量子威胁的 2026 真实进度：Coinbase 要求比特币现在就开始迁移，a16z 把 SNARK 换成了"格"
"等到量子计算机宣布再迁移就晚了"——托管着全网约 5% 比特币的 Coinbase 公开呼吁现在就启动迁移。与此同时，a16z 把 zkVM 的底层密码学换成了"格"，Sui 跑通首个量子安全交易，以太坊把目标定在 2029。这篇梳理真实进度、技术路线与普通持币者的行动项。
一键发币： x402兼容 | Aptos | X Layer | SUI | SOL | BNB | ETH | BASE | ARB | OP | Polygon | Avalanche
量子计算对区块链的威胁，过去几年一直是"理论威胁"叙事：听起来严重，但没有人真的开始行动。2026 年不一样了——讨论正在从"会不会发生"转向"怎么迁移、谁来迁、多久迁完"。
10 月中旬，托管着全网约 5% 比特币的 Coinbase 发布了一篇立场明确的博文：后量子迁移是一个多年工程，必须现在就开始。同一时期，a16z 发布了基于"格（lattice）"的后量子 zkVM，Sui 跑通了首个量子安全交易，以太坊生态的 L2 们则把目标定在了 2027~2029。
这篇文章整理量子威胁在 2026 年的真实进度：哪些是实质突破，哪些仍是难题。
Coinbase 的公开信：迁移要现在开始
Coinbase 的核心论点很直接（Decrypt，2026-10-14）：
"比特币的共识变更和生态迁移可能需要数年时间。"
如果等到"密码学相关量子计算机（CRQC）"正式宣布再行动，留下的时间窗口将不足以完成一次网络级迁移。行业把这个临界点称为 Q-Day——足够强的量子计算机理论上能从已暴露的公钥推导出私钥，从而转走资金。
但 Coinbase 强调，修复远不只是换一套签名算法。一次可行的迁移需要同时满足：
- 保护存量与新增：旧币和新币都要有安全路径；
- 适配区块空间：比特币的空间极其有限，方案不能太"重"；
- 钱包与机构托管都能用：普通钱包与托管方案的签名流程必须兼容；
- 为"永不移动的币"设计路径：包括 Satoshi 时代的休眠地址。
为此 Coinbase 提出了一个过渡思路："1-of-2" 结构——同一笔资金在过渡期内既可以用传统密钥花费，也可以用后量子密钥花费；同时要求新方案兼容 MPC（多方计算），因为托管机构高度依赖密钥分片来防盗。
最微妙的是休眠币与已暴露公钥问题：把丢失的、长期不动的或公钥已暴露的币"救回来"，本质上是一次治理决策，而且救援机制本身也必须是量子安全的——否则攻击者只需利用暴露的公钥就能反过来劫持救援。
行动上，Coinbase 早在 1 月就成立了量子顾问委员会，并在 7 月与 BlackRock、Strategy 共同加入比特币安全联盟（承诺合计 1500 万美元用于比特币的量子防护）。
a16z：把 zkVM 的底层密码学换成"格"
如果说比特币在解决"签名"，零知识证明系统则在解决另一个层面：证明系统本身也依赖会被量子计算攻破的密码学。
9 月 9 日，a16z crypto 发布了 Lattice Jolt——把自家开源 zkVM 的底层从椭圆曲线换成了格密码（lattice）。技术要点：
- 原有的多项式承诺方案 Dory 依赖椭圆曲线，新版替换为基于 Module-SIS 假设的 Akita，目标 128 位安全；
- Module-SIS 与 ML-DSA（数字签名标准）、ML-KEM（密钥交换标准）属于同一族假设——也就是说，它与全球数字基础设施正在迁移的方向一致；
- 性能反而提升：椭圆曲线需要 256 位域，格只需要 128 位域，乘法更快。曲线版 Jolt 在笔记本上约 100 万 cycles/秒，Lattice Jolt 超过 200 万；配合 Apple Metal，MacBook 上从约 100 万提升到 1000 万+。
a16z 的判断是：当前生产的后量子 SNARK 几乎都是 hash-based，而 Lattice Jolt 证明格基方案可以更快、更紧凑——"数字签名已经在迁移，SNARK 会跟随"。
为什么是"格"：与全球标准同一条路线
格（lattice）之所以成为后量子密码学的主流选择，有一个很实际的理由：它已经被全球数字基础设施验证过。
- 同一族假设：Module-SIS 与 Module-LWE 是 Lattice Jolt、ML-DSA（签名标准）与 ML-KEM（密钥交换标准）共同的数学基础；
- 性能与尺寸：格基方案的密钥、签名与证明尺寸普遍小于 hash-based 方案，对区块链这种对稀缺空间敏感的领域尤其重要；
- 生态成熟度：ML-KEM 已是全球部署最广的后量子原语之一，开发工具与硬件加速都已跟上。
对链上开发者而言，这意味着后量子迁移不是"发明新东西"，而是把已有标准接入现有系统——难度在工程与治理，不在基础理论。
链上进度：Sui 跑通交易，以太坊把目标定在 2029
各条链的进度并不一致：
- Sui：Mysten 报告完成 Sui 首个原生量子安全 devnet 交易，新增 ML-DSA-65 账户签名；主网支持目标为 2027 年一季度，取决于审计与测试网反馈（The Defiant，10 月 13 日）；
- 以太坊 L1：官方对执行、共识与数据层的全链路量子抗性目标是 2029 年 12 月，以太坊基金会自己也称这一时间表"激进"；
- Starknet：正在考虑转型为独立 L1，并把完全量子抗性目标设在 2027 年；
- zkSync：发布 Airbender Prime 证明器，宣称在单张 RTX PRO 6000 Blackwell GPU 上，连续 7,200 个以太坊主网区块中 99% 的证明时间在 10 秒以内——达到基金会定义的"实时证明"标准（哈希系 STARK，GKR 求和校验 + WHIR + BLAKE2s；L1 证明用 Keccak-256 承诺替代 BN254 配对）。
- 硬件与成本画像也开始出现：该卡额定 600W、市价约 1.6 万美元；基金会的目标框架包括证明小于 300 KiB、长期 128 位安全、自建算力资本开支约 10 万美元、功耗低于 10 千瓦。
需要说明的是：zkSync 的功耗与证明尺寸等全系统数据仍等待独立测量；而 ECDSA 账户签名、BLS 验证者签名和 KZG 数据承诺属于另外的协议层工作，证明器的进步不等于整条链已经量子安全。
各链目标对比
把各家公开的时间表排在一起，路线差异一目了然：
| 网络 | 量子抗性目标 | 关键动作 |
|---|---|---|
| Sui | 2027 年 Q1 主网 | ML-DSA-65 账户签名，devnet 已跑通 |
| Starknet | 2027 年完全量子抗性 | 考虑转型为独立 L1 |
| 以太坊 L1 | 2029 年 12 月 | 执行、共识、数据全链路（基金会称目标"激进"） |
| Bitcoin | 尚无共识方案 | Coinbase 推动 1-of-2 过渡结构与治理讨论 |
| zkSync（L2） | 实时证明 + 哈希系 STARK | Airbender Prime 证明器，独立于共识层 |
不难看出：新公链可以"从设计上就换"，而比特币与以太坊这类老网络必须背着历史包袱迁移——这也是为什么迁移时间表相差最大达数年。
为什么迁移比想象中难
把各家进展放在一起，可以看出五个"硬骨头"：
- 历史包袱：比特币的地址与签名格式沿用多年，任何改动都涉及共识层与生态层；
- 休眠币治理：谁有权处置长期不动或被遗忘的币？这是治理问题，不只是技术问题；
- 兼容性矩阵：钱包、托管机构、MPC、多签、硬件钱包都要同步支持；
- 性能约束：后量子签名更大，比特币区块空间有限，需要精巧的方案设计；
- 多链与桥：跨链桥、L2 与数据可用性层的进度不同步，任何一环滞后都会拉长整体迁移周期。
对持币者与建设者的行动项
- 理解资金暴露条件：量子攻击针对的是已暴露的公钥。保持地址复用最小化、避免旧地址长期留有大额资产，是当下就能做的防御；
- 关注迁移方案而非口号：看到"量子抗性"宣传时，问清楚它覆盖哪一层——账户签名？证明系统？共识？还是只是营销；
- 关注治理：休眠币、救援机制、硬分叉路径都将在未来几年成为治理议题，其结果会直接影响所有持币者；
- 不要被时间表误导：2027（Sui/Starknet）、2029（以太坊 L1）都是工程目标而非承诺；比特币的迁移甚至还没有形成共识方案。Q-Day 的时间无法预测——这正是"现在就开始"的原因；
- 建设者的优先级：如果你的产品持有用户私钥或代理签名（钱包、托管、MPC 服务），后量子迁移应该现在进入技术路线图：跟踪 ML-DSA/ML-KEM 的落地进展、评估签名尺寸对交易成本的影响、为地址与密钥的批量迁移设计工具。在下一个大版本里预留升级路径，比在 Q-Day 之前的紧急改造便宜得多。
用一句话总结 2026 年的状态：后量子迁移已经从论文走进工程排期，签名、证明、共识三条线同时开工。它不会明天就发生，但它已经不可能再被忽略。
对普通用户而言，这轮迁移最终大概率会像当年 TLS 证书从 RSA 换到 ECC 一样，在不知不觉中完成——但前提是行业现在就把工程做起来。
Q-Day 到底还有多远
一个必须先澄清的问题：没有人能预测 Q-Day 的时间。
- 威胁的定义是"密码学相关量子计算机（CRQC）"——即真正能从公钥推导私钥的机器。目前没有公开证据表明这种能力已经存在；
- 量子安全的迁移周期以年为单位（Coinbase 甚至用了"可能需要数年"来形容单纯的共识变更），所以行业的困境不是"明天就来"，而是一旦宣布就在倒计时；
- 对数据而言，还存在"先保存、后解密（harvest now, decrypt later）"的威胁模式：今天加密传输的数据可能被存下来，等量子成熟后再解密。而链上数据（包括已暴露的公钥）都是公开的，等于已经在"保存中"状态。
因此，2026 年真正发生的变化不是"量子计算机出现了"，而是主要参与者开始把迁移当作工程排期来执行。
常见问题（FAQ）
说明：以下为面向普通持币者的常见问题，不构成安全或投资建议。
Q：我的币现在危险吗？
A：风险与"公钥是否已暴露"相关。已发生过花费的地址、公开过公钥的地址风险更高；从未发起过交易的地址相对较低，但并非零风险。建议减少地址复用、避免旧地址长期留大额资产，并关注钱包厂商的迁移工具。
Q：换个"量子安全钱包"是不是就解决了？
A：不够。钱包只是最后一环，链的上层需要支持后量子签名（共识变更），生态工具（浏览器、托管、多签、MPC）也要跟上。目前只有部分链推出了原生方案；选择前先确认目标链的路线图。
Q：后量子签名会不会让交易变大、变贵？
A：会。后量子签名与公钥普遍更大，这也是 Coinbase 强调"要适配比特币有限区块空间"、以太坊基金会设定证明尺寸目标的原因。长期看，需要靠算法优化（如格基方案）与硬件加速来平衡。
Q：现在还来得及吗？
A：窗口还存在。但迁移的代价会随着时间变高：越晚开始，链上遗留的暴露公钥越多，需要保护的"历史包袱"就越重。
相关阅读
原文链接
- Decrypt — 'It Can Take Years': Coinbase Presses for Bitcoin Quantum Migration to Start Now（2026-10-14）https://decrypt.co/380963/coinbase-bitcoin-quantum-migration-start-now
- a16z crypto — Entering the era of lattice SNARKs – with a faster, post-quantum Jolt（2026-09-09）https://a16zcrypto.com/posts/article/lattice-snarks-jolt-post-quantum-faster
- The Defiant — Mysten Reports Sui's First Native Quantum-Safe Devnet Transaction（2026-10-13）https://thedefiant.io/news/blockchains/mysten-reports-sui-s-first-native-quantum-safe-devnet-transaction
- CryptoSlate — Ethereum's quantum race takes a new turn as zkSync courts banks and Starknet weighs exit（2026-10-14）https://cryptoslate.com/ethereums-quantum-race-takes-a-new-turn-as-zksync-courts-banks-and-starknet-weighs-exit/
DefiPlot 翻译整理，转载请标明出处。
免责声明：本站资源仅用于学习目的，也不应被视为投资建议，读者在采取任何行动之前应自行研究并对自己的决定承担全部责任。
本文属于「Web3 开发」专题。查看专题全部文章 →
免责声明：本站资源仅用于学习目的，也不应被视为投资建议，读者在采取任何行动之前应自行研究并对自己的决定承担全部责任。