比特幣公鑰暴露比例達35.4%，量子運算威脅再引熱議

根據 Glassnode 的數據，比特幣公開暴露的供應量已達 712 萬枚 BTC，佔已發行代幣的 35.4%，這重新引發了關於未來量子電腦可能攻擊哪些持幣的討論。

Glassnode 在 11 月 10 日的 X 貼文中表示，目前超過三分之一的比特幣供應量擁有可見的公鑰，並發布了一張按地址類型和重複使用情況區分暴露程度的圖表。其交易所數據屬於地址重複使用類別，因此將兩個百分比相加會重複計算部分總量。

「將這些代幣轉移到新地址即可消除這種暴露，」該公司寫道，指的是因重複使用而暴露的代幣。

地址重複使用是比特幣暴露的主要原因

在其方法論中，Glassnode 將結構性暴露（輸出因設計而揭示公鑰）與操作性暴露（由錢包處理資金的方式引起）區分開來。

花費後重複使用地址可能會使新的或剩餘的代幣與已記錄在區塊鏈上的公鑰相關聯。該公司解釋說，早期的 pay-to-public-key 輸出和 Taproot 輸出會透過其設計暴露金鑰。

最新數據意味著重複使用佔暴露供應量的近 73%。根據貼文中的百分比計算，交易所相關暴露約佔重複使用類別的 45%。

早前 5 月 20 日的快照顯示，暴露的持幣量為 604 萬枚 BTC，佔已發行供應量的 30.2%。與該數據相比，新的總量增加了 108 萬枚 BTC，佔比上升了 5.2 個百分點。正如 crypto.news 先前報導，5 月的細分數據包括 192 萬枚結構性暴露的代幣。

Glassnode 的衡量標準涉及代幣未花費時可見的公鑰。它並未識別被盜的私鑰，也未預測量子攻擊何時可能成為現實。

中本聰的持幣面臨與暴力破解不同的問題

Foxy 在另一篇 X 貼文中主張，中本聰的估計持幣無法被駭客攻擊，因為私鑰有極其龐大的可能組合數量，且代幣分散在數千個地址中。

BIP 360 的作者描述了一種不同的攻擊方式：一台功能足夠強大的量子電腦使用 Shor 演算法，可以從公鑰推導出私鑰。這種攻擊者不需要猜測每一個可能的私鑰。

他們的提案特別指出，早期的 pay-to-public-key 輸出（包括中本聰時代的代幣）容易受到長時間暴露的影響。比特幣創造者的確切持幣量仍為估計值；Foxy 的截圖並未證實每個歸屬地址的所有權。

對於將公鑰隱藏在雜湊值後面的地址，BIP 360 指出，如果資金仍與之相關聯，花費時可能會揭示金鑰並造成暴露。其作者警告說，擴展公鑰和錢包描述符也可能洩露易受攻擊的金鑰資訊，這意味著鏈上地址歷史並不能描述所有可能導致公鑰洩露的途徑。

在 10 月一次關於錢包暴露和託管的採訪中，Fireblocks 研究副總裁 Michael Gutkin 表示，暴露取決於地址類型和交易歷史，而不僅僅是持有者是交易所還是個人。

他建議將新存款和交易找零引導至新地址，同時追蹤暴露的未花費輸出。Fireblocks 提供託管基礎設施，並正在開發相關的暴露管理工具。

比特幣提案將金鑰隱藏與簽名替換分開

由 Hunter Beast、Ethan Heilman 和 Isabel Foxen Duke 撰寫的 BIP 360 提議透過軟分叉實現 pay-to-Merkle-root 輸出。它移除了 Taproot 的金鑰路徑花費選項，同時保留了腳本樹功能。

該草案針對長時間暴露的金鑰攻擊。其作者表示，針對更快速攻擊的防護（例如在花費交易揭示金鑰後、確認前嘗試的攻擊）可能需要後量子簽名。

另一份草案 BIP 361 提議在後量子輸出類型可用後，從傳統簽名遷移。其時間表將在啟動後約三年限制向易受攻擊地址的支付，並在兩年後收緊傳統花費要求。

兩份草案均未確立目前對持有者具有約束力的遷移截止日期。早前關於強制遷移和凍結的辯論中，Blockstream 執行長 Adam Back 支持自願保護，反對強制凍結舊錢包。

美國標準已包含後量子簽名

在美國，國家標準與技術研究院（NIST）經過八年的努力，於 2024 年 8 月完成了首批三項後量子標準。

該套件包括用於建立共享金鑰的 ML-KEM，以及兩個數位簽名標準 ML-DSA 和 SLH-DSA。NIST 鼓勵系統管理員開始整合這些標準，因為完成過渡需要時間。

NIST 將 ML-DSA 描述為其主要數位簽名標準，並將 SLH-DSA 描述為基於不同數學原理的備用方案，在主要方法出現弱點時提供替代選擇。