量子威胁 secp256k1：1200 个量子比特即可破解

肖尔算法优化威胁区块链secp256k1加密安全

谷歌量子AI发布白皮书，展示了一种优化的肖尔算法，可破解256位椭圆曲线加密secp256k1。所需资源已降至1,200个逻辑量子比特和9,000万个托佛利门，相当于不到50万个物理量子比特。计算仅需数分钟，这对比特币和以太坊构成了现实威胁。

关键算法改进

包括以太坊基金会的Ryan Babbush、Craig Gidney和Justin Drake在内的研究人员，将肖尔算法编译为高效的量子电路。先前估计（Litinski，2023年）需要约900万个物理量子比特——新优化将阈值降低了20倍。

该算法解决了椭圆曲线上的离散对数问题，这是区块链私钥的基础。在量子硬件上从公钥反推私钥变得可行。

降低资源需求的趋势持续：每12-18个月，算法改进会降低要求，与硬件进展相辅相成。

量子攻击向量

实时交易攻击

攻击者从内存池拦截交易，其中公钥可见。肖尔算法在几分钟内计算出私钥，允许在区块确认前窃取资金。攻击时间短于比特币的区块间隔（10分钟）。

静态地址攻击

已公开公钥地址的钱包无时间限制地易受攻击。据作者称，690万枚比特币面临风险，包括170万枚来自中本聪时代的代币。

• 实时交易攻击：需实时关注内存池。
• 静态地址攻击：离线黑客攻击，区块链上数百万地址。
• 零知识证明细节：谷歌提供了方案效率的零知识证明，但未披露细节。该零知识证明本身并非后量子安全的。

量子硬件现状

谷歌的Willow处理器有105个量子比特——远低于50万个。然而，该发布缩小了理论与实践之间的差距。谷歌计划到2029年实现后量子准备，而NIST目标在2030年前逐步淘汰RSA。Justin Drake估计到2032年量子黑客攻击的风险至少为10%。

作者警告：第一台具有密码学意义的量子机器将通过区块链而非新闻稿宣告其存在。

后量子保护措施

NIST于2024年批准了后量子标准。对于区块链，需要以下措施：

• 协议的软分叉/硬分叉。
• 钱包和节点的更新。
• 社区共识。
• 迁移到Dilithium或Falcon等算法。
• 审计现有地址的漏洞。

在企业系统中，更新更容易，但去中心化网络需要多年的协调。必须提前采取行动。

关键要点

• 肖尔优化将需求降至1,200个逻辑量子比特——比先前估计效率高20倍。
• 实时交易攻击可在几分钟内实现；690万枚比特币在静态地址下易受攻击。
• 谷歌使用零知识证明进行验证，但未披露方案细节。
• 区块链的后量子迁移是一个多年过程——需紧急启动。
• 到2030-2032年，量子黑客攻击风险真实存在。

— Editorial Team