量子電腦逼近：以太坊密碼學的潛在危機與應對策略

量子電腦逼近：以太坊密碼學的潛在危機與應對策略

最近，以太坊共同創辦人 Vitalik Buterin 發出警訊，指出量子電腦可能比預期更快地威脅到以太坊的密碼學基礎。這項警告不容忽視，它不僅揭示了區塊鏈技術面臨的新挑戰，也促使我們重新思考數位資產的安全性。

Buterin 根據預測平台 Metaculus 的數據，認為在 2030 年之前，有大約 20% 的機率量子電腦能夠破解當今的密碼學。他甚至在 Devconnect 的活動上警告說，以太坊和比特幣賴以生存的橢圓曲線密碼學 (Elliptic Curve Cryptography, ECC) 可能在 2028 年美國總統大選前崩潰。因此，他敦促以太坊在四年內轉向抗量子的基礎設施。

密碼學的基石：ECDSA 與量子威脅

以太坊的安全主要基於橢圓曲線離散對數問題 (Elliptic Curve Discrete Logarithm Problem, ECDLP)，這也是橢圓曲線數位簽章演演算法 (Elliptic Curve Digital Signature Algorithm, ECDSA) 的基礎。以太坊使用 secp256k1 橢圓曲線來產生數位簽章。簡單來說：

• 你的私鑰是一個很大的隨機數。
• 你的公鑰是從私鑰推導出的曲線上的點。
• 你的地址是公鑰的雜湊值。

在傳統電腦上，從私鑰到公鑰很容易，但反過來被認為是計算上不可行的。這種不對稱性使得 256 位元的金鑰被視為實際上無法猜測。然而，量子電腦的出現打破了這種平衡。

1994 年提出的 Shor 演演算法表明，足夠強大的量子電腦可以在多項式時間內解決離散對數方程和相關的因式分解方程，這將破壞 RSA、Diffie-Hellman 和 ECDSA 等方案。網路工程任務組 (Internet Engineering Task Force, IETF) 和美國國家標準與技術研究院 (National Institute of Standards and Technology, NIST) 都承認，一旦出現具有密碼學意義的量子電腦 (CRQC)，傳統的橢圓曲線系統將會變得脆弱。

以太坊的量子緊急應變計畫

Buterin 在以太坊研究論壇上發表了一篇關於潛在量子緊急情況的文章，強調了以太坊的一個關鍵細節。如果你從未從某個地址支出，那麼只有你的公鑰雜湊值會顯示在鏈上，這仍然被認為是量子安全的。但是，一旦你發送交易，你的公鑰就會被公開，這使得未來的量子攻擊者能夠利用它來恢復你的私鑰並耗盡帳戶。

因此，核心風險並非量子電腦會破解 Keccak 或以太坊的數據結構，而是未來的機器可能會針對任何公開過公鑰的地址，這涵蓋了大多數使用者錢包和許多智慧合約金庫。

Buterin 的量子緊急應變計畫包括：

• 將鏈回滾到大規模量子盜竊明顯可見之前的最後一個區塊。
• 凍結使用 ECDSA 的傳統外部帳戶 (EOA) 發送資金，以切斷透過暴露的公鑰進行的進一步盜竊。
• 一種新的交易類型，允許使用者透過零知識 STARK 證明他們控制原始種子或推導路徑，例如，易受攻擊地址的比特幣改進提案 (Bitcoin Improvement Proposal, BIP) 32 HD 錢包 preimage。
• 該證明還將指定量子安全智慧合約錢包的新驗證代碼。驗證後，資金的控制權將轉移到該合約，從那時起可以強制執行後量子簽名。

由於 STARK 證明很大，該設計預期會進行批次處理。聚合器提交成批的證明，這讓許多使用者可以一次移動，同時保持每個使用者的秘密 preimage 的私密性。

重要的是，這被定位為最後的補救工具，而不是首選方案。Buterin 認為，應該建立支持這種分叉的大部分協議管道，包括帳戶抽象化、強大的 ZK 證明系統和標準化的量子安全簽名方案。

從這個意義上講，量子緊急準備成為以太坊基礎設施的設計要求，而不僅僅是一個有趣的思考實驗。

專家怎麼說？

Buterin 引用了公開的預測，那麼硬體和密碼學專家實際上怎麼說？

在硬體方面，Google 於 2024 年底推出的 Willow 晶片是迄今為止最先進的公開量子處理器之一，具有 105 個物理量子位元和經過錯誤校正的邏輯量子位元，可以在特定的基準測試中擊敗傳統的超級電腦。

然而，Google 的量子人工智慧總監明確表示，「Willow 晶片無法破解現代密碼學。」他估計，破解 RSA 需要數百萬個物理量子位元，並且至少需要 10 年的時間。

學術資源也指向相同的方向。一項被廣泛引用的分析發現，使用表面代碼保護的量子位元在一小時內破解 256 位元的橢圓曲線密碼學需要數千萬到數億個物理量子位元，這遠遠超出了目前可用的範圍。

在密碼學方面，NIST 和麻省理工學院 (Massachusetts Institute of Technology) 等機構的學術團體多年來一直警告說，一旦存在具有密碼學意義的量子電腦，它們將透過 Shor 演演算法破解基本上所有廣泛部署的公鑰系統，包括 RSA、Diffie-Hellman、橢圓曲線 Diffie-Hellman 和 ECDSA。這既適用於追溯性地解密收集的流量，也適用於前瞻性地偽造簽名。

這就是為什麼 NIST 花了近十年的時間來運行其後量子密碼學競賽，並於 2024 年完成了其首批三個 PQC 標準：用於金鑰封裝的 ML-KEM 和用於簽名的 ML-DSA 和 SLH-DSA。

對於精確的「Q-Day」，沒有專家共識。大多數估計都在 10 到 20 年的時間範圍內，儘管最近的一些研究認為，在激進的假設下，到 2020 年代後期，可能會對橢圓曲線進行容錯攻擊。

美國白宮和 NIST 等政策機構非常重視這種風險，因此推動聯邦系統在 2030 年代中期之前轉向 PQC，這意味著具有密碼學意義的量子電腦在該範圍內到達的可能性很大。

從這個角度來看，Buterin 的「2030 年之前有 20% 的可能性」和「可能在 2028 年之前」的框架是一系列風險評估的一部分，其中真正的訊息是不確定性加上漫長的遷移前置時間，而不是今天已經有秘密的程式碼破解機器在線上的想法。

未雨綢繆：以太坊的防禦策略

在協議和錢包方面，幾個線索已經開始匯聚：

• 透過 ERC-4337 風格的帳戶抽象化，將使用者從裸 EOA 轉移到可升級的智慧合約錢包，使得以後更換簽名方案變得更加容易，而無需緊急硬分叉。一些專案已經展示了基於 Lamport 風格或 eXtended Merkle Signature Scheme (XMSS) 風格的以太坊量子安全錢包。
• 以太坊將需要選擇（並經過實戰測試）一個或多個 PQC 簽名系列（可能是來自 NIST 的 ML-DSA/SLH-DSA 或基於雜湊的構造），並權衡金鑰大小、簽名大小、驗證成本和智慧合約整合。
• 橢圓曲線不僅用於使用者金鑰。BLS 簽名、KZG 承諾和一些 rollup 證明系統也依賴於離散對數硬度。嚴肅的量子韌性路線圖也需要這些構建塊的替代方案。

在社會和治理方面，Buterin 的量子緊急分叉提案提醒我們，任何真正的響應都需要多少協調。即使有完美的密碼學，回滾區塊、凍結傳統帳戶或強制執行大規模金鑰遷移也將在政治和運營上存在爭議。這也是他和其研究人員提倡的原因：

• 建立 kill switch 或量子 canary 機制，一旦較小、故意易受攻擊的測試資產被證明已破解，就可以自動觸發遷移規則。
• 將後量子遷移視為一種漸進式的選擇加入流程，使用者可以在任何可信的攻擊發生之前很久就採用，而不是在最後一刻倉促行動。

對於個人和機構，近期的清單更簡單：

• 首選可以升級其密碼學而無需強制移動到全新地址的錢包和託管設置。
• 避免不必要的地址重用，以減少鏈上暴露的公鑰。
• 追蹤以太坊最終的後量子簽名選擇，並準備好在強大的工具可用後進行遷移。

總結

量子風險應像工程師考慮洪水或地震一樣對待。它不太可能在今年摧毀你的房屋，但在很長一段時間內發生的可能性足夠大，因此從設計基礎時就考慮到這一點是有意義的。以太坊正努力成為一個長期存在的、防審查的價值儲存和應用平台，這意味著它需要提前做好準備，以應對這種長期存在的風險。

這篇文章並未包含投資建議或推薦。每一次投資和交易行動都涉及風險，讀者在做出決定時應進行自己的研究。台灣的軟體開發者和區塊鏈社群應密切關注這一趨勢，並準備好適應和創新，以確保台灣在區塊鏈技術的未來中保持領先地位。透過共同努力，我們可以確保台灣的數位資產和區塊鏈應用程式能夠抵禦未來的量子威脅，並持續為台灣的經濟和社會做出貢獻。考慮到智慧型手機已經成為我們生活中不可或缺的一部分，錢包的安全性也變得尤為重要。

此外，影片內容創作者和專案負責人也應考慮到量子計算對數位版權的潛在影響，並採取適當的保護措施。區塊鏈技術本身也可以用於保護數位內容的智慧財產權，但這需要更深入的研究和開發，以確保其在量子時代的安全性。