量子计算机真的能破解比特币吗？

1

一个名叫Robert Stevens的自由职业记者写了一篇“标题党”的文章，20天后在中国币圈引发了一次对量子计算(Quantum Computing)的焦虑。

原文[1]是个“标题党”：量子计算机或在2022年破解比特币。译文[2]也是个“标题党”：谷歌CEO回应：量子计算将至，主流公链不堪一击。

先别急着上当。真相往往就在原文中。

2

稍微看一眼原文就知道，中文译文的标题显然是断章取义。谷歌CEO Sundar Pichai一番话是早在年初的达沃斯论坛上讲的，但原话说的是量子计算可能会在5年内有突破，(一旦突破)将终结现有的加密技术。根本就没提什么公链。

知道去年谷歌宣称实现“量子霸权”(quantum supremacy)并得到伊万卡·特朗普(Ivanka Trump)点赞的朋友应该都明白，Pichai这又是在达沃斯推销谷歌的量子计算技术呢。

推销炒股必赢秘诀的人，挣的是学习炒股秘诀的人交纳的学费，网友戏称“智商税”。真的知道了别人不知道的炒股秘诀，还不赶紧去炒股挣大钱，谁还会不辞辛苦去教别人炒股呢？

谷歌的量子计算技术，足以摧毁全球无数银行和金融系统的“大杀器”，Pichai眼看就要拥有了，居然不是在家偷着乐，而是跑出来公开兜售，这和推销炒股秘诀简直就是异曲同工。

3

至于原文的标题，则是彻头彻尾的谎言。只需仔细拜读一下这篇文章，就能在文章末尾看到这个“2022年”的来历：美国标准技术局(NIST)正在举办一场竞赛，比赛创造抗量子计算的密码学算法。然后文章援引了另外一个哥们的猜测，说NIST估计得等到2022年才能对这场竞赛作出裁判。

于是文章总结性地写道：在此之前，比特币持有者们将生活在量子不确定性的状态之中。这完全是罔顾前文刚刚引用Pichai的评论，说量子计算技术(距离实际应用)至少还需要5到10年。所以，在2022年之前，没有什么“量子不确定性”，只有“确定性”，就是这2年内实用量子计算机肯定搞不出来。

而从2022年才会有抗量子算法从竞赛中胜出，推论出2022年量子计算机将破解比特币，原文作者显然已经逻辑混乱、胡说八道了。

哪怕就算2年后没有符合NIST标准要求的抗量子算法出来，这也并不必然代表那时候量子计算就可以破解比特币了。主要还得看量子计算的发展情况。即使按照Pichai的偏乐观的估计，也得5年、10年，这也意味着人们有5年、10年的时间可以用来研究量子计算对抗技术和算法。2022年，天塌不下来。

有时候，只需要一点点逻辑常识。

4

比特币存放在比特币地址里，由私钥控制。拥有私钥的人，可以使用“椭圆曲线电子签名”算法(ECDSA)动用地址中的比特币。所谓量子计算技术可以破解比特币，最薄弱的地方就是在ECDSA算法这里，但也需要量子计算机可以运行实用级的Shor算法。

从谷歌去年鼓吹的量子霸权，到能够运行实用级的Shor算法的距离，大概就和从摆地摊到中国首富马爸爸的距离那么远。

即使谷歌的“量子霸权”成功从摆地摊升级成了马爸爸，它首先可以攻破的，是全球无数的银行和金融系统，而不会是比特币。

早在11年前，在比特币发明之初，中本聪已经料到了这一手。极早期的比特币版本，是直接使用ECDSA公钥上链存放比特币，在比特币上古区块中还能看到历史遗迹。但是很快中本聪就做出了加固防护，给ECDSA之外又套了一层哈希算法(SHA-256安全哈希算法)，SHA-256哈希的结果就是今天我们熟知的、常见的比特币地址。

SHA-256有很好的量子计算机抗性。已知的量子计算算法无法全面攻破。即便是达到实用级的量子计算机，其进步也就相当于比特币挖矿从CPU到ASIC矿机的算力提升而已，连“攻破”比特币挖矿都做不到。

相反的，真到那一天，比特币矿工之间的“军备竞赛”只会加速推动量子矿机在比特币挖矿产业中的快速普及和大量部署，就像过去11年比特币挖矿从CPU挖矿升级换代成GPU挖矿，又从GPU挖矿升级换代成今天的ASIC挖矿一样。这种挖矿技术的升级换代，会大幅提升比特币全网算力。而全网算力的大幅提升，只会让比特币变得更加安全、更加难以被攻击、更加有价值。

比特币挖矿，在算法上就是耗费巨大电力和算力24x7不间断地攻击SHA-256算法——当然是以一个低得多的难度。比特币系统的左右互搏，正是中本聪的巧妙设计。试想，这样一个自由开放、与时俱进、不断升级、自强不息的比特币系统自己都攻不破、打不败自己，还有谁能够攻破和打败比特币系统呢？

量子计算机真的实用化了，比特币的价值不是归零，而是会随着量子矿机的采用更上层楼。

5

现有版本的比特币代码对于今天足以预见的人类计算能力最大极限已经做出了充分考虑和对策。但是中本聪想的更远：也许在更加遥远的、未知的未来，有比量子计算机更厉害的计算技术，足以攻破SHA-256哈希算法——虽然这个算法被暴力攻破的可能性比人类灭亡的概率还要低。

于是在2010年6月14日的论坛讨论[3]中，比特币的发明者中本聪对密码学算法被攻破的问题做了更进一步的前瞻性分析，并指出了应对之道。下面是他的原话：

SHA-256非常强壮。它不像从MD5到SHA1的渐进式进步。它可以几十年屹立不倒，除非出现某种大规模突破性的攻击技术。

如果SHA-256被全面攻破，我想我们可以达成某种共识，锁定出问题之前的“诚实的”区块链，并从那个位置开始采用新的哈希函数。

如果哈希攻破是逐渐发生的，我们有一个按部就班的方式过渡到新的哈希函数。(比特币)软件可以编写成从某个特定的区块号码开始采用新的哈希函数。每个人都需要在那个时间点升级。(比特币)软件可以把所有旧区块的新哈希值保存一下，如此可以确保对于旧区块的篡改——即便旧哈希值相同——也不会被接纳。

参考链接

[1] https://decrypt.co/28560/quantum-computers-could-crack-bitcoins-encryption-by-2022

[2] https://news.huoxing24.com/20200604102826387889.html

[3] https://bitcointalk.org/index.php?topic=191.msg1585#msg1585