比特币难免一战：“量子霸权”虚实与未来之争

在位于国贸的办公室里，马志博踱着步子，走来走去，神情亢奋。

作为天体物理学博士、前高盛银行金融衍生品投资专家，月余时间以来，他一直密切注视着大洋彼岸的动向。

早在一个多月前，美国科技巨头谷歌（Google）的一份研究报告曾短暂地出现在美国国家航空航天局（NASA）网站，后被火速撤下。10月23日，在英国《自然》杂志150周年纪念特刊上，这篇由77 位作者合作的重磅论文《使用可编程超导处理器达到的量子霸权》（Quantum supremacy using a programmable superconducting processor）得以发表，谷歌 “量子霸权”全貌尽显。

《自然》杂志150周年纪念特刊封面

“这事影响太大了。”论文抛出“量子霸权（Guantum Supremacy）” 的字眼，迅速引起轰动，博得广泛讨论。

在谷歌看来，这是量子领域中形同“Hello World”一般的里程碑式事件。谷歌CEO 桑达·皮猜（Sundar Pichai）在接受媒体采访时认为，这一成就可以和莱特兄弟1903年的首次飞行相媲美。

“官宣。美国实现了量子霸权！”美国总统的女儿、高级顾问伊万卡•特朗普（Ivanka Trump）在他的Instagram上写道。由此可见一斑。

伊万卡祝贺谷歌实现“量子霸权”

据悉，为实现这一重大科技成就，谷歌已埋头苦干了13年。

而“量子霸权”的逼近，比特币是否被攻克便是悬在其头上的一把达摩克利斯之剑。

“其实，比特币问世之前，量子计算的威胁之说就已经存在。”NBSChain创始人李万胜认为，首先，目前量子计算的实际威胁尚不存在；其次，“量子霸权”是解决特定领域计算问题的“霸权”，一定不是所有问题的解决方案。

与此同时，以太坊、量子链等众多项目均在密切关注着抗量子计算密码的研究与发展，这其中不乏实践者。量子链创始人帅初在接受核财经APP采访时认为，从谷歌“量子霸权”的出发点来说，它并不能也不打算解决任何实际的计算问题，所以，我认为其现实意义比较有限，离量子计算的实际应用还比较遥远。

一番热炒之后，到底是有备无患，还是杞人忧天，终成了既悬而未决又耗费心力的谜题。

“量子霸权”虚实

在《使用可编程超导处理器达到的量子霸权》一文中，谷歌宣称成功演示“量子霸权”。其中，它利用其实验性量子计算机，花费约200秒即完成了传统超级计算机1万年才能完成的计算量。

据了解，谷歌使用的量子计算机有一个名为“Sycamore”的芯片。从论文的芯片配图可知，Sycamore为紫色，一边刻着“Google AI Quantum”，另一边刻着“Sycamore”和一个树形图案。

资料显示，该处理器由54个Transmon量子比特的二维阵列组成。由于1个量子比特无法有效工作，该实验中只用了53个量子比特。

然而，量子计算机并非谷歌首创。

早在20世纪80年代初期，Benioff就提出了量子计算的思想，他设计的一台可执行的、有经典类比的量子Turing机，被认为是量子计算机的雏形之一。

“传统计算机的信息单元是比特，基于数字电路的‘高’和‘低’电位两个状态进行运算。这两种状态，用‘0’与‘1’表示。”马志博说，“在量子计算机中，基本信息单位是量子比特（Qubit），它能以两个逻辑态的叠加态形式存在，即是‘0’和‘1’的相应量子态叠加。与二进制的传统计算机相比，运算次数大幅减少，所需时间相应缩短。”

他表示，量子计算机拥有强大的量子信息处理能力，但目前尚不清楚量子计算机的全部能力。

论文显示，Sycamore所进行的运算，是要证明一个随机数字生成器符合“随机”的标准。即使是现存最先进的传统超级计算机“Summit”，对量子电路的一个实例取样100万次也要耗时1万年，而Sycamore仅用200秒便完成了运算。

“仅从200秒完成超级计算机1万年才能完成的任务来讲，Sycamore打破了摩尔定律。”马志博说。而摩尔定律是指，传统计算机的芯片算力每18个月性能翻倍。由此可见，Sycamore的这种翻番似乎完成了指数级跨越。

不过，对于谷歌宣称实现“量子霸权”，业内各方看法不一。

作为谷歌的竞争对手，IBM并不买账，很快便泼来冷水。他们认为，按照“量子霸权”最严格的定义，这一目标尚未实现。

IBM的研究人员指出，谷歌所谓“最先进的超级计算机大约需要1万年”完成的任务，在一个传统计算机系统上的理想模拟，只需要2.5天，而且保真度要高得多。这实际上还是对一个保守的、最坏情况的估计。此外，谷歌在进行比较时，未能充分考虑“大量磁盘存储”。

中国科学院拓扑量子计算卓越创新中心主任张富春此前在接受新华社记者采访时曾打比方说，这类演示就好像人工智能领域的“阿尔法围棋”，它可以击败人类最厉害的围棋选手，但并不具有通用性。同时，有观点认为，谁率先开发出量子计算机，谁就拥有了“核武器”。

从技术层面来说，当下具有研判能力的团队并不多。因此，谷歌宣称的“量子霸权”之名是否坐实，也没有一个公认的结论。

当下安全无忧

密码学领域，向来是加密一方与解密一方之间的战斗。

“区块链将许多先进的密码学理论投入到应用之中。”正因为如此，在币圈人士看来，比特币作为区块链技术的首个应用场景，亦在劫难逃。

此次“量子霸权”一出，一石激起千层浪。有人认为，量子计算机与区块链是天然的“矛和盾”。

马志博表示，量子计算可能会冲击比特币的工作量证明（PoW）和支付过程。

他进一步指出，比特币的加密算法有两种，即用于数字签名的非对称加密算法（椭圆曲线加密算法ECDSA）和作为哈希函数的SHA-256。前者主要用于生成公私钥，后者主要用于从公钥生成钱包地址以及挖矿过程的PoW。

“从理论上来讲，从理论上来讲，量子计算机可以用Shor算法来完成对ECDSA的破解，用Grover算法破解SHA-256。”马志博认为，这种理论上的可能性是否在实践中真的发生仍然有待证明。

而帅初研究发现，目前只有早期版本的 P2PK 类型的地址会直接暴露公钥，约有 177 万比特币存在这种地址下；另外，如果重复使用同一地址收发比特币，也有可能暴露公钥，这一部分比特币约有500万；其余所有比特币都存放在公钥未被暴露的地址中。

“对于那些已经暴露公钥的地址，用户只需要把币转移到一个未被暴露公钥的地址就可以完全避免被破解的可能性。”他说。

更让人感到心安的是，尽管在理论上量子计算会对公钥密码系统产生影响，甚至会波及到比特币等区块链系统的安全，但这一威胁似乎离我们还很遥远。帅初就表示，有研究表明，在达到170万量子比特情况下，比特币有可能在7天内被攻破。另据外媒报道，一台具有4000个以上量子比特的量子计算机就能瓦解区块链。但我们知道，谷歌这次公布的成果仅为54个量子比特。而且，随着量子比特数量的增加，技术与成本仍是待解难题。

换句话说，要达到理论上可以攻破比特币网络的量子比特数量，道阻且长。

与此同时，Bitcoin Core前开发人员彼得·托德（Peter Todd）亦发文表示，谷歌的量子突破是针对量子计算的原始类型，而这种类型远没有达到打破密码学的水平。我们甚至都不知道是否有可能扩展量子计算机，而且，添加量子比特很有可能会带来成倍的成本增长。

此前，被誉为现代密码学之父的图灵奖得主Whitfield Diffie还在博鳌亚洲论坛上表示，量子计算只会威胁到密码学中非常窄、但非常重要的领域，使得上世纪70年代建立起来的公钥加密体系变得脆弱。但密码学中的许多技术，包括区块链用到的哈希编码在量子计算机面前并不脆弱。

撇开量子“威胁”论，虽然我们不能消解量子计算效应悖论，但可以促进其正面效应。

币安便是乐见其成者。其技术团队就表示，如果我们用辩证的眼光看人类科技发展，就如同相对论和量子理论对传统力学的影响一样，更高的计算技术一定会挑战已有的算法和技术，这在密码学历史上是屡见不鲜的，亦如历史发生过的那样，一定会有新的技术与方案出现，来满足加密领域的需要。

还需要指出的是，区块链技术体系中的共识算法自PoW之后，呈现出百花齐放的发展态势，目前已多达数十种。

在这些共识算法中，有一些还是量子计算的忠实拥趸。得克萨斯大学奥斯汀分校的量子理论家斯科特·亚伦森曾表示，量子计算可以减少PoS怀疑论者的怀疑，因为“量子霸权”实验可以产生可证明的随机数。

趋势倒逼“敦行”

“时代浪潮总是一浪接着一浪，量子计算机时代必然会到来。”马志博说。

据业内专家推测，在未来30-50年后，量子计算机可能会攻破比特币现在使用的SHA-256算法。但他强调在那之前，量子计算很可能更早就会冲击比特币的工作量证明（PoW）进而影响整个网络的支付过程。

其言外之意，量子计算机与比特币迟早必有一战。诚如密码朋克台湾发起人陈伯韦所说，距离遥远并不等于无法实现。

在“威胁论”的支持者看来，如果在某个时间点，有人率先获得攻破SHA-256算法的量子计算能力，将会给比特币带来毁灭性打击。

众所周知，在比特币全球网络中，矿机利用芯片的计算能力，不断进行哈希运算，找出符合特定要求的随机数，以赢得在公开账簿上的记账权，从而获得系统奖励的比特币。

“假设有人真的在一个时间点拥有了这个‘上帝视角’，快速‘攫取’财富就会变成一个对量子计算投入、产出的简单比较。更进一步来说，一旦‘量子霸权’的一方拥有整个网络51%以上的算力，区块记账将发生问题，相比于其余挖矿者其更会以“白菜价”得到新奖励的大部分比特币，比特币网络的信心和价值就会大受打击。”马志博说。

这听起来似乎就像“神仙打架，凡人遭殃”的桥段。

“从哲学的角度看待科学技术的未来发展，世界上有矛就有盾。”李万胜认为，谷歌取得量子计算优势的消息对区块链来说或许是一件好事。从当前来看，量子计算机还远没有落地，但只要存在这种可能性，我们就要认真对待。

他表示，有加密算法就有破解加密算法的方案，然后就会再有更加合适的加密算法，世界总是在矛盾的对立过程中不断进步和发展的。

而应对量子计算威胁的最好办法便是做好准备，即开发抗量子技术。经核财经APP了解，许多密码学大咖已为抗量子计算付诸行动了。

今年9月，在赛迪智库电子信息研究所组织编写的《量子计算发展白皮书（2019年）》中介绍称，针对可能出现的量子计算攻击，目前抵御途径主要有5类，即基于编码的密码、基于哈希函数的密码、多变元密码、格密码和同源密码。

“加密数字货币完全可以在量子计算威胁到来之前升级到对应算法，从而完全避免安全性问题。”帅初认为，基于格的抗量子密码已在圈内广为流传。

还有媒体挖出，在2010年的时候，对于如何应对量子计算威胁这一问题，中本聪已经给出了答案。当时就Bitcointalk用户“llama”关于量子计算机的问题，中本聪回答复道，“确实如果突然被破解，签名会被破坏；但缓慢转变的话，系统还是有时间转换到更强的函数上，并对你所有的资产重新签名。”

这在马志博看来，当灾难性破解方式出现的时候，比特币随时可以用分叉解决问题。

“目前，比特币使用的SHA-256算法，它可以升级到SHA-512、1024、2048……有资料显示，甚至可以升级到上百万位。”他认为，这是抵御量子计算最常规的思路。此外，需要指出的是，当增加到一定长度后，虽然还可以增长，但存储就会变得非常麻烦。这时候，各种常见的电子计算机加密可能都不再安全，用量子加密来防守量子攻击才是唯一出路。

“这大概就是‘魔高一尺，道高一丈’吧。”马志博若有所思地对核财经APP说。

数日来，从一篇论文引发的焦虑与思考仍在持续。他形象地把量子计算和比特币之间的博弈关系称之为“Uncharted Waters（没有测量过的水域）”。“水位从来没有涨到过这么高，到底哪里会被淹掉仍是个谜。”马志博说。