量子地雷：一個應對量子計算的新思路

隔夜大餅80k上方沒站穩，摔了下來。開發者郵件列表里冒出來一個新詞兒。

11月4日，開發者 Cory Fields 在 bitcoin-dev 郵件列表里提出了一個叫量子地雷的機制[1]。他在 MIT 數位貨幣計劃工作，也是 Bitcoin Core 的開發者。這個提案還沒有被寫成正式的改進建議，他自己也說，這只是一個思想實驗。

機制本身不難懂。任何想要領走脆弱地址（比如早年的P2PK地址或暴露了公鑰的地址）里 BTC 的人，必須先從量子安全錢包里押上等額的 BTC 作為抵押。目標地址里的幣和這筆抵押會一起被鎖住，比如鎖三十天。在這段等待期里，如果地址的主人能拿出隱藏的所有權證明，就可以把自己的幣收回去，順手把冒領者押上的那一份也拿走。

這個想法有趣的地方在於，它思考的方向是博弈論，而不是密碼學。

過去幾年圍繞量子威脅的討論，主線一直是遷移。P2QRH 這類方案要換籤名算法，軟分叉要讓全網的節點和錢包跟着升級，所有的持幣人都得把幣從舊地址搬到新地址。這條路在技術上成立，難的是動員。幾百萬個沉寂多年的地址，主人可能已經丟了私鑰，可能已經不在人世，也可能根本不知道有這麼一回事。

量子地雷換了一個方向。它不是去動員持有人遷移，而是去讓冒領者身陷險境。你想偷一筆一個億的幣，先押一個億；偷成了，賺一個億，被抓了，賠一個億。把賠率改成這樣，理性的人就不會動手。

思路確實漂亮。可在往下深入之前，得補充一點：地雷需要持有人自己埋，協議不會自動去做。

埋雷的動作發生在所謂 Q-day （即量子計算攻破私鑰之日）之前。持有人需要用一個新的量子安全地址，創建一筆很小的輸出，裡面藏着一份承諾。承諾的內容說起來很簡單，就是證明我在量子計算機能算出私鑰之前，已經掌握這箇舊地址的私鑰。承諾本身不揭示私鑰，只把我知道這件事提前固定在鏈上，等到需要的時候再拿出來驗證[2]。

為什麼非得趕在 Q-day 之前？因為量子攻擊者 Q-day 之後理論上也能算出同一把私鑰。光看簽名，鏈上分不出誰是原來的主人，誰是後來才算出鑰匙的人。只有在 Q-day 之前埋下的承諾，才能把先知道的人和後算出來的人分開。

等 Q-day 來臨，新的驗證規則激活。到那時要動一筆舊地址里的幣，必須等額抵押，還要走一條帶時間鎖的替代花費路徑。開發者舉的例子是這樣的：Alice 在一個舊輸出里放 1 BTC，量子安全錢包里放 1 BTC，另外埋一個很小的地雷。冒領者來動那 1 BTC，必須自己再押 1 BTC，兩筆一起鎖大約三十天。這三十天裡，Alice 揭示承諾（引爆地雷），取回自己的幣，順手把冒領者押的那份拿走。

冒領者事先看不出哪些地址埋了雷。這是整個設計的關鍵：每下一次手，都要先押上等額本金，中不中雷全憑運氣。踩上一次，本金就沒了。

可是到這一步還缺了一塊：主人自己該怎麼領？

開發者的機制是為抓賊設計的。按現有框架，主人要主動遷移，也得走那套抵押流程。他在郵件里承認，需要執行規則把抵押負擔壓到冒領者身上，同時給誠實遷移者留一條不用等額抵押的路。這條規則他沒寫。

順着這個問題往下想，其實也許可以有解法。承諾可以用量子安全地址來簽，冒領者算得出舊私鑰，卻無法偽造承諾本身；再加上承諾攜帶的時間戳證據，能證明是哪一天埋的。有了這兩樣，主人出示承諾，就應該可以直接把幣領走，不必抵押等額。

更妙的是，主人還有一個選擇：不急着領，等人來踩。冒領者押上等額本金，鎖進等待期，主人這時揭示承諾，把自己的幣和冒領者的抵押品一起拿走。地雷從被動的防禦，變成了主動的伏擊。

由此想來，等待期似乎也值得拉長。鎖定期三十天，一年能試十二輪；如果鎖一年，一年只能試一輪。單次賠率沒有變，覆蓋的地址數量卻差了一個量級。找不到足夠多的空地址，就湊不出正收益的樣本。拉長鎖定期削弱的是試探的覆蓋面，還有資金周轉速度。

資金雄厚的冒領者可以用並行抵押來換時間，同時押很多筆，代價是數倍的消耗。所以它鎮得住中小冒領者，壓不住無限火力。BTC的絕對稀缺這個優點就凸顯了：誰也沒有無限火力。

這樣稍作改動，它和 BIP-361（草案）的差別就清楚了。BIP-361 是限期遷移，過期凍結，協議替所有人做決定；而量子地雷這個思路留了一個抵押出口，沒來得及證明的人還能抵押一年把幣領出來，同時用踩雷和資金占用威懾冒領。對產權的處理，比一刀切凍結要溫和得多。

當然，對於確已失去所有者的那些幣，仍然沒有解決。地雷只對還握着私鑰的人有用，私鑰已經丟了的幣，包括中本聰那批早期持倉，沒有主人能出來揭示承諾。

無論哪條路，前提都差不多：主人都得在 Q-day 之前動一次。Q-day 之後，能證明的東西只剩下知道私鑰，而那時知道私鑰已無法等於你是真正的所有人。唯一還有效的證明，是我在 Q-day 之前就知道。可這個證明只能在那之前留下，時間戳不會倒流。事前沒有動作的人，事後沒有補救的辦法。

上面這些延伸思考，是教鏈順着開發者的思路往下推的，並非他的原方案。這個埋雷思路的啟發性不在某個細節，而在方向。過去幾年量子威脅的討論，幾乎都在密碼學裡打轉，換籤名算法、改地址格式、限期遷移；這位開發者把問題焦點轉向了博弈論，讓攻擊的成本本身成為設計對象。

這個方向也許還有更好的走法。教鏈把自己的思考寫出來，也是拋磚引玉，希望更多人一起來探討：除了讓人遷移，除了把幣凍住，除了抵押，還有沒有更好的方案。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。