比特币开发者提出“量子地雷”：让量子攻击者先押上自己的币

比特币开发者 Cory Fields 想出了一个反直觉的防御思路：未来的量子攻击者要想偷币，必须先押上自己的比特币。攻击一旦被盗币者成功举证，攻击者押上的保证金将连同被盗币一起归还原主。换句话说，量子盗窃不再是无风险套利，而可能变成一笔稳亏的买卖。

11 月 4 日，Fields 在比特币开发邮件列表 bitcoin-dev 上发布了题为“量子地雷”（quantum landmines）的设想，并配套提出两种拍卖机制。Fields 是比特币核心开发者，任职于麻省理工学院数字货币计划（MIT Digital Currency Initiative）。他明确将这套方案称为“思想实验”，而非一份可立即落地的比特币升级提案。目前比特币网络上不存在任何此类保护机制，Fields 也未发布实现代码或激活时间表。

这一设想之所以值得关注，是因为比特币的量子风险并非均匀分布。部分早期比特币输出直接暴露了公钥，某些新格式也会在花费时暴露公钥；另一些地址则直到花费前都隐藏公钥，因此风险并不均等。研究者把能发动此类攻击的量子计算机出现之日称为“Q-Day”。目前没有任何公开验证的机器能做到这一点，也没有人知道它何时到来，但社区必须在此之前准备好应对方案。

“量子地雷”如何把盗窃变成亏本买卖

比特币依赖非对称加密：公钥公开可见，私钥用于签名。现有计算机无法从公钥反推私钥，但足够强大的量子计算机理论上可用 Shor 算法完成这一逆向计算，从而像真正所有者一样花掉币。Fields 的“量子地雷”正是针对这一威胁设计的“事前防御”。

机制大致如下：在 Q-Day 到来之前，某位持有 1 BTC 旧钱包的用户创建一个极小的、量子安全的独立输出，其中隐藏一份“我在量子盗窃尚不可能时仍掌握私钥”的证明。可以把这理解为一张密封的所有权收据：外人能看到这笔小额输出，却看不到里面藏着的证据，甚至不知道这是个陷阱。

假设未来有攻击者用量子计算机恢复了该用户的旧私钥。按照 Fields 设想的规则，他不能直接转走这 1 BTC，而必须从自己的量子安全钱包中再拿出 1 BTC 作为抵押。两笔币一起进入一个价值 2 BTC 的受限输出，并需经过挑战期——Fields 举例为 30 天——才能自由花费。

原钱包所有者发现这笔交易后，亮出预先埋好的 Q-Day 前证明，网络便允许他把全部 2 BTC 转移到其早先承诺的量子安全地址：自己的 1 BTC 原币，加上攻击者的 1 BTC 抵押。攻击者无法提前知道哪些旧钱包埋了这种“收据”，一次成功的量子密钥恢复可能反而变成 1 BTC 的亏损。

但这一机制的代价同样明显：原主若想在 Q-Day 后正常转移自己的旧币，也需要拿出等额抵押。如果没有闲置 BTC，这套本意是惩罚攻击者的规则，可能让诚实用户也难以移动自己的储蓄。这正是量子防御中最棘手的权衡：任何基于“证明所有权”的规则，都可能同时误伤忘记迁移的普通持有者。

两种拍卖：让废弃币也不再是可靠财源

“地雷”只在所有者提前埋设并及时举证时有效，对密钥早已丢失的币无能为力——包括那些被广泛认为已无法访问的早期比特币持仓。Fields 估算，这类长期未动的币正是量子攻击者最可能盯上的目标，因为原主几乎不可能再发起挑战。为此他提出第二种机制：质押拍卖（staked auction）。

在 Q-Day 之前，某人可以锁定一笔量子安全的比特币，并秘密登记对某个预期会被攻击者盯上的旧钱包的出价。假设一个看似被遗弃的钱包里有 50 BTC，未来攻击者试图转移它并押上另外 50 BTC 作为抵押；在拍卖期内，提前承诺出价的人可以挑战这次盗窃尝试。在 Fields 的设想里，挑战成功者可以分得攻击者部分抵押，而原本那笔脆弱币则被销毁，而非奖励给出价者。目的不是把币还给找不到的原主，而是剥夺攻击者稳定的收益来源。

第三种设想是“聪拍卖”（sats auction），无需提前质押。一笔脆弱币的花费会触发竞价：最高出价者获得扣除出价后的币，第二名则要支付自己的出价却一无所获。这类似于博弈论中著名的“全支付拍卖”陷阱——两名竞拍者不断加价，因为谁都不愿成为那个花钱买空的人。攻击者可能因此回避一场代价可能超过赃物的竞价。

为什么不全盘冻结脆弱比特币

应对量子风险的另一种主流思路，是在迁移截止日后限制从过时钱包花费。这或许能阻止盗窃，却也可能把从未迁移的合法所有者永久锁在门外。Fields 探索的是另一种权衡：让旧币仍然可以花费，但让尝试转移变得昂贵且可被挑战。问题在于，比特币无法区分诚实所有者和量子窃贼——只要双方都能给出同样有效的签名，网络就没有办法判断谁才是真正的主人。

这一权衡的代价不小：诚实所有者可能需要大额抵押存款；不活跃的持有者可能错过异议窗口；拍卖规则甚至可能烧掉那些仍然在世、只是离线用户的币。对一条以“抗审查、不可没收”为核心价值的网络而言，引入可销毁用户资金的机制，本身就需要极高的共识门槛。

落地还需要什么

比特币首先需要一种量子安全的方式来持有和花费资金；钱包需要支持隐藏的 Ownership 承诺；共识规则则要强制执行抵押、等待期、特殊恢复交易和拍卖。开发者还需就新规则何时激活、抵押额度、失败出价与剩余资金的处理达成一致。Fields 认为部分机制或可通过软分叉引入，但未给出详细设计。

截至 2026 年 11 月初，约 710 万枚 BTC、约占流通供应的 35%，仍处于公钥暴露的钱包中（数据来源：TradingView 援引行业统计）。这一规模意味着量子迁移不是边缘议题，而是关乎三分之一流通比特币的系统性问题。Fields 的设想把防御重心从“赶在 Q-Day 前升级”转向“让攻击无利可图”，但是否能说服社区投入共识变更，仍取决于后续邮件列表讨论、可运行实现，以及对误伤诚实用户风险的控制。在代码和激活路径出现之前，它仍是一个有价值但远未成熟的思想实验。