量子问题：是冻结币还是不冻结

By: bitcoinmagazine.com|2026/09/16 16:39:01

比特币的量子辩论相当复杂。这不仅仅是关于不同类型密码学的权衡及其在理论量子计算机面前的强度的技术辩论。这是关于比特币精神中哪些特性在面临一个艰难的两难时最强大的辩论：坚持有效币仍然可以被其所有者使用的承诺，还是支持系统安全，防止其货币供应的重大部分通过一个已知多年的漏洞被掠夺。

这一争议的核心难题在于，每一个严肃的选项都违反了比特币用户所关心的原则。无所作为可能会保留今天的共识规则，同时允许未来具备量子能力的参与者获取那些所有者从未同意的币。冻结脆弱的币可能会防止这种盗窃，但它会追溯性地使长期存在的支出条件失效。强制迁移到抗量子签名可能是明智的工程选择，但它也可能看起来像是一个有截止日期的没收制度。这场辩论之所以丑陋，是因为没有一条干净的道路可以完美地同时保留财产权、经济可预测性、抗审查性、向后兼容性和用户主权。

这就是我认为这个问题引人入胜的原因。它是多方面的：同时具有技术性、社会学、哲学和经济性质。因此，任何对这个问题的严肃讨论都必须考虑每一个角度。

在这篇文章中，我将论证量子迁移辩论远比仅仅在冻结或不冻结脆弱比特币之间的问题更为复杂。相反，这是一个如何在椭圆曲线签名不再可靠地验证合法所有权时，最小化财产权侵犯总量的问题。
这篇文章出现在比特币杂志最新的印刷版《量子问题》中。我们在这里分享它，以便提前了解整期中探讨的思想。

量子威胁

比特币当前的授权方案确保资金仅由合法所有者支出，依赖于椭圆曲线密码学。传统的ECDSA签名和Schnorr签名都使用secp256k1椭圆曲线。在普通的经典计算假设下，从公钥推导私钥在计算上是不可行的。运行Shor算法的密码学相关量子计算机改变了这一假设：一旦公钥可用，足够强大的量子攻击者可以推导出相应的私钥，并签署交易以支出资金，这将被网络视为有效。量子计算机威胁到打破ECDSA和Schnorr背后的公钥到私钥的难度假设。

这一区别很重要，因为并非所有比特币输出在同一时间暴露相同的信息。一些输出类型立即揭示公钥，并无限期保持脆弱。其他输出在所有者支出之前将公钥隐藏在哈希后面。这创造了两种广泛的攻击类别。长范围攻击针对那些公钥已经在链上可见的输出，例如旧的支付公钥输出和Taproot输出。短范围攻击则在支出时针对币：所有者广播交易，公钥变得可见，快速的量子攻击者试图足够快地推导出私钥，以替换或抢先交易。

挖矿威胁则不同。Grover算法理论上可以加速对有效区块哈希的暴力搜索，但它仅提供二次加速，而Shor算法则提供超多项式加速。因此，使用量子计算机进行挖矿的竞争优势实际上要小得多。

量子量子威胁

有趣的是，量子计算机的威胁本身处于一种量子叠加态。值得担忧的量子计算机可能会被建造，也可能不会，没人能证明或反驳这一点。量子怀疑论者并不否认Shor算法可以破解ECC。他们声称没有充分的理由相信我们会建造出能够在密码学相关规模上运行Shor算法的强大且容错的量子计算机。

大家都同意，使用今天嘈杂的量子处理器破解ECC是不可能的。这需要许多可靠的逻辑量子比特、极低的错误率、长时间的高相干计算，以及在规模上成功运行的量子错误纠正。

一个强有力的怀疑论论点是，量子容错阈值定理依赖于可能在所需精度下无法物理满足的假设。这些假设包括足够独立的噪声、足够准确的门、有限的非期望交互，以及在一个庞大系统中保持错误低于可接受阈值的能力。Mikhail Dyakonov认为，该定理假设了理想化条件，并没有告诉我们在实际设备中满足每个假设所需的真实工程精度。

Gil Kalai的批评则更具结构性。他的论点是，现实的量子系统可能会遭受相关噪声和噪声积累，这会阻碍高质量量子错误纠正码的形成。在他2011年的论文中，他提出量子码的物理实现、随机系统中的相关性和积累的噪声可能导致可扩展量子计算机的失败。

这可能是最强的怀疑论论点：量子错误纠正只有在噪声可驯服的情况下才能工作。如果真实的高量子比特系统产生对抗性相关的错误，那么增加更多的量子比特可能会使计算机变得更加脆弱和不可靠。

量子可扩展性是一个主要的未知数。怀疑论者认为，从50、100或1000个物理量子比特的进展并不自动推导出数百万个物理量子比特或数千个逻辑量子比特。量子系统是模拟的、脆弱的，并与其环境耦合。工程挑战不仅仅是“制造更多的量子比特”；而是“在抑制串扰、泄漏、相关错误、校准漂移、热效应、测量错误、制造变异和控制噪声的同时制造更多的量子比特”。这就是为什么批评者拒绝简单的时间线外推。他们认为“我们在这个十年内增加了X个量子比特，因此我们将在Y年破解ECC”是薄弱的推理。

最后，量子计算机的演示表明，当前设备只能在精心选择的采样任务上超越经典模拟。批评者指出，这对执行像Shor算法这样长且结构化的算法的可靠性几乎没有说明。

后量子迁移的重要性

假设出现了一个密码学相关的量子计算机，仅仅为比特币用户提供使用后量子密码学的选项并不足以阻止量子攻击。所有量子易受攻击的比特币总集包括早期的支付给公钥的硬币、由重用公钥控制的硬币、Taproot输出，以及在链外揭示的公钥或扩展公钥的情况。一个引人注目的数字是，老的P2PK输出中BTC的集中度，这些输出在UTXO中数量微小，但代表了更大比例的价值，约为170万个BTC。通过链上分析输出类型、活动模式和已知所有权的更广泛估计使我们相信，即使所有活跃的比特币用户将他们的钱包迁移到后量子密码学，至少260万个BTC仍将处于易受攻击状态。

因此，即使采用了选择性后量子（PQ）密码学，我们也应该预期会有一个系统性风险的池子，包含无期限的脆弱币。这些币可能被量子攻击者用来以各种方式危害系统——不仅仅是通过出售它们并压低 BTC 的现货价格。因此，保护这些脆弱币免受量子威胁需要某种规则的改变，以有效地“锁定”量子攻击者。

围绕这个问题的言辞常常使用“没收”、“销毁”、“冻结”、“盗窃”或“恢复”等术语，但这些描述了不同的机制。冻结不会将币转移给国家、矿工、开发者或某个恢复基金。在其最基本的形式上，这意味着改变共识规则，以便某些输出不再能够使用脆弱的 ECDSA 或 Schnorr 签名进行支出。这就是为什么倡导者有时会说“销毁”而不是“没收”：这些币并没有被重新分配；它们通过其私钥变得无法支出。但对于仍然拥有原始密钥的合法所有者来说，实际效果仍然可能感觉像是被没收：曾经有效的支出现在不再有效。

BIP-361 将迁移概念分为几个阶段。首先，一旦存在一种抗量子地址类型，比特币网络将停止允许新币发送到量子脆弱地址。随后，在一个多年的窗口期后，传统的 ECDSA 和 Schnorr 支出将变得无效。最后，仍然存在一个问题，即对于能够证明自己是合法所有者的用户的恢复选项——例如通过从种子短语或 HD 钱包结构派生的零知识证明。该提案的主要目的是不是选择一种后量子签名算法；而是创建激励和截止日期，以便用户、交易所、保管人、钱包和机构能够及时迁移，从而使我们能够弃用 ECC，以防止量子攻击。

-- 价格

冻结的理由

支持冻结的最强论点源于一个简单的主张：从公钥推导出私钥的量子攻击者在任何道德上有意义的意义上都不是合法所有者。在这种观点下，“让脆弱币被拿走”并不是中立；而是允许一类新参与者掠夺旧输出，因为协议未能加强已知薄弱的锁。冻结倡导者认为，允许量子盗窃所造成的伤害不仅仅是对疏忽的所有者，而是对所有持有者，因为成功的量子清扫将财富重新分配给拥有早期量子能力的任何人。这是一个问题，因为在一个单一参与者手中拥有的比特币数量，如果他们花费相对较少的资源来获得这些币，可能对生态系统的安全性构成相当大的威胁。比特币的安全模型假设经济理性的参与者受到保护其币值的激励，但一个具备量子能力的参与者有可能打破这一假设。支持冻结的立场是，比特币不应奖励第一个打破 ECC 的实体，以提供可能被用来危害系统的弹药。

这个论点对于被认为丢失的币尤其成立。如果丢失的币突然被量子攻击者恢复，流通供应实际上会增加。这并不违反正式的 2100 万上限，但确实改变了经济格局：市场可能将视为无效的币可以重新进入流通，可能迅速且集中在少数人手中。

支持冻结的一方还认为，威胁不仅限于普通的追求利润。一个具备量子能力的对手可能会在政治上攻击比特币，破坏市场，削弱公众信心，长期困扰网络，甚至获得足够的算力进行51%攻击。对博弈论的分析表明，我们不能简单地假设攻击者会扫荡脆弱的BTC以出售并骑上日落；还有更广泛的策略和不良结果。

一个相关的论点是市场恐慌。Pieter Wuille在邮件列表辩论中的评论进一步强调了这一点：中期的危险可能不仅是一个实际的密码学相关量子计算机，而是人们对可能很快出现一个的可信信念。如果市场相信比特币的大部分供应可以在任何时刻被夺取，仅仅提供自愿的后量子输出可能不足以恢复信心。一个可信的计划来禁用脆弱的支出本身可能就是一个足够的安抚机制。

支持冻结的阵营还认为，截止日期是必要的，因为自愿迁移可能会很慢。人们拖延；机构行动缓慢；硬件钱包、交易所、保管人、遗产计划、多重签名协调者和冷存储程序都需要时间来实施变更和规划迁移。Matt Corallo曾主张，比特币应该在必要之前很早就添加一个简单的后量子能力，因为钱包需要在任何后来的紧急决定关于冻结脆弱的UTXO变得可信之前，开始嵌入或承诺量子抗性公钥。

还有一个受托责任的论点。公共公司、ETF、保管人和交易所将无法忽视已知的迁移截止日期。一个锁定的共识变更为合规部门和风险委员会提供了具体的行动依据。它还将一个抽象的未来威胁转变为一个项目计划：升级软件、生成新地址、转移资金、验证备份、与客户沟通，并在已知日期之前完成迁移。BIP-361明确主张，一旦存在截止日期，交易所和保管人将面临受托和法律压力。

值得注意的是，所有这些迁移规划适用于的不仅仅是密码学相关量子计算机的出现。此辩论中的大多数论点适用于任何已知ECC被削弱的情况。一般来说，密码学往往经不起时间的考验，任何给定的密码算法在长时间（几十年）内往往会被削弱，因为研究人员发现缺陷并开发出新的技术来打破先前的假设。

最后，冻结倡导者认为，比特币一直依赖用户执行保护整个系统的规则。在他们看来，一个客观上禁用已知不安全支出路径的软分叉与任意的政治没收并不相同。提议的界限不是“这些人不受欢迎”，而是“这些脚本类型需要的密码学不再符合比特币的安全假设。”如果规则是机械的、客观的、提前数年宣布的，并且配有可行的迁移路径，支持者认为这更像是更换一个坏锁，而不是将一个所有者列入黑名单。 这篇文章在比特币杂志最新的印刷版《量子问题》中刊登。我们在这里分享它，以便提前了解整个期刊中探讨的思想。

反冻结论点

最强有力的反对冻结的论点始于相反的前提：比特币的社会契约是，持有相应密钥的用户在收到币时接受的共识规则下，合法的币仍然可以被支出。追溯性地使该支出路径无效跨越了一条不可侵犯的界限。它将“没有你的密钥，就没有你的币”变成了“没有你的截止日期升级，就没有你的币”。即使没有其他人收到被冻结的币，原始所有者也失去了实际控制权。这就是为什么批评者将强制冻结描述为没收，而不仅仅是保护。

这个反对意见不仅仅是情感上的。比特币的可信度在很大程度上依赖于开发者和节点运营者不会在UTXO所有者中挑选赢家和输家。针对“脆弱币”的冻结可能在技术上是客观的，但它仍然基于过去的地址选择、钱包设计、闲置或无法行动而针对一部分所有者。批评者担心，一旦网络接受了某种原因的追溯性无效，未来的联盟可能会找到其他理由：制裁、盗窃恢复、继承争议、国家压力、“显然”丢失的币或其他紧急情况。

第二个反对意见是冻结无法区分丢失的币、粗心的所有者、闲置的所有者、被监禁的所有者、死去的有继承人的所有者、处于敌对司法管辖区的用户、时间锁安排、被遗忘的冷存储和故意长期储蓄者。比特币有许多用户的目标是避免被迫保持在线并对政策变化做出反应。一个安全存储币数十年的人不应该因为网络的其余部分后来宣布他们的存储方式过时而失去这些币。值得注意的是，活跃的当前持有者与可能无法采取行动保护自己的不活跃合法所有者之间存在激励冲突。

第三个反对意见是不确定性。一个在密码学上相关的量子计算机可能比预期晚到，可能不会以令人担忧的形式出现，可能会在一段时间内保持秘密，或者可能会被不那么激烈的工具所抵消。如果比特币永久性地烧掉数百万个币，而威胁并未在假定的时间表上实现，网络将犯下不可逆转的自我造成的财产权利侵犯。因此，批评者认为，过早的冻结比有计划的准备更糟。

第四个反对意见是治理和合法性。冻结脆弱币将是比特币历史上最具争议的共识变化之一。一些人警告说，宣布冻结旧UTXO可能会比量子攻击本身更损害比特币的形象，并可能产生一个重大分叉，其中一方接受冻结而另一方保留旧的可支出性。在这种情况下，“解决方案”创造了一个新的政治攻击面：交易所、保管人、矿工和用户必须选择他们更喜欢哪个链的财产权模型。

第五个反对意见是法律风险。邮件列表辩论中的一些参与者警告说，参与故意更改代码以冻结资金的开发者、公司或矿工可能面临来自其币变得不可支出的所有者的责任索赔。即使这些索赔最终失败，法律程序本身也可能会抑制开发，分裂机构，并使共识协调变得更加困难。

第六个反对意见是技术谦逊。后量子密码学是真实存在的，但并非免费。NIST 已经标准化了 ML-DSA、SLH-DSA 和 ML-KEM，仍在继续进行更多工作，但比特币面临着不寻常的限制：每个字节都很重要，验证成本很重要，钱包兼容性很重要，而共识失败是灾难性的。Chaincode 在其量子深度报告中对候选方案的比较显示，选择并非简单：后量子签名和密钥可能比 Schnorr 或 ECDSA 大得多，而方案在成熟度、签名大小、公钥大小、签名成本、验证成本和假设方面差异显著。

这使得批评者对在目的地尚未成熟之前强行迁移感到谨慎。糟糕的后量子迁移可能会降低吞吐量，提高费用，增加 UTXO 或见证数据负担，引入新的密码学假设，或者如果所选算法减弱，则迫使再次迁移。与许多基于哈希的后量子签名相比，传统的 Schnorr 签名显得微不足道，而基于格的密码学则有其他权衡和成熟度问题。值得一提的是，考虑到签名的数据量更大，这将增加链上交易的成本，并可能使财富较少的用户无法承受。

不作为与采取行动

正如我在一年多前的第一篇文章中所述：如果量子计算对比特币的椭圆曲线密码学（ECC）构成威胁，那么比特币的不可侵犯属性将以某种方式被违反。

你可能熟悉 Andreas Antonopoulos 提出的基本原则：

“不是你的密钥，不是你的币。”

我认为这个原则的推论是：

“你的密钥，只有你的币。”

关键在于，密钥不仅仅是授权支出，而是签名应当是合法密钥持有者控制的不可伪造的证据。一个具备量子能力的实体会破坏这一基础原则的推论。我们用与极大随机数相关的数学概率来保护我们的比特币。你的资金之所以安全，是因为真正随机的大数是安全的，不会被世界上任何其他人发现。

不作为的立场常常被讽刺为“让量子窃贼偷走一切”。对量子盗窃采取非干预立场无疑是有原则的：比特币是一种自愿的持有资产，受规则支配，用户有责任管理已知风险。如果一枚硬币被一个在数十年后变得脆弱的脚本所束缚，这或许与丢失种子短语、使用弱熵、信任不安全的保管人或未能遵循其他最佳实践没有什么不同。在这种观点下，网络的工作不是保证每个历史锁定脚本的安全性，而是执行书面规则。

这一阵营还可以指出，总供应量是网络的唯一保证，而不是有效流通供应量。2100万的上限并没有说“2100万减去假定丢失的硬币”。它说不会发行超过2100万枚硬币。如果一枚看似丢失的硬币后来因为其密钥被找到、继承、因弱熵被破解或通过量子攻击恢复而移动，则总发行量并没有改变。这个论点对那些认为量子资金扫荡是盗窃的人来说并不令人满意，但它在内部是一致的：协议规则定义有效性，而不是关于合法所有权的主观道德信念。

不作为的一方还重视操作的简单性。任何冻结规则都需要定义什么构成脆弱的比特币赎回脚本，选择激活日期，协调钱包和矿工，与用户沟通，处理边缘案例，并吸收政治后果。不作为避免了有争议的共识变化。如果后量子工具变得可用，关心的用户可以自愿迁移，而不迁移的用户则承担自己的风险。

但“纯粹无所作为”的观点的弱点在于，它将量子盗窃视为一个个体风险问题，而实际上它可能成为一个系统风险问题。如果足够多的币被暴露出来，并且市场相信一个有能力的攻击者可以利用这些币来危害生态系统，那么损害不仅限于未能迁移的所有者。这会影响公众对系统的信心，进而对汇率、热力学安全（矿工收入）以及许多比特币企业的收入造成负面压力。这就是为什么即使许多人对冻结感到不安，仍然支持提前准备的原因。

冷漠的“代码即法律”比特币持有者可以选择无所作为，但他们不应自欺欺人地认为自己可以阻止其他人尝试采取行动。

替代提案

因为“冻结所有脆弱的UTXO”和“无所作为”在各自的方式上都是残酷的，所以许多有趣的工作集中在替代提案上，这些提案将帮助用户在面对量子威胁时保留他们的财产权。

我们可以在尚未冻结旧的输出的情况下，防止新的脆弱输出。这是强制迁移中最不具强制性的部分。一旦存在更安全的输出类型，共识或政策规则可以劝阻甚至禁止将比特币发送到脆弱的锁定脚本中。这减少了未来的损害，而不会立即使旧的财产权声明无效。BIP-361将其作为A阶段，包括几个批评者对这种前瞻性限制的接受程度高于对永久追溯性销毁的接受程度。
另外，网络可以强制实施临时锁定，而不是永久销毁。Boris Nagaev建议，如果必须禁用旧的EC支出，锁定可以包括一个未来的重新启用高度或其他机制，以便给社区时间建立恢复路径。Conduition探讨了这样的阶段如何与P2QRH/P2MR类输出相互作用，并警告说，简单地禁止所有EC检查可能会意外影响混合结构，除非规则设计得当。临时锁定的吸引力在于政治和技术：它传达了紧急控制而不是永久没收的信号。
另一个选项是速率限制，由Hourglass提案表示。Hourglass V2专注于旧的P2PK币，并将支出限制为每个区块只能支出一个P2PK输入，来自这些输出的净限制为每个区块一个BTC。其作者将其呈现为一种避免立即销毁和不受限制的量子清算的方法：币不会被销毁，但它们涌入市场的能力受到限制。该提案估计，不受限制的P2PK清扫可能会非常迅速，而每个区块一个BTC的设计将使完整的P2PK移动延续数十年。

Hourglass有其自身的批评者。反对者认为，它通过对一类本应有效的币种施加特殊限制，仍然违反了无许可支出原则。这可能还会导致合法拥有者与量子攻击者之间的长期竞争，而不是解决所有权问题。一些批评者表示，如果量子威胁是真实的，那么清除暴露的P2PK输出需要数十年，这给了攻击者充足的时间；如果威胁不真实，那么这一规则就是不必要的干扰。 4. 有一种承诺-延迟-揭示的概念，有时通过盖伊·福克斯式的构造进行讨论。基本思想是，用户首先以一种量子攻击者无法立即利用的方式承诺未来的支出，等待承诺得到深度确认，然后揭示验证支出所需的秘密。这可以防止短时间暴露的量子攻击者看到公钥并在确认之前立即盗取币。Chaincode将承诺-延迟-揭示描述为可选择的，并可能是有用的，而Optech总结指出，这些方案可以让安全可支出的比特币避免被销毁，并减少迁移的紧迫性。 5. 无需EC签名的量子安全资金恢复，特别是对于HD钱包，应该是可行的。或者Sattath等人讨论了“签名提升”的想法，所有者证明对种子或派生路径的知识，而不是通过脆弱的公钥证明控制。Olaoluwa Osuntokun构建了一个概念验证，使用zk-STARKs证明一个Taproot BIP-86输出密钥是从BIP-32种子路径生成的。这无疑是拖延者恢复资金的最后手段，因为该方案的最新优化版本需要200 KB的证明。这无疑会使小额UTXO的恢复成本过高，因为最佳情况下可能需要几百美元的交易费用，但在更高的交易费用率下可能轻松达到几千或几万。这个恢复路径具有吸引力，因为它改变了辩论的道德形态。如果合法拥有者可以通过非EC证明恢复被冻结的币，那么冻结不再意味着永久销毁。但成本是严峻的：大型证明、复杂的验证、隐私泄露、钱包派生假设、无法覆盖每种历史钱包类型，以及向比特币共识添加新型密码学的危险。zk-STARK方法的批评者强调，兆字节规模的证明和多秒的验证时间难以与比特币的保守设计相调和。尽管进一步的研究已经发现了更高效的优化方案。 6. 双签名或市场驱动的迁移。Marc Johnson等人建议启用量子抗性输出，允许可选的双签名，提供费用或政策激励，并让用户选择自己的风险，而不是强制设定损失截止日期。这种方法比强制冻结更好地保护了产权，但如果太多高价值的币仍然暴露，它不会解决系统性风险问题。 ## 复杂的技术权衡迁移辩论无法与量子抗性签名的选择完全分开，因为签名的大小将影响系统的吞吐量。NIST的后量子标准提供了一个严肃的基础：FIPS 204标准化了ML-DSA，FIPS 205标准化了SLH-DSA，FIPS 203涵盖了用于密钥建立的ML-KEM。但比特币需要数字签名和脚本兼容的所有权证明，而不仅仅是通用的密码学标准。适合TLS或政府通信的方案并不自动适合具有有限区块空间和全球验证要求的区块链。

基于哈希的签名是保守且吸引人的，因为它们的假设简单，但它们的体积较大。Lamport 风格的签名可以通过 OP_CAT 等脚本升级以某种形式启用，但 Taproot 的密钥路径问题仍然存在：如果 Taproot 输出具有量子易受攻击的密钥路径，则在脚本路径中放置 Lamport 签名并不会使整个输出量子安全，除非移除或禁用该易受攻击的密钥路径。BIP-347 的 OP_CAT 讨论明确指出了这个问题。

像 ML-DSA 这样的格子签名提供了比许多基于哈希的选项更紧凑的签名，但它们带来了不同的假设和实施风险。Falcon 风格的签名紧凑，但历史上实现起来更为复杂。SPHINCS+/SLH-DSA 是保守的，但体积较大。实验性方案在纸面上可能很有吸引力，但对于比特币共识来说过于不成熟。这就是为什么一个可信的迁移计划可能需要算法灵活性、测试部署、钱包实验、仔细的费用建模，以及可能多个可接受的后量子路径，而不是一个匆忙的赢家。

区块空间问题很严重，但并非不可解决。Chaincode 估计，如果迁移消耗所有区块空间，迁移所有 UTXO 大约需要 76 到 142 天；如果消耗 25% 的区块空间，则需要 305 到 568 天。这只是原始迁移吞吐量；它不包括人类协调、钱包升级、机构批准、对隔离签名的支持、硬件更换、会计工作流程等。

UTXO 集迁移的完整时间表以年为单位，而不是以周为单位。Chaincode 的高层估计描绘了大约五年的最佳情况和接近十五年的最坏情况，用于研究、BIP 工作、实施、部署和迁移。同一报告指出，在紧急情况下，时间框架可能会加速到 2 年，但历史上的紧急协议修复并不完全类似，因为量子迁移问题涉及生态系统的每一层。

财产权的伦理

道德争议源于对所有权的两种竞争定义。

反冻结方支持“代码即法律”的观点：所有权意味着在共识规则下的控制。如果一个输出可以通过 ECDSA 或 Schnorr 签名进行支出，那么禁用该支出路径就违反了所有者的财产权。网络并不知道一个币是丢失、被遗弃、继承、故意闲置，还是因临时原因无法访问。因此，冻结是对未能遵循新迁移要求的用户子集施加的集体惩罚。

支持冻结的一方则认为，所有权不能意味着“任何能够破解密码学的人都能获得币”。比特币的签名旨在验证合法密钥持有者，而不是为第一个构建出能够击败认证方案的机器的人创造奖品。如果量子能力将公钥变为私钥，那么 EC 签名不再携带其之前所携带的相同道德信息。在这种观点下，拒绝冻结并不是中立；这是一个安全失败，故意允许一个被破坏的认证机制转移财富。

这两种立场都是一致的。第一种保护规则的稳定性和持有资产的最终性。第二种保护锁定脚本的更深层意图。痛苦的关键在于，比特币的共识规则是唯一的实际仲裁者。协议无法读取意图。它只能根据规则接受或拒绝交易。任何试图在 ECC 破裂后编码“合法所有权”的尝试，要么变得过于宽泛，要么依赖新的证明，或者留下某些受害者。

我认为，比特币上的财产权曾经被侵犯。请允许我向您介绍被称为价值溢出事件的事件。

在2010年8月15日，发现区块74,638包含了一笔交易，该交易为三个不同地址创建了184,467,440,737.09551616个比特币。两个地址各自收到了922亿个比特币，而解决该区块的人获得了额外的0.01 BTC，这在交易之前并不存在。这是因为用于检查交易的代码在将其包含在区块中时，没有考虑到输出值过大而导致溢出的情况。

在发现后的五小时内，发布了一个新版本的客户端，其中包含了对共识规则的软分叉更改，拒绝输出值溢出的交易。区块链被分叉。尽管许多未修补的节点继续在“坏”的区块链上构建，但“好”的区块链在区块高度74,691时超过了它，此时所有节点都接受了“好”的区块链作为比特币交易历史的权威来源。

对于使用具有最大累积工作量的链的人来说，坏交易不再存在。因此，由它创建的比特币也不存在。

因此，从纯粹的产权角度来看，当时遵循网络规则的人被剥夺了他们的财产，因为网络上绝大多数其他参与者认为他们的行为是不可取的，并对网络构成威胁。

反对冻结的人可能会说这不是问题，因为协议规则的意图才是重要的，而意图是为了保证网络的最大供应量为2100万个BTC。我倾向于同意，并反驳说，使用ECC来保护BTC的意图是确保任何人都无法猜测你的私钥。
这篇文章在比特币杂志最新的印刷版《量子问题》中刊登。我们在这里分享它，以便提前了解整个期刊中探讨的思想。

经济利益

量子能力实体的突然资金扫荡可能通过几个渠道影响比特币。

被认为是休眠的币将重新进入流通，增加有效的比特币供应。
如果出现可信的证据表明存在或接近存在CRQC，市场可能会在实际扫荡之前恐慌。
如果价格急剧下跌，矿工可能会受到影响，因为他们的预算与以BTC计的区块补贴和费用相关，转化为运营收入。
如果客户存款暴露或市场结构在不确定性下崩溃，交易所和其他企业可能面临运营压力和收入大幅下降。

“丢失的币只会让其他人的币稍微更值钱。把它看作是对每个人的捐赠。” -- 中本聪

如果这是真的，那么推论是：

“量子恢复的币只会让其他人的币变得更少。把它看作是对每个人的盗窃。”

如果大量BTC永久丢失，剩余持有者将从较低的有效流通供应中受益。如果量子攻击者恢复那些币，剩余持有者将失去这种利益。冻结的批评者回应说，这正是活跃持有者存在利益冲突的原因：他们可能更愿意烧掉休眠币，因为这使他们自己的币更稀缺。这不是一个微不足道的反对意见。冻结可以被框架为保护网络，但也可以被框架为在牺牲非活跃持有者的情况下使活跃持有者更富有。

这一冲突使得脆弱币种的具体定义变得极为重要。仅冻结已经暴露公钥的古老 P2PK 输出比冻结每一个脆弱输出更容易被辩解，因为这些资金更有可能被丢失。冻结 Taproot 输出在政治上更为复杂，因为 Taproot 是最近的，并且是由遵循现代钱包指导的用户主动采用的。冻结重用输出则提出了另一个问题：脆弱性可能来自用户行为而非地址类型。基于链上公钥泄露进行冻结也是一种半措施，因为链无法知道链下泄露了什么；例如，许多钱包与第三方共享它们的 xpubs。

因此，广泛的冻结可能既不够包容也过于包容。它可能会遗漏链下暴露的密钥，同时捕获到休眠但合法的所有者。狭义的冻结可能减少最坏的风险，但仍然留下足够的脆弱价值以维持恐慌。这就是我认为最佳解决方案复杂且需要多阶段方法、救助证明和客观脚本规则而非任意地址列表的原因。

驯猫

比特币是一个没有统治者的无政府规则系统。它没有权威可以决定共识规则的变化。废弃 ECC 的规则需要节点操作员、矿工、交易所、钱包、保管人、商家和用户之间的广泛共识。从正式的角度来看，许多提案是软分叉：它们使以前有效的支出在更严格的规则下变得无效。但从社会的角度来看，禁用旧币的软分叉比普通的收紧规则要严重得多。它直接影响财产预期。

在紧急情况下，这一治理问题变得更加严重。如果比特币等到有可信的 CRQC 证据，社区可能不得不在恐慌、错误信息、市场压力和对抗性压力下采取行动。但如果比特币行动过早，它可能会在威胁尚不足以证明冻结的合理性之前冻结币。Chaincode 明确警告说，规划和沟通应该在威胁变得严重之前进行，同时也承认利益相关者的协调、监管、税收和用户沟通是主要障碍。

这造成了一个悖论。设计量子迁移的最佳时机是在急需之前。说服人们接受有争议的措施的最困难时机也是在急需之前。一旦紧急情况显而易见，技术和社会选项会急剧缩小。简而言之，因为：比特币的行动缓慢，如果我们想要一个非混乱的结果，某些行动必须在相关计算机到达之前发生。

因此，一个可信的过程几乎与最终规则一样重要。社区需要明确的定义、模拟、参考实现、钱包支持、测试网部署、激活阈值、恢复研究和与非技术用户的沟通。没有这些，ECC 废弃提案看起来就像是针对休眠持有者的协调。有了这些，即使是反对者也至少可以评估具体的权衡，而不是对抽象做出反应。

治理博弈论

量子攻击者的威胁类似于以太坊在 2016 年必须处理的 DAO 事件。换句话说：生态系统有时间（大约一个月）采取行动阻止攻击者获取当时 5% 的所有 ETH。5% 的所有 ETH 落入恶意行为者之手被视为系统性风险。

为了将其放在背景中，根据我对区块链的分析，我认为暴露公钥的丢失币数量的合理估计大约为 2,600,000 BTC，或当前总供应量的 13%。换句话说，这大约是我预计如果我们达成共识实施后量子签名方案，将无法迁移到量子安全锁定脚本的 BTC 数量。

然而，请注意DAO情况与此情况之间的一个关键区别。在DAO中，以太坊社区不得不进行硬分叉以重新控制被盗的代币。而在BIP-361风格的变更中，这将是一个软分叉。也就是说：

反对DAO分叉相对容易：只需不采取任何行动，继续在原有规则下的链上。这条链现在被称为以太坊经典。

反对量子迁移软分叉，假设它拥有超大多数的算力，将要求持不同意见的用户协调一个用户拒绝软分叉，这在历史上从未发生过。

集中化的滑坡

一些人表示，像BIP-361这样的强制迁移提案是不可行的，因为它将为“集中规划”设定先例，决定谁可以使用比特币。换句话说，这可能导致类似的冻结措施，以阻止任何被视为“坏演员”的人使用系统，例如在重大盗窃和黑客攻击后。

我们已经知道，比特币的规则没有什么是真正不可改变的。无法创建一个不可能更改的协议——你能做的最好的是调整激励，使其不太可能改变。在提议像改变所有权/货币供应量这样有争议的变更时，你应该预期这样的提案只有在替代方案预计对几乎所有比特币用户有害时，才有微弱的被接受的希望。

至于声称这将导致针对黑客等的协议级没收，这对于像比特币这样分散的生态系统来说，协调响应的速度根本无法赶上个别行为者。更准确地说：试图将特定地址/地址集列入黑名单是不可行的，因为这种协议级黑名单的“目标”将会比生态系统协调冻结它们的速度更快地转移资金。

先前的先例

DAO是一个特殊案例，在这个去中心化的社区实际上有时间对大规模盗窃做出反应，因为DAO的智能合约本质上有一个“冷却规则”，使他们在最初将资金重定向到自己控制后必须等待一个月才能将其发送到其他地方，例如“兑现”。因此，有时间从更广泛的生态系统中收集共识（他们甚至进行了代币投票），以通过一个相当有争议的硬分叉。

最终结果是什么？我们实际上可以观察到市场的反应。尽管存在所有争议，经济现实是明确的。以太坊经典遵循“代码即法律”和“什么都不做”的观点，允许攻击者保留网络5%的代币，甚至难以达到干预性以太坊市场价值的10%，后者改变了网络的规则以将资金归还给其合法所有者。

如前所述，比特币也经历了价值溢出事件，其中由一个“遵循协议规则”的人创造的比特币被通过协调共识变更而没收。

这些都是我相信经济激励可以并将超越道德和哲学原则的鲜明例子。有人肯定会说以太坊和比特币没有太多共同之处，确实如此，这些不同的网络往往有着非常不同的精神和驱动因素。但从经济角度来看，它们在恶意实体控制市场资本的实质部分方面共享相同的激励结构。2026年的比特币生态系统与2016年的比特币截然不同。考虑到所有的新进入者，其中许多人并不是因为自由意志主义的立场而采用BTC。

要让主流观众相信，如果有手段可以阻止恶意行为者，就不应该阻止他们，这是一项相当艰难的任务。更难的是告诉那些通过管理资产赚取数百万甚至数十亿美元的公司和机构，他们应该袖手旁观，目睹对其业务线的生存威胁进行攻击，而这种攻击不仅可以提前几个月准备，甚至可能提前数年或数十年准备。

框架很重要

我认为对这场辩论最糟糕的框架是“量子安全与不负责任的用户”。这简化了对财产权的反对意见。在我看来，另一个糟糕的框架是“冻结总是盗窃，因此不需要准备”。这简化了系统性风险问题，并忽视了我们可以帮助保护财产权的选项。

Matt Corallo敏锐地指出，关于贬值使用脆弱签名的辩论很有趣，因为它可以用非常不同的方式框架，而表面上听起来是相同的。

“尽可能保护人们的财产权。”
“不要冻结任何人的币。”

第一种观点支持冻结ECC支出，同时增加安全恢复资金的最大方式（BIP-32证明、非BIP-32钱包和时间锁币钱包的预先Q日承诺等）。

第二种立场实际上最小化了能够保留其币的人数，并最大化了盗窃风险。但它简单得多，避免了有争议的分叉。

因此，我认为这不是一个“冻结与否”的二元辩论。相反，更优的框架是：在原始密码认证机制不再可靠地验证合法所有权的条件下，什么是最优的规则集，以最小化财产权的侵犯？

在这种框架下，如果满足几个条件，贬值ECDSA签名变得更具辩护性。

必须有一个经过广泛审查的量子抗性目标。用户不能被迫迁移到一个半成品或实验性的机制。目标可以是 P2MR 加上未来的 PQ 脚本路径，一个标准化且经过充分验证的 PQ 签名类型，一个提交-揭示结构，或一个混合方案。但它必须能够被普通钱包和机构使用，而不仅仅是技术上可想象的。
迁移窗口必须足够长，以便真实世界的用户使用。我们的区块空间吞吐量估计显示，原始交易能力只是一个瓶颈。一个严肃的截止日期必须考虑到钱包升级、硬件设备、多重签名协调、继承、机构控制、冷存储物流和费用激增。五年的窗口在软件术语中可能听起来很长，但对于全球持有资产的迁移来说可能太短。
废弃规则应尽可能客观和狭窄。通过命名地址或假定身份进行冻结将是有害的。通过明显脆弱的支出条件进行冻结更具辩护性，尽管仍然存在争议。即便如此，设计者必须避免意外禁用仍以非危险方式使用 EC 操作的混合或恢复结构。
冻结资金的救助选项是强制性的。永久性销毁最大化了清晰度，但也最大化了道德伤害。临时锁定、种子知识证明、提交-揭示路径或其他非 EC 所有权证明可能更好地保留比特币的产权精神。目前的恢复想法尚不成熟，但它们至关重要，因为它们将二元的销毁与盗窃选择转变为更人性化的迁移路径。
社区应提前定义警告标准，同时接受完美证据可能永远不会到来。针对 secp256k1 的公共 CRQC 演示对于某些攻击类别来说将为时已晚。但模糊的恐惧不足以证明销毁硬币的合理性。合理的标准可能包括容错量子纠错的可信进展、政府迁移截止日期、专家密码分析共识、观察到的市场压力或其他公共信号。NSA 和 NIST 的过渡表明，主要机构已经将后量子迁移视为一个严重的规划问题，但机构的谨慎并不等同于证明比特币现在必须冻结硬币。

一个金发姑娘问题

对 BIP-361 的一个常见批评（除了“量子计算机不真实”）是它“匆忙”。我认为这是因为人们对激活做出了错误的假设。没有人声称 BIP-361 应该今天或甚至很快激活……在激活 PQC 方案之前，这甚至是不可能的。相反，BIP-361 的重点是制定一个应急计划，以防威胁看起来真实并且迁移变得可取。

我们为 BIP-361 确定了五年的迁移时间框架，因为迁移过早和过晚都有缺点。过早迁移可能会在不必要的情况下给生态系统带来巨大成本。此外，由于后量子方案和量子安全资金救助方案正在积极研究，过早迁移可能会将我们锁定在一个次优解决方案中。过晚迁移则会使生态系统面临系统性威胁，这可能导致巨大的损害和对网络的信心丧失。我们还知道，这需要一个多年的方法，因为协议更改在整个生态系统中传播需要时间。

我不指望任何人认真建议激活 BIP-361，除非看起来高度可能出现一个加密相关的量子计算机在十年内到来。

ECC的弃用最终可能变得合理，但这只能作为最后的共识选择，前提是存在可行的迁移路径，明确规定客观规则，发布长期的公共截止日期，并在允许易受攻击的币种通过ECC继续可支配的情况下达成粗略共识，认为这会造成比禁用ECC更大的权利侵犯。

在这场辩论中，最诚实的结论是双方都在捍卫比特币的原则，只是解释略有不同。ECC弃用的一方捍卫协议安全、系统生存和抵御量子攻击的财产权。无所作为的一方则捍卫协议规则的稳定性、抵制审查和非活跃用户的权利。