欧洲刑警组织:约690万枚比特币(BTC)存于公钥暴露钱包面临量子风险

欧洲刑警组织两份报告直指钱包密钥

欧洲刑警组织(Europol)于10月7日发布两份报告,敦促加密行业在实用化攻击成为可能之前,为量子计算机提前布局。其下属欧洲网络犯罪中心在第一份报告《量子计算与加密货币》中得出结论:未来量子威胁的主要暴露点不是区块链本身,而是加密钱包。一台算力足够的量子计算机,原则上可以从链上已暴露的公钥反推出授权转账的私钥,进而在未经持有人同意的情况下转走资金。该机构估计,目前约690万枚比特币(BTC)存放在公钥已经链上可见的地址中,其中包括中本聪时代的早期币和长期沉睡的持仓。相比之下,保护链历史数据的哈希函数抗性强得多:报告称,以可预见的技术破解256位哈希需要天文数字级别的运算量。这一警告针对的是资产所有权问题,而非比特币价格走势。Europol把时机本身视为核心不确定性:没人知道足够强大的量子机器何时出现,但在去中心化网络上完成密码学体系升级可能耗时数年,因此该机构建议分阶段迁移至抗量子密码学,同时加强钱包安全与密钥管理。

全面迁移需要76天区块空间

更棘手的是网络本身的升级。已经暴露的密钥无法事后补救,报告给出的解法是:旧输出必须在任何攻击发生之前主动迁移到新地址。这条路径本身就在比特币社区引发分歧,沉睡的中本聪时代资金究竟应该冻结还是保持不动,至今没有共识。迁移也有成本:NIST标准化的后量子签名方案,体积是比特币现用ECDSA签名的10倍到120倍,可能挤爆区块空间、推高手续费并拖慢确认速度。报告引用的一项2024年研究估算,把全部未花费交易输出完整转换,至少需要合计76天的区块空间;若每个区块预留四分之一容量,则要拉长到约300天。比特币开发者已经在研究这个问题:草案BIP-361提议,一旦后量子输出类型落地,就放弃传统的ECDSA和Schnorr签名,这是一次尚未激活的共识层变更,量级相当于一次分叉。时间压力写得明明白白:IBM的目标是在2029年造出容错量子计算机,而2025年一项针对32位专家的调查显示,未来十年内24小时内破解RSA-2048的概率为28%至49%。

托管方与标准机构先行一步

第二份报告《先囤积、后解密》由Europol与西班牙马德里卡洛斯三世大学联合完成,研究的是攻击者今天就存储加密数据、等数年后再解密的路径。Europol没有发现该手法已被系统性、大规模利用的明确证据,因为其所需的存储和算力成本极高。加密行业的准备已经在推进。NIST于2024年8月批准了三项后量子标准FIPS 203、FIPS 204和FIPS 205,并提议在2030年前弃用目前最常见的公钥配置,2035年前彻底淘汰经典公钥密码学。BitGo与Silence Laboratories今年早些时候用ML-DSA方案测试了后量子多方计算签名,BitGo随后又上线了可度量公钥暴露度并整合输出的机构级钱包控制功能。Coinbase的量子顾问委员会在6月敦促开发者启动后量子迁移工作,公司本身也在设计能支持多种签名方案的托管基础设施,以应对标准尚未定型的局面。今年7月,包括BlackRock、Coinbase和Strategy在内的九家公司承诺在三年内投入1500万美元用于比特币安全研究,此前Galaxy Digital已为抗量子签名研究设立500万美元的项目,Sui则计划在2027年于主网推出可选的量子安全账户。

是协调难题,不是系统性崩溃

COINOTAG的判断是:Europol这两份报告得出的诊断,与行业内部研究者的结论一致。真正的瓶颈不是密码学而是协调,任何签名迁移都需要开发者、托管方、矿工和持有人在去中心化网络上达成一致,而690万枚Bitcoin (BTC)的暴露量让一个悬而未决的问题更加尖锐:那些始终不迁移的沉睡币怎么办?随着IBM和Microsoft都把时间点指向2029年,这一警告已从遥远的理论变成排期问题。Europol提议由欧盟委员会牵头组建工作组,成员包括欧盟网络安全局ENISA和欧盟反洗钱局,监管侧的这条线也将持续跟进。