什么是后量子区块链？

后量子区块链使用旨在抵御已知量子攻击的密码学。

采用后量子密码学，可能需要改变区块链批准交易的方式、钱包管理密钥的方式，以及节点之间通信的方式。

“后量子”是什么意思？

“后量子”指的是为这样一个未来设计的安全性：届时量子计算机强大到足以破解广泛使用的公钥密码。这包括用于授权加密货币交易和建立安全互联网连接的方法。

后量子密码学（PQC）使用的是被认为对传统计算机和量子计算机都难以求解的数学问题。开发者如今就可以在普通计算机上使用这些算法，包括运行钱包和区块链节点的设备。

因此，“后量子区块链”这个说法需要具体语境。要了解一条链提供的保护，我们需要知道它的哪些部分使用了后量子密码学，以及这种保护是否适用于人们已经在使用的资产和账户。

什么是密码学，区块链如何使用它？

密码学用数学方法保护信息并验证其真实性。在区块链中，它帮助计算机检查谁授权了一笔交易，以及已记录的数据是否被更改。

数字签名：授权你的交易

当你发送加密货币时，钱包会用你的私钥为交易生成数字签名。负责检查的计算机，即节点，会用与之匹配的公钥验证该签名，而无需知道你的私钥。

签名保护它所涵盖的交易细节。对于一笔典型转账，这些细节包括收款方和金额；一旦改动这些已签名的内容，验证就会失败。

能力足够强的量子计算机可以通过公钥推导出私钥，从而威胁常用的签名方案。攻击者随后就能用恢复出的密钥签署交易。

密钥建立与加密：保护连接

当你的钱包通过加密连接访问某项服务时，双方需要一个共享秘密来保护它们交换的消息。密钥建立（key establishment）就是让它们在公共网络上建立这一秘密的过程。

随后，对称加密使用共享的秘密密钥来加密和解密消息。连接需要两个步骤：安全地建立密钥，以及安全地使用密钥。

这些方法保护的是系统之间的通信。记录在公共区块链上的交易通常仍然是公开可见的。

哈希：检测数据的变化

哈希函数把数据转换成固定长度的值，称为哈希。输入哪怕只有细微变化，通常也会得到不同的结果。

区块链用哈希来检查交易数据，并把区块与其历史连接起来。如果有人更改了已记录的交易，它的哈希也会改变，其他计算机就能发现它与已被接受的记录不一致。

哈希也被用于某些后量子签名方案内部。它的作用和所需的安全性，取决于区块链如何使用它。

量子计算对每种方法有何影响？

量子威胁因功能而异。广泛使用的公钥签名和密钥建立方法需要被替换，而合适的对称加密和哈希函数可以继续使用。

Google 2026 年的研究改变了什么？

2026 年 3 月，Google Quantum AI 发表了一项研究，表明未来的量子计算机攻击比特币所使用的椭圆曲线密码，所需资源可能比早先的估算更少。

研究人员在对计算机硬件和错误率作出特定假设的前提下，计算了这次攻击的需求。他们的电路设计降低了估算的工作量。

什么是量子电路？

量子电路是量子计算机为完成一次计算而执行的一系列操作。研究人员可以重新设计这一序列，以减少所需的量子比特（qubit）或操作数量。

该研究所建模的是一台仍有待建造的机器。更好的攻击方法可能在区块链完成替换易受攻击的密码学之前就降低硬件要求，这给了开发者提早着手准备的又一个理由。

区块链可以使用哪些类型的后量子密码学？

区块链开发者有几种选择，可用于替换易受攻击的签名并保护连接。这些选择使用了不同的数学问题，被认为能够抵御已知的量子攻击。

美国国家标准与技术研究院，即 NIST，通过公开评审流程评估这些算法，并发布规定所选算法如何运作的标准。2024 年 8 月，它最终确定了三项：用于数字签名的 ML-DSA 和 SLH-DSA，以及用于建立共享秘密的 ML-KEM。

这些标准代表了后量子密码学的两种方法：基于格和基于哈希。第三种方法，基于编码的密码学，也在推进标准化。

基于格的密码学：签名与安全连接

基于格的密码学使用涉及多维空间中规则排列的点的数学问题。这些算法让持有秘密密钥的人可以对消息签名或建立共享秘密，同时使攻击者很难从公开信息中恢复该密钥。

两个已标准化的算法将这种方法用于不同目的。

**ML-DSA 生成数字签名。**区块链可用它授权交易或认证来自节点的消息。ML-DSA 由 Dilithium 发展而来，规定于 FIPS 204。

**ML-KEM 在两个系统之间建立共享秘密。**随后可以用这一秘密派生密钥来加密它们的通信。对区块链而言，这可能是在节点之间建立受保护连接的一部分。ML-KEM 由 Kyber 发展而来，规定于 FIPS 203。

FIPS 是什么意思？

FIPS 是联邦信息处理标准（Federal Information Processing Standards）的缩写。每份编号文件规定一项标准。例如，FIPS 204 定义了 ML-DSA 签名算法及其允许的参数设置。

基于哈希的密码学：签名的另一种方法

基于哈希的密码学使用哈希函数来构造数字签名。帮助检测区块链数据变化的同类数学工具，也可以用在签名方案之中。

SLH-DSA 由 SPHINCS+ 发展而来，是以 FIPS 205 发布的基于哈希的签名标准。它的安全性取决于哈希函数的性质，为 ML-DSA 所用的格问题提供了一种替代。

这种选择涉及实际的权衡。SLH-DSA 通常产生更大的签名，签名所需时间也比 ML-DSA 更长。这可能使它不太适合频繁的交易，但对于签署软件更新这类签名速度可能没那么重要的应用仍然有用。

延伸阅读：Next steps in preparing for post-quantum cryptography。

基于编码的密码学：建立秘密的另一种选择

纠错码帮助计算机在数据损坏时恢复信息。基于编码的密码学使用与之相关的数学问题，在没有秘密知识的情况下很难恢复原始信息。

HQC 用这种方法建立共享秘密。NIST 选择它作为 ML-KEM 的替代方案进行标准化，因为它依赖不同的数学原理。同时拥有这两种方法，可以降低对单一安全假设的依赖。NIST 的选定公告解释了这一理由。

HQC 的标准在 NIST 当前的登记册中仍待发布，因此应与上述已最终确定的标准区分开来。

选择取决于用户和节点签署消息的频率、节点必须多快验证它们，以及网络能传输和存储多少数据。这些要求使密钥和签名的大小成为决策的重要部分。

后量子签名的扩展性挑战

许多后量子签名方案产生的数据量，远多于区块链常用的椭圆曲线方案。

例如，ML-DSA-87 产生4,627 字节的签名，约 4.6 KB。它的公钥还要再加 2,592 字节，不过这个公钥是否随每笔交易一起发送，取决于区块链的设计。

在数以千计的交易中，这些额外数据会增加带宽和存储需求。如果一条链保持同样的区块大小上限，更大的交易就意味着区块能容纳的转账更少。在按交易大小收费的链上，费用也可能上升。

现有区块链必须在最初为较小签名设计的规则和软件中容纳这些变化。开发者可能需要修改交易大小限制、费用计算，以及签名的传输和存储方式。

开发者正在探索基于证明的签名聚合，以减少这种开销。一台计算机检查大量签名，并生成一份密码学证明，证明这些签名对相应的交易和公钥有效。在协议支持这种方法的情况下，区块可以包含证明和精简的引用，而不是每一个单独的签名。交易本身仍然需要被记录。

以太坊的 EIP-8288 草案提出用 STARK 证明实现这种方法，STARK 证明是一种可以一并验证大量计算的密码学证明。这是针对未来升级的提案。聚合是否能节省空间，取决于证明系统以及合并的签名数量。

原始签名仍然需要生成和处理，生成证明也需要额外的计算。因此开发者需要把存储节省与处理时间、硬件要求一起测试。证明系统本身也必须评估其对量子攻击的抵抗能力。

区块链中有哪些地方必须改变？

开发者首先需要找出区块链及其配套软件在哪些地方使用了易受攻击的密码学。范围取决于网络设计，但有几个领域需要关注。

交易规则与钱包

区块链必须识别新的签名，并定义节点如何验证它们。你的钱包还需要生成、存储并备份相应的密钥。如果区块链不接受某笔交易的签名，仅仅更新钱包是无法保护这笔交易的。

用于就区块达成一致的签名

一些网络要求验证者在决定接受哪些区块时对消息签名。这些签名保护网络的共识过程。如果它们使用了易受攻击的密码学，就需要独立的过渡，与用户发送资金时生成的签名分开处理。

受保护的连接

节点和服务可能使用公钥密码学来相互认证并建立加密连接。凡是依赖易受量子攻击算法的地方，这些通信协议都需要审查。

证明及其他密码学检查

一些区块链使用证明来验证交易批次或保护隐私信息。这包括 ZK rollup，即处理交易并向基础区块链提交其正确性证明的二层网络。即使用户采用了后量子签名，它们的证明系统仍需要单独的量子安全评估。

另一些使用密码学承诺，让系统可以发布一个将其与特定数据绑定的值，之后再证明数据与之匹配。

每种构造都需要各自的评估。以太坊的后量子路线图说明了为什么账户签名、验证者签名和与数据相关的密码学需要分别开展工作。

应用与配套服务

交易所、跨链桥、托管方和应用在依赖新的交易及密钥格式的地方必须能够识别它们。否则，用户即使拥有兼容的钱包，也可能无法充值或与某项服务交互。

稳定币发行方还需要审查用于创建代币、在赎回时授权销毁以及管理代币合约的密钥和权限。如果这些控制依赖易受攻击的签名，就需要它们自己的迁移计划。

现有资金与权限

用户可能需要转移资金，或更换控制账户和智能合约的密钥。迁移计划必须说明他们如何安全地授权这一变更，以及仍处于旧保护之下的资产会怎样。

从创世即后量子，还是改造现有区块链

区块链的第一个区块称为创世区块。从创世起就设计为使用后量子密码学的网络，可以在用户获得其上的资产之前，引入兼容的交易规则、钱包和节点软件。这样就避免了从旧签名密钥开始的初次迁移，不过实现仍需安全测试，并可能需要未来的升级。

现有区块链则必须在人们继续使用网络的同时引入新的密码学。如果你已经持有资金，升级需要保住你访问这些资金的能力，并为你提供安全采用新保护的方式。

比特币：谁来转移这些币？

比特币的迁移问题不止于选择签名算法。参与者还需要决定新的花费规则如何被采纳、持有者如何转移资金，以及旧的花费方式是否无限期保持可用。

休眠币让这些决定变得困难。一个多年不活跃的地址，可能属于为将来储蓄的人、丢失了密钥的人，或已经去世的人。仅凭不活跃无法判断哪种解释是正确的。

保留易受攻击的花费方式，可能让能力足够强的量子攻击者拿走由已暴露公钥保护的资金。限制这些方式，也可能让合法所有者无法花费，除非他们满足新的恢复要求。BIP-361 草案提出了迁移流程和对旧式签名的限制，但它仍是草案，尚未被采纳。

开发者可以提出软件变更。他们不能代表整个网络决定所有人必须接受哪些所有权和恢复规则。

延伸阅读：Shai Wyborski 博士谈比特币的后量子迁移

以太坊：在整个网络中协调变更

以太坊同样需要超出钱包签名的变更。它的后量子路线图涉及用户账户、验证者签名，以及用于检查区块链数据的密码系统。

账户抽象允许账户自行定义交易如何获得批准。这种灵活性可以支持替代的签名方法，包括已实现的后量子签名。

我们在 Quantus 如何使用后量子密码学

Quantus 自创世起就采用后量子密码学上线。其设计涵盖交易签名、钱包密钥以及节点之间的连接，并为隐私转账和扩展提供了独立的证明系统。

白皮书解释了该架构及其安全假设。Poseidon2 是一种为在密码学证明内部高效使用而选择的哈希函数。

Wormhole 的隐私保护涉及的是存款与其目的地之间的关联。金额和提取地址仍然公开，时间或金额的模式可能帮助观察者推断关联。Wormhole 文档说明了这些局限。

后量子区块链的发展现状

对于尚未部署后量子花费选项的链上的持有者来说，目前可能还没有直接的迁移步骤。进展取决于网络是否引入该选项并支持其使用。

研究、已部署的支持和已完成的迁移是不同的阶段。路线图描述的是预期的保护。要了解目前是什么在保护资金，需要查看网络实际使用的规则和密码学。路线图与已部署保护之间的差距，正是迁移要在 Q-Day 之前开始的原因。

常见问题

后量子区块链需要量子计算机吗？

后量子密码学在传统计算机上运行。开发者在具有密码学意义的量子计算机出现之前就可以使用它。

区块链能否仅靠更换签名方案就成为后量子区块链？

更换签名只涉及交易授权。钱包、节点通信、应用、配套服务和现有资产仍可能依赖旧的密码学和密钥格式。

后量子钱包能让现有区块链具备抗量子安全吗？

不能。钱包本身无法让底层区块链具备抗量子安全。区块链必须接受新的密码学，所涉服务也必须支持由此产生的交易。

后量子区块链和量子区块链有什么区别？

后量子区块链使用旨在抵御未来量子攻击的密码学，并运行在传统硬件上。量子区块链通常指在区块链系统中使用量子硬件或量子通信的实验性方案。