量子计算破解比特币的倒计时：2032年前的概率为50%？

正文：

原文由比特币安全研究员Justin Drake撰写

编译｜Odaily星球日报秦晓峰（@QinXiaofeng 888）

编者按：今年3月，谷歌的量子研究团队发布了一篇论文，明确指出未来量子计算机破解加密货币所依赖的椭圆曲线密码所需的资源远低于之前的预估。这一发现使得量子计算对加密货币的威胁迅速成为网络讨论的热点。有趣的是，谷歌并未完全公开其底层电路的细节，而是在与美国政府沟通后，通过零知识证明（ZK）方式展示了其估算结果。这引发了众多技术专家在过去几个月中对谷歌论文细节的破解尝试。

在6月2日，谷歌量子论文的合著者、比特币安全研究员Justin Drake发表文章称，到2032年发生Q-Day的概率达到了50%，而到2030年则为10%。（注：Q-Day即量子日，是指量子计算机足够强大到能够破解目前主流加密技术的那一天。）

以下是原文内容，由Odaily星球日报进行编译，祝您阅读愉快～

3月31日，谷歌的量子人工智能团队发布了一项在椭圆曲线密码学上应用Shor算法的里程碑式成果。严格来说，这篇论文如同重磅炸弹：其性能比之前的最先进水平提高了10倍。作为对区块链领域的警示，这些技术优化以secp256k1椭圆曲线为例进行说明，而该曲线正是比特币和以太坊签名的基础。

然而，论文中最引人注目的或许并非技术本身，而是其对社会的影响。谷歌并没有遵循传统的学术流程，而是将这些优化信息保密，隐藏在零知识证明（ZK）之下。谷歌的文章中提到他们“与美国政府进行了接触”。这份ZK证明不仅展示了算法的改进，同时也未泄露任何细节。使用零知识证明进行学术审查，这在历史上是首次！

作为谷歌这篇论文的共同作者，我亲眼目睹了这次审查过程中一些背景。坦白说，许多因素让我感到不安。虽然我坚信公众有权了解更多信息，但我作为吹哨者的渠道有限。不过，我必须明确表示：谷歌团队的专业精神无可挑剔，他们值得赞扬，别无他求。

审查往往适得其反。Streisand效应，即试图掩盖某件事反而使其更加引人注目，正在上演。首先，谷歌的关键优化已被法国学者重新发现。更令人振奋的是，一个名为“Shor-at-home”（在家算Shor）的协作挑战刚刚启动。该倡议的网站是ecdsa[.]fail，启动数小时后便刷新了Shor算法的世界纪录。

谈到这次重新发现，仅在谷歌论文发布两个月后，法国量子专家André Schrottenloher便破解了这项核心优化。他的论文《椭圆曲线离散对数的优化点加电路》今日在arXiv上线。向André表示热烈祝贺，他战胜了其他几位同样关注此问题的专家。同样在今天发布的博文中，Shor优化领域的权威Craig Gidney透露，由于审查压力，他已整整等待了一年。

有趣的是，André遗漏了一些微小的优化，这些既包括谷歌最初公布的内容，也包括后来发现的改进。Shor算法上可能还有许多未被发掘的优化，而这正是ecdsa[.]fail挑战的重点。为ZK证明开发的验证程序发挥了双重作用，能够自动筛选有效提交。数十个小型及微型优化正不断涌现。截至撰稿时，基于逻辑量子比特数和Toffoli门数的乘积，已有比谷歌电路提升8.4%的成果。不错！

这股“激将解题”的热潮比任何人预想的都要深。过去几周，事情已经超越了André和其他量子专家的圈子。在幕后，一支业余爱好者团队悄然投入了工作。受到Karpathy式自主研究的启发，他们将AI应用于Shor算法。讽刺的是，那份ZK证明的验证程序恰好成为AI的理想奖励函数。这种现代研究风格的门槛低得令人惊讶，多位非专业人士，甚至一位青少年，都找到了不错的优化。如果您有兴趣加入一个与其他自主研究者一起的Telegram群组，欢迎与我联系。

故事并未止步于谷歌。就在谷歌发布结果的同一天，一家名为Oratomic的初创公司也发布了自己的Shor论文。这篇论文引发了轰动，并最终成为scirate[.]com（一个对arXiv论文进行排名的网站）上获投票最多的论文。

Oratomic的主张非常惊人。他们以谷歌的逻辑优化为基础，并应用了针对中性原子量身定制的物理层优化，声称仅需1万个物理量子比特便能在secp256k1上运行Shor算法。这个数字令人难以置信。

在Oratomic论文发布时，我对中性原子的了解几乎为零，这引起了我的浓厚兴趣，决定深入研究该技术。我投入了数百小时，几乎沉迷于观看所有相关的YouTube视频，并与多位专家进行了深入交流。

我的结论是：这项技术非常切实可行。谷歌最近也决定建立一个中性原子实验室，从专注于超导量子比特转向中性原子。如果您关注Q-Day（即量子计算机攻破第一个实际运用中的加密算法的那一天），中性原子技术值得关注。在ZKProof密码学会议上，我进行了30分钟的演讲，分享了对Shor和中性原子的部分理解，您可以在YouTube上搜索“zkproof neutral atom”找到。

关于这两篇突破性论文，有个有趣的观察：无论是谷歌还是Oratomic，都没有提及自己的结果对Q-Day的影响。没有任何时间线——完全沉默。考虑到白帽量子密码分析的意义在于为Q-Day的估计提供信息，并帮助公众做出良好决策，这一点尤其令人费解。

因此，请允许我试图部分填补这段沉默，正如Scott Aaronson在4月29日的博文中所做的那样。基于我所了解的一切，包括一些不能公开的可怕信息，我现在认为2032年前出现Q-Day的概率为50%，而2030年前则为10%。

顺便提一件趣事：美国政府有自己的时间表：2035年。这个日期源自美国国家安全局，后来被NIST采纳，届时美国政府各部门将不得使用量子脆弱的密码系统。简单来说，事后看来，这个日期是个笑话，应当被完全忽视。我不认为NIST能够避免将其向前调整好几年。

今天，有充分的理由敲响警钟，但请不要恐慌。匆忙且草率地转向尚不成熟的后量子密码学将是灾难。在我看来，迁移的一个理想目标日期是2029年，大约还有三年半。2029年恰好也是谷歌、Cloudflare和以太坊基金会选定的日期。

最近，我的大部分精力都投入在“精益以太坊”这一更广泛的框架下，安全地将以太坊迁移到后量子密码学。要做的事情仍然很多。我们需要在共识层移除并替换BLS签名，在数据层替换KZG承诺，在执行层替换ECDSA签名。

达成这一目标的计划令人振奋，它基于哈希密码学。在以太坊基金会内部，我们正在开发一款名为leanVM（github[.]com/leanEthereum/leanVM）的瑞士军刀，由基于哈希的SNARK算法驱动。得益于Emile

来源：Odaily星球日报