和用户而言，更有用的问题不是某个网络在抽象意义上是否“量子安全”，而是：其基础设施中有多少已经运行在稳健的哈希之上，又有多少仍依赖未来量子计算机可能攻破的数学——以及这些剩余数学能否在不冻结任何人资金的前提下被替换掉。
常见问题
量子计算机如何威胁区块链安全？
量子计算机可以通过运行 Shor 算法攻破某些密码学数学，尤其是椭圆曲线签名，从公钥推导出私钥，然后伪造签名，仿佛自己就是合法所有者。
量子攻击主要影响哪些密码学领域？
签名、加密和哈希是三大主要受影响的密码学领域，它们分别受到量子算法的不同影响，例如 Shor 算法会攻破签名和加密，而 Grover 算法对哈希的影响要小得多。
区块链如何防御量子攻击？
网络可以在签名和加密上迁移到后量子密码方案，在足够长度上采用 SHA-256 或 SHA-3 等量子抗性哈希函数，并将证明系统转向类似 STARK 的基于哈希设计，而非基于椭圆曲线的方案。
为什么 Starknet 被认为比其他链更具量子抗性？
Starknet 使用基于哈希的零知识证明（即 STARK），目前没有已知的量子弱点，并且支持可编程账户，这些账户可以在无需全网协议升级的情况下自行升级其签名方案。
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”量子计算机如何威胁区块链安全？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”量子计算机可以通过运行 Shor 算法攻破某些密码学数学，尤其是椭圆曲线签名，从公钥推导出私钥，然后伪造签名，仿佛自己就是合法所有者。”}},{“@type”:”Question”,”name”:”量子攻击主要影响哪些密码学领域？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”签名、加密和哈希是三大主要受影响的密码学领域，它们分别受到量子算法的不同影响，例如 Shor 算法会攻破签名和加密，而 Grover 算法对哈希的影响要小得多。”}},{“@type”:”Question”,”name”:”区块链如何防御量子攻击？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”网络可以在签名和加密上迁移到后量子密码方案，在足够长度上采用 SHA-256 或 SHA-3 等量子抗性哈希函数，并将证明系统转向类似 STARK 的基于哈希设计，而非基于椭圆曲线的方案。”}},{“@type”:”Question”,”name”:”为什么 Starknet 被认为比其他链更具量子抗性？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Starknet 使用基于哈希的零知识证明（即 STARK），目前没有已知的量子弱点，并且支持可编程账户，这些账户可以在无需全网协议升级的情况下自行升级其签名方案。”}}]}
本文由人工智能协助生成，并由编辑团队审核。
