比特币(BTC)公钥暴露已占已发行供应量35.4%

712万枚比特币公钥可见

比特币(BTC)迄今尚未遭遇任何量子攻击,但未来这类攻击可能触及的币量正在持续扩大。11月10日发布的链上数据显示,公钥处于可见状态的供应量达到712万枚,占流通供应量的35.4%。该指标统计的是公钥可见且尚未花费的币,这正是Bitcoin (BTC)网络相关草案所描述攻击场景的前提条件。与这一读数同时公布的市场信息中,比特币价格并未出现方向性波动。

暴露的最大来源是地址复用。此类地址上的币占已发行供应量的25.8%;全部币量中有11.6%存放在由交易所控制的复用地址上,这一数字是复用总量的子集,并非额外叠加。其中一部分供应属于长期持有者,他们在曾经花费过的地址上继续HODL。数据集自带的说明指出,把币转入一个全新的钱包地址即可终止这种暴露。数据方法将两类暴露区分开来:一类是结构性暴露,即输出在设计上就会公开公钥,早期的支付到公钥输出和Taproot输出属于此类;另一类是由钱包操作习惯造成的操作性暴露。最新分布意味着,复用贡献了暴露总量中接近73%的部分,而与交易所相关的暴露约占复用类别的45%。5月20日的一次早期快照显示,当时的暴露持币量为604万枚,占已发行供应量的30.2%。新读数比那一时点高出108万枚,占比上升5.2个百分点。5月的分布中,结构性暴露币量为192万枚。

BIP 360与BIP 361勾勒防御路线

数据发布的同时,一场围绕中本聪持币的讨论也在进行。X平台上流传的一种观点认为,中本聪估计持有的币不可能被攻破,理由是私钥的可能组合数量极其庞大,而且这些币分散在数千个地址之中。BIP 360的作者们给出了另一条路径:一台算力足够强大的量子计算机运行Shor算法,可以直接从公钥推导出私钥,根本不需要暴力搜索。这份草案点名早期的支付到公钥输出,包括中本聪时代的币,指其因长期暴露而脆弱,并提醒说,花费行为同样可能让一个原本隐藏的密钥暴露,扩展公钥和钱包描述符也存在类似风险。中本聪的确切持币量始终只是估计值,那篇主张其无法被攻破的帖子也并未证明所有被归属地址的所有权。

BIP 360由Hunter Beast、Ethan Heilman和Isabel Foxen Duke共同撰写,提议通过一次软分叉引入支付到默克尔根的输出类型,移除Taproot的密钥路径花费选项,但保留脚本树功能。它针对的是密钥长期暴露场景下的攻击;更快的攻击发生在花费交易公开密钥之后、交易确认之前的窗口内,这类攻击可能需要后量子签名来应对。另一份独立草案BIP 361提议,在后量子输出类型存在之后逐步迁移脱离旧式签名。按照其时间表,激活后约三年,向脆弱地址的支付将受到限制,这一步骤对个人钱包和战略比特币储备一视同仁;再过两年,旧式花费规则将进一步收紧。两份草案都没有设定对持币人具有约束力的截止期限。此前的讨论中,Blockstream首席执行官Adam Back支持自愿性的保护措施,反对强制冻结旧钱包。密码学工具并不依赖比特币自身的流程:美国国家标准与技术研究院在历经八年工作后,于2024年8月发布了首批三项后量子加密标准,涵盖用于共享密钥的ML-KEM、作为主要签名方案的ML-DSA,以及基于不同数学构造的备份方案SLH-DSA。Fireblocks研究副总裁Michael Gutkin表示,暴露程度取决于地址类型和交易历史,而不是持币者是交易所还是个人,他建议将新的入金和找零都导向全新地址。

什么会让这项数据变成事件

操作层面的密钥管理风险并非假设,价值4900万美元的Mercado Bitcoin (BTC)被盗事件已经证明过这一点。但这项指标追踪的是另一回事:可见的密钥,而不是被盗的密钥。数据中没有任何内容指向已被泄露的私钥,也没有对一台能够规模化运行Shor算法的机器何时出现给出时间。真正能把这项统计变成事件的,是一个具有约束力的迁移期限:一份提案被激活,然后按固定时间表强制持币人脱离旧式输出类型。这样的文本目前并不存在。两份草案均处于未激活状态,在其中任何一份被合并并排定时间表之前,暴露比例只会随钱包习惯、地址复用和交易所托管方式的变化而波动,与任何量子计算里程碑无关。