Vitalik Buterin 發出警告：量子威脅可能在2028年前衝擊Ethereum

在布宜諾斯艾利斯舉辦的Devconnect大會上，Ethereum的共同創辦人發出了前所未有的警告：保護Bitcoin與Ethereum安全的橢圓曲線「將會消亡」。他認為，量子電腦在2030年前破解現有加密技術的機率為20%，加密產業剩下不到四年的時間來遷移至抗量子系統。

2030年前20%機率：Vitalik的數字

2025年底，Vitalik Buterin對於這個過去常被當作科幻話題的風險，罕見地給出了量化機率。他引用Metaculus平台的預測，估計能夠破解現有加密技術的量子電腦在2030年前出現的機率約為20%。而中位數預測則更接近2040年。

數月後於布宜諾斯艾利斯的Devconnect，Buterin語氣更為嚴肅：「橢圓曲線將會消亡」，他引述研究指出，針對256位元橢圓曲線的量子攻擊在2028年美國總統大選之前就有可能成為現實。

這些言論並非為了製造恐慌，而是為了推動行動。如Buterin所言：「量子電腦今天還無法破解加密貨幣。但產業必須在量子攻擊真正可行之前，儘早部署抗量子加密技術。」

為何ECDSA對量子運算易受攻擊

Ethereum的安全性（如同Bitcoin）依賴於ECDSA（橢圓曲線數位簽章演算法），使用secp256k1曲線。原理很簡單：私鑰是一個很大的隨機數，公鑰是由私鑰推導出的曲線上一點，而你的地址則是公鑰雜湊值。

在傳統硬體上，從私鑰推導公鑰很容易，反過來則被認為計算上不可行。這種不對稱性讓256位元密鑰幾乎不可能被猜中。

量子運算威脅到這種不對稱性。Shor演算法在1994年提出，證明只要有足夠強大的量子電腦，就能在多項式時間內解離散對數問題（及相關因數分解問題），這將危及RSA、Diffie-Hellman與ECDSA等方案。

Buterin點出一個重要細節：如果你從未從某個地址花費過，鏈上只會顯示你的公鑰雜湊值（依然抗量子）。但只要你發送過交易，你的公鑰就會曝光——這為未來的量子攻擊者提供了還原私鑰的原料。

Google Willow：技術加速的信號

Buterin的警告出現在技術進步加速之際。2024年12月，Google發表了Willow，其擁有105個超導量子位元的量子處理器。該晶片完成一項計算僅花不到五分鐘，而現今超級電腦則需約一百萬億億億（10²⁵）年。

更重要的是：Willow展示了「低於門檻」的量子錯誤更正，也就是說增加量子位元數能降低錯誤率，而非增加。這正是業界近30年追求的重大突破。

然而，Google Quantum AI總監Hartmut Neven澄清：「Willow晶片目前還無法破解現代加密技術。」他估計，要破解RSA需數百萬個物理量子位元，至少還有十年距離。

學術界分析結果一致：想要在一小時內破解256位橢圓曲線加密，得要數千萬甚至上億個物理量子位元——遠遠超出現有能力。但IBM與Google的路線圖都將容錯量子電腦目標訂在2029-2030年。

Ethereum的量子緊急應變方案

早在這些公開發言之前，Buterin就在Ethereum Research於2024年發表了一篇文章，題為「如何在量子緊急情況下硬分叉以挽救大部分用戶資金」。該方案描述如果量子技術突飛猛進導致生態系措手不及時，Ethereum可採取的應對措施：

• 偵測攻擊並回滾：Ethereum會將區塊鏈回溯至大規模量子盜竊出現前的最後一個區塊。
• 停用傳統EOA交易：使用ECDSA的傳統外部帳戶（EOA）將被凍結，阻斷公開公鑰可能再次被盜。
• 遷移至智能合約錢包：推出新型交易，允許用戶透過STARK零知識證明證明其原始種子擁有權，繼而遷移至抗量子智能合約錢包。

這個方案僅作為最後手段的救援工具。Buterin的論點是，必要的基礎設施——帳戶抽象、強健的ZK系統、標準化的抗量子簽名方案——現在就能且應該立即建設。

抗量子加密：現有解決方案

好消息是：解決方案早已存在。2024年，美國國家標準與技術研究院（NIST）已正式制定首批三項抗量子加密（PQC）標準：用於密鑰封裝的ML-KEM，以及用於簽名的ML-DSA和SLH-DSA。

這些演算法基於格網路或雜湊函數設計，旨在抵抗Shor演算法的攻擊。2024年NIST/白宮報告預計，2025至2035年間美國聯邦系統升級至PQC需耗資71億美元。

區塊鏈領域已有多個項目投入這項轉型。Naoris Protocol正開發原生整合NIST標準抗量子演算法的去中心化網路安全基礎設施。2025年9月，該協議被美國證券交易委員會（SEC）的一份提案引用，作為抗量子區塊鏈基礎設施的參考模型。

Naoris的做法基於dPoSec（去中心化安全證明）機制：網路中每個裝置都成為驗證節點，實時檢查其他裝置的安全狀態。結合抗量子加密，這種去中心化網格能消除傳統架構中的單點故障。

Ethereum需要改變什麼

在協議與錢包層面，多條路線已在匯聚。帳戶抽象（ERC-4337）允許用戶從EOA平滑遷移至可升級智能合約錢包，方便日後更換簽名方案而無需緊急硬分叉。一些項目已在Ethereum上展示Lamport或XMSS風格的抗量子錢包。

但橢圓曲線不僅用於用戶密鑰。BLS簽名、KZG承諾與部分rollup證明系統也依賴離散對數困難性。要有真正的量子韌性，這些基礎模組都需有替代方案。

根據Naoris Protocol公布的數據，其測試網於2025年1月上線後，已處理超過1億筆抗量子安全交易，並即時緩解超過6億次威脅。主網預計2026年第一季上線，將提供能在現有區塊鏈之下運行的「Sub-Zero Layer」基礎設施。

不同聲音：Back與Szabo呼籲謹慎

並非所有專家都認同Buterin的緊迫感。Blockstream執行長、Bitcoin先驅Adam Back認為量子威脅「數十年內不會成真」，主張「持續研究，而非倉促或具破壞性的協議更動。」他擔心因恐慌導致的升級反而產生比量子威脅還嚴重的漏洞。

密碼學家、智能合約先驅Nick Szabo則認為量子風險「終究不可避免」，但他更關注現在的法律、社會與治理風險。他用「琥珀中的蒼蠅」作比喻：一筆交易周圍的區塊越多，就越難被移除——即便有強大對手。

這些立場與Buterin並不衝突：只是關注的時間軸不同。新興共識似乎為：即使攻擊尚未迫在眉睫，遷移工作必須現在開始——因為去中心化網路的轉型需多年。

加密貨幣持有者需記住什麼

對於交易者來說，訊息很明確：保持正常運作，同時關注協議升級。對長期持有者而言，首要是確保所選平台和協議正積極準備進入抗量子時代。

幾個降低暴露風險的最佳實踐：選用可無需換地址即可升級加密技術的錢包與託管方案，避免重複使用地址（減少鏈上公鑰曝光），並關注Ethereum未來抗量子簽名標準，以便工具成熟時及時遷移。

2030年前20%機率也意味著有80%機率量子電腦在此期間不會威脅加密貨幣。但在3兆美元市場下，即使僅有20%災難性安全失敗的風險，也必須嚴肅對待。

正如Buterin總結：量子風險應像工程師面對地震或洪水般看待。今年你的房子被摧毀的機率很低，但長期來看足夠高，因此有必要在設計地基時考慮這點。