Google 的 Quantum AI 團隊本週早些時候表示，未來的量子電腦可能能在大約九分鐘內，從公鑰推導出比特幣的私鑰。這一說法在社群媒體上迅速傳播，並嚇壞了市場。
但，這在實際上到底意味著什麼？
讓我們先從比特幣交易如何運作說起。當你送出比特幣時，你的錢包會使用私鑰對交易進行簽名；私鑰是一個祕密數字，能用來證明你擁有這些硬幣。
這個簽名同時也會揭露你的公鑰，也就是可分享的位址；隨後它會被廣播到網路，並在一個名為 mempool（記憶體池）的等待區域中暫存，直到礦工把它納入區塊。平均而言，這項確認大約需要 10 分鐘。
你的私鑰與公鑰之間透過一道稱為橢圓曲線離散對數問題（elliptic curve discrete logarithm problem）的數學問題相互連結。傳統電腦無法在任何實用的時間範圍內把這道數學問題反推回來；但一台足夠強大的未來量子電腦，若能執行名為 Shor 的演算法，則可能可以。
九分鐘說法的重點就在這裡。Google 的論文發現，量子電腦可以先行透過預先計算那些不依賴任何特定公鑰的攻擊部分，來在攻擊發起前「預熱」（primed）。
一旦你的公鑰出現在 mempool 中，這台機器只需要大約九分鐘，就能完成工作並推導出你的私鑰。比特幣的平均確認時間是 10 分鐘。這意味著在原始交易完成確認之前，攻擊者有約 41% 的機率推導出你的私鑰，並在資金被轉走前重新導向你的資金。
把它想成小偷花上數小時打造一台萬用的開鎖機器（預先計算）。這台機器可以開任何保險箱，但每當一個新的保險箱出現時，它只需要做幾項最後的調整——而最後那一步需要的時間大約就是九分鐘。
這就是 mempool 攻擊。它令人警惕，但前提是得有一台尚不存在的量子電腦。Google 的論文估計，這種機器所需的實體量子位元（physical qubits）會少於 500,000。今天規模最大的量子處理器大約只有 1,000。
更大且更迫在眉睫的疑慮在於：已有 6.9 百萬枚比特幣——約佔總供應量的三分之一——已經存放在那些錢包裡，而這些錢包的公鑰已被永久揭露。
這其中包括網路早期幾年的早期比特幣位址；它們使用一種稱為「支付到公鑰」（pay-to-public-key）的格式，因此公鑰預設會直接在區塊鏈上顯示。它也包括任何曾重複使用位址的錢包，因為從某個位址支出會揭露該位址中剩餘所有資金的公鑰。
這些幣不需要那場九分鐘的競賽。只要攻擊者擁有足夠強大的量子電腦，就能在不受時間壓力影響的情況下慢慢破解：可以在沒有任何時程限制下，逐一處理已暴露的金鑰。
正如 CoinDesk 在週二稍早報導的那樣，比特幣 2021 年的 Taproot 升級讓情況變得更糟。Taproot 改變了位址的運作方式，使公鑰預設在鏈上可見，這無意間擴大了未來可能會遭受量子攻擊、而成為潛在弱點的錢包範圍。
比特幣網路本身仍會持續運作。挖礦使用的是另一種稱為 SHA-256 的演算法，現有作法下量子電腦無法以有意義的方式加速它。因此區塊仍會被持續產出。
帳本也依然會存在。但如果能從公鑰推導出私鑰，那支撐比特幣價值的所有權保證就會崩潰。任何公鑰已暴露的人都面臨被竊的風險，而機構先前對網路安全模型的信任也會隨之瓦解。
解方是後量子密碼學（post-quantum cryptography）：它用量子電腦無法破解的演算法，取代那些脆弱的數學問題。以太坊已花了 8 年時間朝向這次遷移努力；比特幣甚至還沒開始。
相關文章
