比特幣開發者提出量子陷阱，讓未來的錢包攻擊代價高昂

目錄

• 你可能想知道
• 主題
• 重點摘要表
• 後續……

你可能想知道

• 比特幣錢包持有人能否讓未來的量子攻擊變成攻擊者代價高昂的賭注？
• 對於持有人失聯、離線或無法轉移資金的易受攻擊代幣，可能會發生什麼事？

主題

比特幣開發者 Cory Fields 提出一種推測性的做法，以阻止未來的量子攻擊：要求試圖花費易受攻擊代幣的攻擊者，拿自己的比特幣冒險。Fields 在 11 月 4 日發表於比特幣開發郵件列表的文章中說明了這個構想。他的提案包含「量子地雷」和兩種拍賣機制。他將這些構想稱為「思想實驗」，而非已完成的升級或比特幣目前支援的功能。

比特幣交易仰賴公開金鑰密碼學。錢包持有人使用秘密私密金鑰授權交易，而相對應的公開金鑰則讓網路能在不揭露秘密的情況下驗證簽章。以現今的電腦，要從公開金鑰計算出私密金鑰，在實際上並不可行。具備足夠能力的量子電腦，則可能利用 Shor 演算法推導出金鑰，讓攻擊者能建立看似由錢包持有人授權的交易。

並非所有比特幣持有量面臨的潛在風險都相同。有些較早期的輸出已揭露公開金鑰，某些較新的地址格式也會揭露公開金鑰。其他格式則會將公開金鑰隱藏起來，直到持有人花費資金時才會顯示。研究人員以「Q-Day」稱呼具備執行這類攻擊能力的量子電腦問世這一假設性時刻。目前尚無公開展示的電腦能以這種方式竊取比特幣，而任何此類能力何時出現也無從得知。

Fields 的構想從 Q-Day 到來前的準備開始。想像某位持有人在一個舊錢包中有 1 BTC，而該錢包可能容易受到未來量子攻擊。在量子竊盜尚不可行時，持有人建立一筆獨立且金額不大的抗量子比特幣輸出。該輸出包含一份隱藏證明，顯示持有人在威脅出現前控制著原本的私密金鑰。這份證明預計可作為所有權收據，日後若出現可疑交易，持有人便能揭露它。

檢視區塊鏈的人不會直接看到這份收據所代表的證明。在提議的設計中，外部人士只能看到這筆小額輸出，卻不知道其中隱藏的證據，甚至不會察覺它是用來設陷阱的。如果未來有攻擊者使用量子電腦找出舊私密金鑰，並試圖花費這 1 BTC，提議中的規則會要求攻擊者從抗量子錢包中拿出自己的 1 BTC 作為抵押品。

易受攻擊的代幣和攻擊者的抵押品隨後會一同放入一筆受限制、價值 2 BTC 的輸出中。Fields 以 30 days 的挑戰期為例，說明資金可能會受到限制多久。在此期間，合法持有人可以監控交易並揭露 Q-Day 前準備的證明。如果證明符合提議中的規則，持有人便能將完整的 2 BTC 轉移至先前指定的抗量子地址：原本的 1 BTC，加上攻擊者抵押的 1 BTC。

這種設計旨在改變攻擊者的盤算。量子竊賊無法預先得知哪些易受攻擊的錢包藏有隱藏證明。即使竊賊成功找出私密金鑰，攻擊也可能造成 1 BTC 的損失，而非帶來獲利。因此，隱藏收據可能存在的風險，或能嚇阻攻擊或使其風險高到不值得嘗試。

然而，同樣的抵押要求也可能加重誠實持有人的負擔。依照 Fields 的構想，Q-Day 後想轉移自己舊有代幣的持有人，也可能需要提供等額抵押品。沒有多餘比特幣的人，即使能證明自己是合法持有人，也可能難以轉移自己的存款。這是提案中一個重要的矛盾：旨在提高竊盜成本的規則，也可能讓合法的資產取回或轉移變得昂貴。

量子地雷也仰賴事前準備和及時回應。持有人必須在 Q-Day 前準備隱藏證明，並能在挑戰期間揭露它。這種做法無法保護金鑰已遺失的代幣，也無法保護持有人已不在、無法採取行動的資產。有些早期比特幣持有量普遍被認為已無法取用，對於任何仰賴持有人回應花費嘗試的系統而言，這些代幣都是特別棘手的案例。

為了處理看似已遭放棄的代幣，Fields 提議採用「質押式拍賣」。在此模式中，參與者會在 Q-Day 前鎖定抗量子比特幣，並秘密登記一筆與特定舊錢包相關的出價；他們預期攻擊者可能會鎖定該錢包。這套機制能讓事先參與的出價者有機會挑戰疑似竊盜行為，即使原持有人沒有回應也一樣。

例如，假設一個看似已遭放棄的錢包中有 50 BTC。未來有攻擊者試圖轉移這些代幣，並依照提議中的規則再拿出 50 BTC 作為抵押品。在拍賣期間，事先登記出價的參與者可以挑戰這項嘗試。在 Fields 的例子中，成功提出挑戰的人會取得攻擊者部分的抵押品，而原本易受攻擊的代幣則會被銷毀，而非判給挑戰者。

這種安排的目的不是把代幣歸還給失聯的持有人，而是藉由讓攻擊者無法確保獲利，降低竊盜的吸引力。這個區別帶來倫理和實務上的影響：如果錢包持有人只是離線或無法回應，銷毀原有代幣可能會傷害合法持有人。系統必須設法區分已遭放棄的資金，以及持有人仍在但錯過挑戰機會的資金。

Fields 提出的另一種拍賣機制是「聰拍賣」，參與者不必事先質押資金。相反地，易受攻擊錢包的一筆花費會啟動競價。出價最高者可取得代幣，但須扣除自己的出價；第二高的出價者則要支付出價，卻一無所獲。這種結構旨在讓任何試圖認領代幣的人面臨不確定性和潛在損失。

聰拍賣類似一種競價遊戲：出價者不斷提高出價，因為誰都不想成為最後承受損失的人。如果競爭出價可能耗掉的價值超過易受攻擊代幣本身的價值，準竊賊或許會決定不啟動競價。不過，這種機制也需要周詳的規則：其運作方式取決於如何提交出價、如何決定得標者，以及不同結果下款項和資金將如何處理。原始提案並未解決所有這些細節。

這些構想為應對量子風險提供了不同於常見做法的答案：在遷移期限後凍結易受攻擊的比特幣。凍結或許能阻止攻擊者花費舊代幣，但也可能永久排除未能及時轉移資金的合法持有人。Fields 則探討維持舊代幣可供花費的可能性，同時讓花費嘗試代價高昂且可受挑戰。

根本的難題在於，比特幣可以驗證簽章，卻無法自行辨別產生簽章的人究竟是誠實持有人還是量子攻擊者。如果兩者都能產生相同的有效簽章，網路就沒有簡單的密碼學方法可以區分他們。以抵押品、隱藏證明、等待期和挑戰為基礎的系統，試圖透過額外規則和證據，而非只靠簽章本身，建立兩者之間的區別。

每種提議中的防禦方式都有取捨。誠實持有人可能需要存入大量抵押品；未活躍的持有人可能錯過提出異議的機會；拍賣規則也可能銷毀仍在世但離線的持有人所擁有的代幣。因此，任何設計都必須考量的不只是能否嚇阻竊賊，還包括它可能多常阻礙合法交易，或懲罰無法參與的持有人。

實施任何一種構想，都不只是加入拍賣這麼簡單。比特幣需要一種抗量子的資金持有和花費方式。錢包軟體必須能建立並管理隱藏的所有權承諾。比特幣的共識規則也必須定義抵押品如何運作、挑戰期持續多久、復原交易的形式，以及如何執行拍賣。

開發者和使用者還需要對新規則何時啟用、需要多少抵押品，以及未得標的出價或剩餘資金如何處理達成共識。Fields 認為，部分機制或許能透過軟分叉導入；軟分叉是比特幣規則變更的一種類型，但他尚未提出詳細設計。提案也尚未釐清拍賣如何分配款項，以及拍賣預期要達成什麼結果。

目前這些構想仍屬假設。它們不是現成可用的錢包防護措施，也沒有公布實作或啟用時程。這些構想的價值，在於為比特幣若有朝一日面臨量子電腦威脅現有密碼學假設時該如何應對，提供討論的起點。任何實際解決方案都需要廣泛共識，並在抵禦竊盜、維持合法持有人的資產存取權，以及避免對無法及時回應的人造成不可逆傷害之間取得平衡。

重點摘要表

後續……

這項提案凸顯了比特幣長期安全性的一項核心挑戰：未來的量子威脅可能不只需要替換某一種密碼學工具，還可能需要新的錢包使用方式、網路規則，以及如何處理無法遷移的代幣或持有人無法回應時的相關決策。

Fields 提出的量子地雷和拍賣並非現成解方，也無法免除審慎設計的必要。後續討論必須檢視合法使用者承擔抵押品的負擔、銷毀或重新分配代幣是否公平，以及如何在不造成新漏洞的前提下實際證明所有權。無論是否採用這些構想，在具備量子能力的攻擊者出現之前評估這些取捨，都能讓比特幣社群有更多時間考慮選項。