导语：一份日期为2026年3月30日的新白皮书显示，谷歌量子人工智能、以太坊基金会与斯坦福大学研究人员提出优化的量子电路，可能将破解比特币和以太坊所依赖椭圆曲线密码学所需的硬件规模大幅降低。核心结论是，所需物理超导量子比特不足50万个，较此前约900万个的估算减少20倍。
该论文聚焦256位椭圆曲线离散对数问题（ECDLP-256），并针对比特币和以太坊共同使用的secp256k1曲线，采用Shor算法。破解该问题意味着攻击者可从公钥推导私钥，相当于获得区块链钱包的“万能钥匙”。
两种电路方案与运行时间
论文提出两种电路变体：一种最多使用1200个逻辑量子比特和9000万个Toffoli门；另一种使用1450个逻辑量子比特和7000万个Toffoli门。在标准超导表面码架构下，执行时间约为9至23分钟。
此前学术基准认为，需要约900万个物理量子比特；新论文认为不足50万个即可。该基准低于谷歌此前报告水平的一半，但两种方法采用不同核算方式。
与此同时，加州理工学院与Oratomic研究人员探索中性原子架构，声称类似计算可将物理量子比特需求降至1万至2.6万个，但代价是运行时间可能长达数天，而非数分钟。
两类攻击路径
论文识别出两种攻击向量。第一种为“花费时攻击”（on-spend attack），针对交易广播过程。在比特币平均10分钟区块确认窗口内，足够强大的量子计算机理论上可拦截已公开公钥，并在交易确认前推导私钥。研究人员估计，在特定条件下成功率约为41%。
第二种为“静态攻击”（at-rest attack），针对公钥已在区块链上公开的钱包。研究人员估算，约690万枚BTC处于公钥暴露的钱包中，其中约170万枚来自早期Satoshi时代P2PK输出——该最早交易格式会广播完整公钥，而非公钥哈希。以太坊方面，约2050万枚ETH面临类似暴露风险。控制稳定币及其他代币化资产智能合约的管理密钥也构成额外脆弱点。论文估算，这些管理密钥所治理资产价值约2000亿美元。
披露、防御与现状
研究人员进行了负责任披露，使用零知识证明验证其主张，而未实际公开电路设计。论文合著者、斯坦福密码学家Dan Boneh主张以审慎方式向后量子签名方案迁移。
目前尚不存在接近50万物理量子比特门槛的量子计算机。谷歌已知最先进公开量子处理器Willow拥有105个量子比特。
对持有者而言，实际建议很直接：从未广播交易、因而从未暴露公钥的钱包可免受静态攻击。最简单防御措施是为每笔交易使用新地址，避免地址复用。面临风险的约690万枚BTC和2050万枚ETH主要位于较老钱包或使用过时地址格式的钱包中。