Google 跨过量子计算关键门槛，比特币为何暂时安全

加密行业对“量子威胁”的焦虑，在 2026 年 10 月被重新点燃。但这次点燃焦虑的并不是某台突然变强的量子计算机，而是两件事的叠加：Google 在量子纠错资源效率上的一项关键突破，以及一位以太坊研究员对 AI 破解数学的警告。

10 月 15 日，Google Quantum AI 在《Science》发表论文，宣布在其 Willow 超导量子处理器上首次实现了“魔法态培育”（magic state cultivation）：把一类关键量子错误的错误率降低了约 40 倍，逻辑 T 态的保真度达到 99.99%。消息传出后，“量子计算机还要多久能破解比特币”的老问题再次被摆上台面。

但答案比恐慌更复杂。要破解 RSA-2048 加密密钥，需要的错误率约为百亿分之一——比 Google 刚刚展示的水平还要干净约一百万倍。而以太坊基金会研究员 Justin Drake 本周真正的担忧也并非量子计算机，而是 AI 驱动的数学突破可能先用普通硬件攻破椭圆曲线签名。对比特币和以太坊而言，真正的风险窗口尚未打开，但行业的迁移时钟已经被拨快。

Google 到底做成了什么：不再建“量子比特工厂”

要理解这项进展的分量，需要先知道量子计算机的一个瓶颈：它要运行某些通用运算，必须消耗一种叫做“魔法态”（magic state，也称 T 态）的纯净一次性资源。

传统做法是建立专门的“量子比特工厂”，通过多级“蒸馏”（distillation）流程提纯这些状态。这套流程的代价极高——据估算，它会吃掉整台机器 90% 到 95% 的物理量子比特容量。换句话说，一台量子计算机的大部分硬件并不是用来做计算，而是用来给计算“生产燃料”。这是量子计算最大的资源税之一。

Google 的新方法不做工厂，而是做筛选。它先注入一个粗糙的状态，让它通过一系列校验关卡，然后丢弃约 92% 失败的尝试，只留下通过筛选的那部分。根据 Google 官方博客和论文，留下的状态达到 99.99% 的逻辑保真度，错误率比未经培育的状态降低约 40 倍。论文第一作者 Emma Rosenfeld 的团队在 Willow 的 105 个量子比特中动用了 54 个完成实验。

用 Google 自己的话说，这一结果把“魔法态培育”从理论构想变成了实验现实，为超导量子处理器上的通用逻辑提供了一条可行路径。对行业而言，这意味着未来建造同等算力的量子计算机，可能不再需要堆砌那么多物理量子比特——资源效率的提升，往往比单纯增加量子比特数量更难，也更重要。

离破解比特币还有多远：105 到 50 万的鸿沟

没人能用这项技术盗走钱包里的币。

Google 这次突破针对的是“资源效率”，而非单芯片的量子比特数量。Willow 目前只有 105 个量子比特，而破解比特币和以太坊使用的 secp256k1 椭圆曲线密码（ECDLP-256）需要多少？Google 在 2026 年 3 月发布的一份 57 页白皮书给出了迄今最激进的估计：在表面码纠错架构下，需要不到 50 万个物理量子比特。

把这条时间线拉长看，门槛确实在快速下移。2019 年，学界估算破解 RSA-2048 需要约 2000 万个噪声量子比特；到 2025 年，这一数字已降至 100 万以下；再到 2026 年 3 月，Google 把比特币椭圆曲线的门槛压到 50 万以下，相比 2023 年 Litinski 提出的约 900 万物理量子比特估计，降幅接近 20 倍。

但从 105 到 50 万之间，仍有巨大的工程鸿沟。更要注意的是，破解密钥所需的错误率约为百亿分之一，比 Google 此次展示的 99.99% 保真度还要干净约一百万倍。资源效率提升 40 倍是重要里程碑，但距离“密码学相关量子计算机”（CRQC）仍有数个数量级的差距。

这也解释了为什么 Decrypt 的 Morning Minute 把标题定为“Bitcoin Still Safe”：Google 证明了通往通用量子计算的一条关键路径可行，但这条路离终点还很长。

Drake 的真正担忧：AI 可能比量子先到

本周加密社区焦虑的真正源头，其实是另一条战线。

10 月 7 日，以太坊基金会研究员 Justin Drake 呼吁大型持币者进入“掩体模式”（bunker mode）。他担心的不是量子计算机，而是 AI 驱动的数学研究可能在最坏情况下“几个月而不是几年”内，在普通硬件上攻破保护比特币和以太坊钱包的 ECDSA 椭圆曲线签名。

Drake 的逻辑基于一个被很多人忽略的事实：每笔比特币和以太坊交易在签署时都会把公钥暴露给全网。只要公钥不暴露，攻击者就无法从公钥反推出私钥；但一旦暴露，签名方案的安全性就完全取决于椭圆曲线离散对数问题的硬度。Drake 的建议是：大额持有者应将资金转移到从未签署过交易的“新鲜地址”，让公钥继续隐藏在地址哈希之后。

这一观点在加密社区引发了激烈争论。Coinbase 密码学负责人 Yehuda Lindell 反驳称，目前“没有任何证据”表明支撑椭圆曲线密码数十年的 hardness 假设被削弱，并称相关言论是缺乏证据的恐慌。以太坊联合创始人 Vitalik Buterin 则采取了中间立场：他认为 AI 加速数学研究的风险真实存在，但警告不要仓促迁移，并提及自己过去因迁移失误造成的损失。

讽刺之处在于，Drake 的实际恐惧根本不是量子。Google 的进展只是让他的警告看起来“不那么偏执，而是过早”。加密资产实际上正面临两条战线的夹击：一条是量子硬件的稳步推进，另一条是 AI 加速基础数学研究的不确定性。

行业已经开始准备，但进度不一

无论威胁来自量子还是 AI，主要参与者都已经开始行动。

Coinbase 本周强调，后量子迁移必须现在就开始规划，而不是等到威胁临近。早在 2026 年 4 月，Coinbase 量子咨询委员会就发布了首份 51 页立场文件，由 Scott Aaronson、Dan Boneh、Justin Drake、Yehuda Lindell 等学者和行业密码学家共同撰写。文件警告，一台足够强大的量子计算机可能在未来十年或更长时间内出现，但迁移规划必须立即启动；文件还指出，未迁移的资产未来可能需要被“吊销”处理。

在同一份评估中，Coinbase 将 Algorand 和 Aptos 列为准备最充分的链：Algorand 已完成首笔抗量子主网交易并支持 NIST 后量子签名，Aptos 则支持单笔交易内完成密钥更换。相比之下，以太坊和 Solana 的准备程度相对滞后。

其他公链也在推进。Sui 已经在测试网上运行抗量子交易；以太坊、Zcash 和 NEAR 都公布了成为抗量子网络的路线图。这些计划的核心思路相似：把签名方案升级为后量子密码（PQC），并设计平滑的密钥迁移机制，让用户能在不丢失资产的前提下转移到新地址。

时钟在走，但还没到午夜

Google 的进展是一个提醒：量子计算的“滴答声”确实在加快。资源效率的突破会让硬件门槛以比预期更快的速度下降，而 50 万物理量子比特的估计值意味着，威胁的时间表可能比几年前的想象更近。

但对比特币和以太坊而言，真正的风险窗口尚未打开。无论是量子还是 AI，都还没有能力破解椭圆曲线签名。当前更现实的行动不是恐慌性迁移，而是有序准备。

接下来值得关注的变量有三点：一是 Google 等机构能否继续压缩破解比特币所需的量子比特数量，以及 Willow 之后的芯片路线图；二是 AI 驱动的数学研究是否真的能在短期内取得椭圆曲线方向的突破，这将决定 Drake 的“几个月”警告是危言耸听还是先行指标；三是各大公链的抗量子迁移能否在大额持币者恐慌之前完成，尤其是以太坊和 Solana 这类准备相对滞后的生态。

对普通用户而言，目前最实际的建议仍是：不要重复使用地址，大额资金尽量使用从未暴露公钥的新地址，并关注自己持有资产所在公链的抗量子升级进度。量子威胁的叙事已经讲了十几年，但这一次，行业的准备速度和 Google 的进展一样，都是新的变量。