量子還沒來，
信任先鬆動

量子電腦還很小，
但 Google 的論文讓問題更難忽視

量子電腦不是更快的傳統電腦，是完全不同的機器。它用的是 qubit，靠疊加與糾纏這些量子現象運作，需要接近絕對零度的低溫維持狀態。早在 1990 年代，Shor 演算法就證明：只要有夠多 qubit 的量子電腦，就能破解 RSA 這類非對稱密碼學。當時沒人知道怎麼造量子電腦，今天最大的也只有約 96 個邏輯 qubit，還破解不了任何東西。

真正讓人坐直身體的，是 Google 三月底的一篇研究。它指出：用來破解 RSA 的 Shor 演算法，也能破解 ECDSA。ECDSA 是 Bitcoin、Ethereum 簽署交易用的橢圓曲線簽章演算法。而且破解需要的 qubit，比過去以為的少很多。

有趣的是發表方式。Google 公布了結果，卻沒公布「怎麼做到的」。後來才知道是受到美國政府壓力，他們只能談判出一個折衷：用零知識證明證明結果為真，但不揭露方法。

這也回答了一個常見誤會：為什麼不直接用 AI 加上海量算力暴力破解？因為密碼學的安全靠的是數學。要破解 AES，就算動用全世界所有電腦和 AI、所有能源，也要好幾個宇宙的年齡。AI 不改變電腦怎麼運算，量子電腦才換了一套運算範式，破解的數學才會跟著變。

系統還沒被破，
信任卻可以先鬆動

很多人問：Q-Day 是哪一天？節目裡引用 Justin Drake 的估計，他認為 2032 年有大約 50% 機率出現能破解密碼學的量子電腦，這個數字一路從 10%、25% 升到 50%。Charles 強調這是討論與估計，不是承諾。沒人真的知道 Q-Day，甚至可能永遠不會到。

把舊問題和真問題擺在一起，差別就出來了。

節目用海嘯警報來比喻。海水正在從沙灘退去，地平線看起來怪怪的，但有一半的人還在吧台點調酒。不恐慌，但也別繼續曬太陽。

中心化系統能發一封信就動工，
區塊鏈沒有人能發這封信

對中心化系統來說，遷移雖然工程浩大，但至少有人坐在頂端拍板。銀行、電信、國防、IT，知道該做什麼，也有標準可以遵循，剩下的是把它做完。NIST 已經在 2024 年標準化了後量子演算法，並訂出時間表：2030 年所有關鍵應用都必須完成轉換，2035 年涵蓋長尾應用。

區塊鏈的密碼學其實不算複雜，設計區塊鏈的人都很懂怎麼換演算法。難的是社會共識。沒有一個中心化的單位可以宣布「我們 2027 年初開始遷移、用這個演算法、這個時間表，沒搬的幣就凍結」。越去中心化的鏈，越難談成共識，而 Bitcoin 正是最難的那一個。

要動，得讓一整排角色同時動。這也是為什麼 Charles 說，技術問題不難，難的是協調。

Charles 的判斷是：完整的社會共識大概很難達成。比較可能的是出現好幾條硬分叉，各自帶著不同的後量子設計。最後哪一條會被當成「真正的 Bitcoin」，是密碼學、行銷、政治和時機的混合題，不是純技術題。

標準、新地址、單向遷移，
還有那些永遠不會醒來的舊幣

解法本身已經存在，叫後量子密碼學（PQC）。NIST 在 2024 年標準化了幾種主要演算法，各有取捨。後量子簽章普遍更大、更難算、更難驗證，這正是談判卡關的地方。

選了簽章演算法，連鎖影響就來了。以 Bitcoin 為例，SPHINCS+ 這類簽章佔的空間是 ECDSA 的約 10 倍，一個區塊塞得下的簽章少 10 倍，每秒交易數會從本來就慢的約 7 筆掉到 1 筆以下，除非加大區塊。光是這一點，就會再掀起一輪老掉牙的區塊大小之爭。

遷移路徑大致是：推出一種新的後量子地址格式，開一個時間窗，要大家把舊的 UTXO 搬過去。為了製造誘因，遷移可以設計成只能單向：你能從舊地址搬到後量子地址，但不能再搬回來。

還有一個容易被忽略的差別。量子電腦能破解兩件事：一是身分認證（從公鑰反推私鑰，冒充你花掉你的幣），二是加密。對區塊鏈來說，只要在 Q-Day 之前搬完就沒事。但加密這條，攻擊者可以「現在先收割、之後再解密」。今天截走的加密流量，等量子電腦到手那天再回頭解開。對國防、銀行這些到處用加密的領域，等於現在就已經遲了。