全景研究報告：加密世界應對量子攻擊，各家都準備好嗎？

原創 | Odaily 星球日報（@OdailyChina）

作者｜jk

讀前須知：先弄清五件事

本報告不預設讀者了解密碼學或量子物理的知識；如果你只關心結論，可以直接跳到**"核心發現"**；在進入正文之前，我們將先用日常的類比把五個關鍵概念講清楚

一、加密貨幣裡的"鑰匙"是怎麼回事

你的比特幣或以太幣並不是存在某個文件裡，而是登記在區塊鏈上的某個地址名下。要花掉這筆錢，你必須出示一個"數字簽名"，向全網證明你就是這個地址的主人。生成簽名要用到私鑰，私鑰只有你自己知道；驗證簽名則用公鑰，公鑰是公開的，任何人都能拿來核對。

可以把它想成銀行留存的簽名樣本：銀行手裡有你的簽名樣本（公鑰），誰來取錢，銀行拿樣本核對筆跡（驗證簽名），但任何人看著樣本都無法模仿出一模一樣的親筆簽名（推出私鑰）。這套機制今天之所以可靠，是因為從公鑰倒推出私鑰，在數學上被認為難到無法完成。量子計算機的威脅，正是在於它可能讓這件"不可能的事"變得可行。

二、量子計算機改變了什麼

普通計算機破解密碼，像一個人拿著一大串鑰匙一把一把地試，試得再快也要天文數字級的時間。量子計算機並不是試得更快，而是換了一種解題方式：對於某一類特定的數學問題，1994 年提出的 Shor 算法可以把耗時從"宇宙年齡量級"壓縮到"幾分鐘到幾小時"。

需要強調的是，量子計算機並非萬能。對絕大多數日常計算任務，它沒有優勢。但不幸的是，它擅長的那一類問題，恰好正是今天互聯網和區塊鏈所依賴的公鑰密碼（包括 RSA 和椭圆曲线）所建立的基礎。與此相對，哈希函數（可以理解為一台把任何輸入搅成固定長度指紋的單向絞肉機）只會被量子算法小幅加速，因此依靠哈希構建的安全機制相對穩固。這也解釋了為什麼多數後量子方案都在向"基於哈希"的方向靠攏。

三、為什麼說"不必恐慌，但不能不管"

眼下的量子計算機還遠遠不能威脅比特幣。破解一把比特幣密鑰所需的是大約 50 萬個物理量子比特，而目前最先進的公開芯片只有一百來個，差距是幾千倍。所以今天不會有人用量子計算機偷走你的幣。

但是時間表上有兩個讓人不安的因素。**第一，遷移本身極其耗時：把整條區塊鏈換成新的簽名體系，需要寫代碼、審計、測試、協調全網升級，再讓數以億計的用戶把資產搬過去，業內普遍認為需要五到十年。第二，估算數字在迅速下降：一年前還要數百萬個量子比特（可以簡單理解為量子計算機需要破解區塊鏈所需的算力），今年已經降到不足 50 萬。**這就像修建一座大橋需要十年，而洪水何時到來無法預測，合理的做法是現在就動工，而不是等水漲起來。

四、為什麼有些幣更危險

一個地址裡的幣是否危險，取決於公鑰有沒有已經被公開。可以把它想成一個封好的信封：很多地址存放的不是公鑰本身，而是公鑰的哈希指紋，等於把公鑰封在信封裡，只有當你花這筆錢的時候才會拆開信封。只要信封沒拆，量子計算機就無從下手。

問題在於，有一部分地址的信封早已拆開了。**比特幣早期（包括中本聰時代）的一類地址直接把公鑰寫在鏈上，沒有信封；還有大量用戶重複使用同一個地址，**第一次花錢時信封被拆開，之後剩餘的幣仍留在同一個地址裡，公鑰就一直公開著。這些就是報告中反復提到的"暴露"資產，約占比特幣總量的三分之一。另外，即使是封著的信封，在你發起轉帳、交易尚未被確認的短暫窗口裡，公鑰也會被廣播出來，這是一類轉瞬即逝但並非不可能的攻擊機會。

五、所謂"後量子"，到底在解決什麼

解決思路並不複雜：換一把量子計算機也撬不開的新鎖。學界已經提出幾類候選，如基於哈希的簽名、基於格的簽名，並且由美國 NIST 在 2024 年完成了標準化。真正困難的是接下來的三件事：新鎖更大更重，簽名體積是現在的 10 到 40 倍，直接拖慢交易速度並推高成本；換鎖需要全網同意，而去中心化網絡恰恰最難統一意見；以及那些主人已經失聯、永遠不會來換鎖的幣，究竟是凍結、銷毀還是原樣放著，沒有任何方案能讓所有人都滿意。

常見的幾個誤解

誤解之一是"量子計算機一旦出現，所有加密貨幣都會歸零"。事實上，被威脅的是簽名這一環節，網絡可以通過升級簽名方案來應對，各條鏈的進展不同，風險並不均等。

誤解之二是"量子計算機會讓挖礦變得毫無意義"。挖礦依賴哈希計算，量子算法只帶來有限的加速，不會推翻工作量證明。

誤解之三是"這是科幻，與我無關"。目前量子計算機確實不能破解比特幣，但監管部門、托管機構和 ETF 發行人已經把它列入正式的風險清單，遷移的時間窗口也已被寫入各國的政策。

核心發現

加密行業對於量子攻擊的準備程度較一年前明顯提高，但能夠在主網上實際使用的後量子保護仍然非常少，整體而言尚未做好準備。

區塊鏈依靠私鑰簽名來證明資產歸屬，簽名的安全性建立在椭圆曲线離散對數這一數學難題之上 。經典計算機無法在可行時間內求解該問題，而一台規模足夠大、具備糾錯能力的量子計算機，借助 Shor 算法，**理論上可以由公開的公鑰反推出私鑰，進而轉移他人的資產。**後量子密碼，指的就是即便面對量子計算機仍被認為安全的簽名與加密方案。

"椭圆曲线離散對數"聽上去很抽象，可以用一個生活化的比喻來理解。設想在一張形狀特殊的網格上有一個公開的起點，按照固定規則從起點出發連續"跳躍"若干次，最後落在某個位置。你的私鑰就是跳躍的次數，一個極其巨大的隨機數；你的公鑰就是最終落點的位置，會被公開。已知跳躍次數，計算落點很容易，幾百步運算就能完成；反過來，只看到落點，想知道當初跳了多少次，除了把所有可能的次數一個個試過去，目前沒有更好的辦法。比特幣和以太坊使用的曲線，可能的次數多達約 2 的 256 次方，是一個天文數字，即使動用全球所有的計算機，也無法在人類甚至宇宙的壽命內試完。這正是私鑰無法被他人由公鑰推出的原因。

量子計算機之所以構成威脅，是因為它不必一個個去試。Shor 算法利用量子疊加的特性，同時考察大量可能的次數，並從中提取出跳躍過程隱含的規律，把原本需要天文數字步驟的搜索，壓縮成規模可控的計算量。換句話說，經典計算機是在大海裡逐滴撈針，而量子計算機找到的是針所在的規律。

具體到一次真實的攻擊，過程大致分為三步：第一步，攻擊者從區塊鏈上讀取某個地址已經公開的公鑰；第二步，用足夠大的量子計算機算出對應的私鑰；第三步，用這把私鑰偽造出一份合法簽名，把該地址裡的幣轉到自己名下。網絡無法區分這份簽名是真是假，因為它在數學上與主人親手簽出的完全一樣。這也是為什麼後文反復強調"公鑰是否已經公開"：公鑰沒有公開，攻擊的第一步就無從開始。

威脅何時來臨？

過去一年間，學界對攻破加密貨幣所需量子資源的估算大幅下降。Google Quantum AI 在 2026 年 3 月發布的白皮書（合著者包括斯坦福大學的 Dan Boneh 和以太坊基金會的 Justin Drake）給出了針對 secp256k1 曲線的兩套攻擊電路，分別需要不超過 1,200 和 1,450 個邏輯量子比特。邏輯量子比特指經過糾錯、可以可靠計算的量子比特，折算為實際硬體，在錯誤率約為千分之一的超導路線上，**所需物理量子比特不足 50 萬個，完整運行約需 18 至 23 分鐘。由於約一半的計算可以提前完成，一旦某個公鑰在交易廣播時被披露，攻擊者只需約 9 分鐘即可推出私鑰。**CoinDesk 在報導中提到，這意味著攻擊者有大約 41%的概率在原交易被確認之前改走資金。福布斯認為，這一結果較此前動輒數百萬物理量子比特的估算縮減了約 20 倍。

量子比特可以簡單理解為量子計算機需要破解區塊鏈所需的算力，相應來說，Q-day 就是指足夠強大的量子計算機出現的那一天。

Craig Gidney 在 2025 年 5 月的預印本中指出，破解 RSA-2048 所需的含噪量子比特已降至不足 100 萬個，而他與 Ekerå 在 2019 年的估算為 2,000 萬個。加州理工學院、Oratomic 和加州大學伯克利分校在白皮書發布當日提交的另一份預印本則聲稱，使用中性原子路線，1 萬至 2.6 萬個量子比特便可能足夠，但這一結論來自模擬，尚無硬體驗證。此外，Google 並未公開攻擊電路本身，只用零知識證明來說明電路有效，這是該領域首次採用的"負責任披露"方式。

Google 論文截圖，來源：arxiv

然而，不必恐慌的原因是，硬體現狀與上述估算之間仍有很大差距。Google 的 Willow 晶片只有 105 個量子比特，公開演示中成功破解的最大椭圆曲线密鑰只有 15 位，而比特幣使用的是 256 位密鑰。Project Eleven 為此頒發的 Q-Day 獎也存在爭議，比特幣開發者認為該次輸出與隨機猜測沒有顯著區別。

關於何時會出現具備實際破解能力的機器，專家判斷大體集中在 2030 年代初至中期，並且 2030 年之前也有風險。Coinbase 顧問委員會表示，無法確信到 NIST 設定的 2035 年遷移期限時仍不會出現此類機器。Charles Hoskinson 認為 2033 年前出現商用級量子計算機的概率超過一半，Nic Carter 則估計比特幣到 2035 年易受攻擊的概率為 70%至 80%。Google 已將自身的後量子遷移時間表設定在 2029 年。

風險的性質與暴露規模

對於公開帳本，主要風險是簽名偽造，即攻擊者在公鑰已暴露的前提下推出私鑰並盜取資產，而不是業界常說的"先收集、後解密"。公鑰已經出現在鏈上的地址，其資產在大型量子計算機出現之日便處於"靜態暴露"狀態；僅以哈希值作為地址、且從未花費過的資產，則只在交易廣播到被確認的短暫窗口內暴露。"先收集、後解密"的威脅主要落在隱私幣上，因為今天記錄下來的交易，未來可能被回溯性地去匿名化。哈希函數本身並非薄弱環節：SHA-256 和 Keccak 在量子算法面前僅損失平方根級別的安全強度，工作量證明挖礦和基於哈希的承諾總體上仍然安全，這也是多數後量子方案傾向於基於哈希的原因。

暴露的資產規模相當可觀。Coinbase 顧問委員會估計，**約 690 萬枚 BTC（約占總供應量的 32%）的公鑰已暴露在鏈上，其中約 170 萬枚位於約 2 萬個早期的 P2PK 地址，約 500 萬枚源於地址重複使用，包括部分大型交易所的冷錢包。**BIP-361 的作者給出的比例略高，稱截至 2026 年 3 月 1 日超過 34%。相比之下，Ripple 稱只有 0.03%的 XRP 存放於公鑰已暴露的休眠賬戶。各方數字的差異主要源於對 P2PK、地址重用和 Taproot 輸出的統計口徑不同。

各條鏈的進展與分化

就實際進展而言，各條鏈已明顯分化。QRL 自 2018 年起即以原生後量子簽名運行，Algorand 於 2026 年 8 月上線原生 Falcon 賬戶，NEAR 於 2026 年 7 月上線 ML-DSA 賬戶，Starknet 的 Falcon 賬戶已在主網運行但尚未審計，Tezos 的相關代碼已隨升級進入主網，但默認關閉。以太坊（約 2029 年）、XRPL（2028 年）、Sui（2027 年第一季度）、Stellar 和 Hedera（2027 年前後）已有帶日期的路線圖，Solana 選定了 Falcon 但未設時間表，Cosmos SDK 已發布支持，但需由各鏈自行啟用。比特幣的兩項相關提案仍處於草案階段，缺乏激活路徑；Cardano 仍在研究階段；Monero、Avalanche 和 BNB Chain 則沒有正式計劃。

賬戶抽象是其中最重要的結構性差異。賬戶可以自行更換簽名方案、無需整條鏈統一分叉的網絡（Starknet、Algorand、NEAR、Sui、Aptos，以及 EIP-8141 落地後的以太坊），可以讓用戶逐個遷移；比特幣的賬戶模型不具備這種靈活性，遷移只能依靠新的地址類型和多年的自願轉移。

難點在於治理：怎麼確保所有人行動一致？

密碼學方案本身已有標準可循，真正懸而未決的是治理與工程問題。

首先是**如何協調軟分叉或硬分叉，使整個網絡同步升級。其次是對始終沒有遷移的資產如何處置，包括約 170 萬枚中本聰時代的 BTC，究竟是凍結、撤銷還是維持原狀，目前只有少數鏈作出了明確表態。**第三是新簽名比現有的 64 字節簽名大 10 至 40 倍，將直接拖累交易吞吐並推高成本。Ripple 指出，Dilithium 簽名約為現有簽名的 40 倍；Coinbase 顧問委員會警告，切換後區塊大小最多可能膨脹 38 倍；Hoskinson 則提醒，Cardano 過早切換可能使網絡速度下降約 10 倍。

標準與監管

傳統金融與政府部門已經給出明確的遷移時間表，加密行業各條鏈正是在這一背景下被推動著行動。其中最關鍵的是美國 NIST 的後量子標準，它既劃定了區塊鏈可以選用的簽名方案，也規定了舊算法退場的期限。

內部的黃金標準：NIST 標準

NIST 是美國國家標準與技術研究院，隸屬美國商務部，負責制定技術標準。它在密碼學領域的標準（如 AES、SHA 哈希）被全球廣泛採用。2024 年 8 月，它發布了首批後量子密碼標準，所以多數區塊鏈的後量子方案都以它為準。

NIST 于 2024 年 8 月 13 日正式發布了三項後量子標準，第四項仍在制定之中。FIPS 203（ML-KEM）是一種密鑰封裝機制，用於加密通信，並非簽名方案。FIPS 204（ML-DSA，前身為 Dilithium）是基於格的簽名，簽名體積約為 2.4 至 4.6 KB，是目前最常見的默認選擇。FIPS 205（SLH-DSA，前身為 SPHINCS+）是基於哈希的簽名，安全假設最為保守，但簽名體積達到約 7.8 至 50 KB。尚未定稿的 FIPS 206（FN-DSA，前身為 Falcon）同樣基於格，Falcon-512 的簽名僅約 0.7 KB，是三者中最緊湊的，Hedera 在 2026 年 4 月的分析中預計其將在 2027 年初前後完成。作為參照，比特幣的 Schnorr 簽名和 Solana 的 Ed25519 簽名都只有 64 字節。

NIST 發布的標準，來源：NIST 官網

NIST 的過渡指南規定，易受量子攻擊的公鑰算法將在 2030 年棄用，並在 2035 年禁用。業內常說的"2035 年"期限即出自於此。

機構披露

機構層面已經開始把量子風險寫入正式文件。貝萊德在 2025 年 5 月 9 日擴充了 iShares 比特幣信託（IBIT）招股說明書中的量子風險因素，其以太坊產品也有類似措辭，警告量子計算可能使比特幣的密碼學失效。VanEck 在 2026 年的 BNB ETF 招股說明書中，同樣對 BNB Smart Chain 作出了類似警示。這類披露屬於標準的風險提示，並非對未來的預測，但它們說明量子準備度已成為托管機構和 ETF 發行人盡職調查的一部分。

各家準備

Coinbase：用獨立顧問委員會給全行業"定調"

Coinbase 是 2026 年將量子議題推入主流討論的最重要的機構之一。其做法是邀請外部專家組成獨立委員會，公開發布分析，並要求各條鏈儘早表態。

Coinbase 獨立量子計算與區塊鏈顧問委員會成立於 2026 年 1 月，首份論文於 2026 年 4 月 21 日發布，篇幅約 50 頁。成員包括 Scott Aaronson、Dan Boneh、Justin Drake、Sreeram Kannan、Yehuda Lindell 和 Dahlia Malkhi。其中 Boneh 與 Drake 同時也是前述 Google 白皮書的合著者，因此兩份文件的判斷相互呼應。

論文的基本判斷是，容錯量子計算機最終會被造出，委員會對此表示高度确信，但同時強調目前並不存在這樣的機器。至於 2035 年之前是否會出現，委員會認為無法保證不會，因此主張現在就應著手準備，而不是等到緊迫信號出現之後。在暴露規模上，論文估計約 690 萬枚 BTC 的公鑰已經暴露；6 月發布的後續報告把這一數字做了拆分，約 170 萬枚位於約 2 萬個舊式 P2PK 地址，約 500 萬枚源於地址重複使用，主要屬於活躍用戶，其中包括大型交易所的冷錢包。論文還警告，切換至後量子簽名可能使區塊大小膨脹最多 38 倍。與 Google 白皮書不同的是，委員會對交易確認前的搶先攻擊相對不那麼擔心，而 Google 給出的 9 分鐘攻擊窗口則使這一類攻擊成為現實的關注點。

對各條鏈的核心建議是儘早作出決定並公開宣布：對於始終沒有遷移至後量子簽名的資產，究竟是凍結、撤銷還是維持原狀。委員會本身不替比特幣等網絡選邊，但認為遲遲不表態本身就是風險。

這份文件的意義在於，Coinbase 作為上市公司和最大的托管機構之一，借此既履行了產品責任，也向行業提供了可供引用的第三方分析，使量子準備成為交易所、托管機構和 ETF 發行人必須回答的問題。需要指出的是，該委員會由 Coinbase 出資設立，其意見分量很重，但讀者不宜把它視為完全中立的裁決。

Project Eleven：業內量子安全的龍頭

Project Eleven 是目前這一領域最活躍的安全廠商，既做研究和原型，也承擔著把話題推向公眾視野的角色。它的收入和影響力在很大程度上依賴於量子威脅會成為現實這一判斷。

2026 年 1 月，該公司完成了 2,000 萬美元的 A 輪融資。它設立的 Q-Day 獎金為 1 枚 BTC，授予第一個用量子計算機破解橢圓曲線密鑰的人。2026 年 4 月 24 日，獎金頒給了 Giancarlo Lelli，他在 IBM 的雲量子硬體上破解了一個 15 位的橢圓曲線密鑰。這一結果有兩點需要看清：一是真實的比特幣密鑰長達 256 位，15 位的演示距離真正的威脅仍然很遠；二是比特幣開發者認為該次輸出與隨機猜測沒有明顯區別，相關公告下也被加上了社區註釋。

Project Eleven 預估的有風險的 BTC，來源：Project Eleven

Project Eleven 還與 Ripple 和 Solana 合作開展威脅評估和原型開發，例如 Ripple 的 Denis Angell 便與其一起，在 XRPL 的 AlphaNet 測試網上完成了 ML-DSA 的原型。同時，公司提供了約 710 萬枚 BTC 公鑰已暴露的估算。

綜合來看，Project Eleven 提供了可公開討論的里程碑和可供各基金會測試的原型代碼；同時，於商業利益方向，公司也傾向於強調緊迫性。

各條公鏈的準備與核心團隊

各條鏈的準備程度差距很大。以太坊的項目組織得最為完整，比特幣爭論最多、落地最少，Solana 已選定算法卻沒有時間表。下文先看市值最大的三條鏈，再討論有相關量子準備的其他網絡。

比特幣：有提案，但沒有激活路徑

比特幣沒有基金會，任何改動都需要通過開發者提案（BIP）並獲得礦工與節點社區的共識。目前與量子相關的主要提案有兩項，另有一個應急方案。

BIP-360（Pay-to-Merkle-Root，簡稱 P2MR）由 Hunter Beast（MARA）、Ethan Heilman 和 Isabel Foxen Duke 撰寫，於 2026 年 2 月 11 日作為草案合併進官方提案庫。它新增一種類似 Taproot 的輸出類型，但去掉了以密鑰直接花費的路徑，使幣在靜置期間不會暴露公鑰，地址以 bc1z 開頭。該提案有意不引入任何後量子簽名方案，這部分留待後續的軟分叉處理，Heilman 已在郵件列表上發起了關於算法敏捷性的討論。BIP-360 同樣無法防禦交易確認前的搶先攻擊。

BIP-361（後量子遷移與舊簽名日落）由 Jameson Lopp 等六人撰寫，於 2026 年 4 月 14 日發布，主張分階段淘汰舊簽名。 激活約 3 年後，禁止向易受攻擊的地址類型發送新資金；約 5 年後，舊的 ECDSA 和 Schnorr 花費將失效，相應資產將凍結；之後可能提供基於零知識證明的找回路徑。批評者稱該方案專制，Lopp 本人也表示並不希望真的用上，並稱它目前並不處於可被採納的位置。

用大白話來說，就是 BIP-360 只新增了一種把公鑰藏起來的地址類型，它不能保護已經暴露公鑰的舊地址：那些幣仍然靠原來的 ECDSA/Schnorr 簽名，量子計算機出現後照樣可以被偽造簽名轉走。能做的只有在 Q-Day 之前，持有者自己把幣轉進新的 P2MR 地址，之後公鑰才不再暴露。主人已經失聯、無法轉移的幣（如中本聰時代的 P2PK），BIP-360 幫不上忙，這也是 BIP-361 提出凍結的原因。

此外，StarkWare 的 Avihu Levy 設計了 Quantum-Safe Bitcoin（QSB），首筆交易已於 2026 年 8 月 26 日通過 MARA Slipstream 上鏈。它借助簽名研磨為交易加上基於哈希的鎖，無需軟分叉，但每筆交易成本高達數百美元，需要直接提交給礦工，對已經暴露的密鑰也無能為力，只能視為應急方案。

即使 BIP-360 明天就獲得激活，每位持有者仍需自行把資產轉入新地址，這將佔用多年的區塊空間，而且對中本聰時代的資產沒有任何作用。也就是說，如果在未來 5 年內，比特幣還沒有一個達成共識的主要方案的話，會有此前所有中本聰時代的地址被攻擊的風險。到時候，可能需要硬分叉級別的共識分裂才能夠解決。

以太坊：大型鏈中組織得最完整，目標約 2029 年

以太坊基金會已將後量子安全列為頭等大事，設有專門團隊、專門網站和每週一次的互操作測試。2026 年 1 月，基金會成立了由 Thomas Coratger 領導的後量子團隊，並設立了兩項各 100 萬美元的密碼學獎；pq.ethereum.org 於 2026 年 3 月 25 日上線；十餘個客戶端團隊每週運行後量子互操作開發測試網。

按照 ethereum.org 的梳理，需要升級的有四個部分：**BLS 共識簽名、KZG 數據可用性承諾、ECDSA 賬戶簽名，以及二層網絡所依賴的零知識證明系統。**在共識層，Lean Ethereum 方案用基於哈希的 leanXMSS 簽名取代 BLS，並通過一個名為 leanVM 的極簡 zkVM 把大量簽名聚合成體積很小的證明，以緩解簽名過大的問題。在賬戶層，由 Vitalik Buterin 等人於 2026 年 1 月 29 日起草的 EIP-8141（Frame Transactions）賦予賬戶原生的賬戶抽象能力，使每個賬戶可以自行決定如何驗證簽名，包括換用後量子方案，該提案已進入 Hegotá 升級的已排期狀態。Circle 的 Mira Belenkiy 還提出了 ecrecover 的後量子路徑，即由 frame transaction 攜帶後量子簽名供合約讀取。

EIP-8141，來源：以太坊官網

時間線方面，核心的後量子基礎設施目標為 2029 年前後，部分報導稱是 2029 年 12 月。各來源對 Hegotá 升級本身的時間說法不一：早期材料稱 2026 年下半年，ethereum.org 在 2026 年 7 月的表述已改為 2027 年。

總體上，這是大型網絡中最領先的項目。但在 EIP-8141 上線、錢包支持後量子簽名者之前，ETH 持有者尚無協議原生的後量子選項；公鑰已暴露的舊賬戶面臨與比特幣相同的困境，但是總體說，如果不出現黑天鵝式的量子攻擊風險，升級後的以太坊網絡應該不會受量子攻擊的影響。

Solana：算法已選定，沒有時間表

Solana 的保護目前主要停留在應用層。Blueshift 的 Winternitz Vault 是一種基於哈希的一次性簽名保險庫，自 2025 年 1 月前後起供用戶自願使用，它屬於應用而非協議升級。

在協議層，Solana 基金會於 2026 年 4 月 27 日發布了準備計劃，披露 Anza 和 Firedancer 兩個客戶端團隊各自獨立選擇了 Falcon，理由是 Falcon-512 是 NIST 方案中簽名最小的，兩個團隊均已有早期實現。計劃分三個階段：繼續研究；若威脅變得可信，先為新錢包提供後量子簽名；再遷移現有錢包。2026 年 10 月 8 日，技術副總裁 Jacob Creech 進一步表示，目前不會啟用所謂的地堡模式，也不會進行大規模遷移。

這一立場的風險在於，Solana 的地址本身就是原始的 Ed25519 公鑰，每個有資金的賬戶在靜置狀態下都是暴露的。威脅可信才行動的做法，實際上是押注自己能夠獲得足夠的預警時間。

同時，Solana 與 Project Eleven 在 2025 年 12 月宣布合作，由 Project Eleven 對 Solana 做了一次完整的量子威脅評估，範圍涵蓋核心基礎設施、用戶錢包、驗證者安全以及長期的密碼學假設，並梳理了緩解路徑和遷移選項。除了評估報告，Project Eleven 還在 Solana 測試網上部署了一套可運行的後量子簽名系統，用來演示端到端的抗量子交易在技術上可行。Solana 基金會技術副總裁 Matt Sorg 表示，目標是讓網絡在未來幾十年裡依然安全。

Algorand：鏈雖然涼，卻是主要公鏈中後量子部署最成熟的

Algorand 自 2022 年起便使用 Falcon 簽名保護其 State Proofs（用於跨鏈驗證的狀態證明）。2025 年 11 月 3 日，主網出現了第一筆 Falcon-1024 交易；2026 年 8 月，通過 v5.0.0 升級，原生 Falcon-1024 賬戶在主網上線，Pera Wallet、SDK 和 AlgoKit 均已提供支持。截至 2026 年 6 月，網絡已處理超過 14 萬筆後量子交易。

按照 2026 年 6 月公布的路線圖，Algorand 計劃在 2026 年底前實現 Falcon-512、後量子多簽與質押，並在 2027 年底前實現廣泛的量子韌性。目前的主要缺口在共識核心中的 VRF（可驗證隨機函數）仍為經典算法，Algorand 自己也稱替換它是最困難的一步。其密碼學團隊包括 Chris Peikert 和參與過 Falcon 設計的 Zhenfei Zhang。

XRP Ledger（Ripple）：有日期的四階段路線圖，目標 2028 年

RippleX 的 Ayo Akinyele 在 2026 年 4 月 20 日發布了一份分四階段的路線圖。第一階段為 Q-Day 的應急恢復預案；第二階段（2026 年上半年）測試 ML-DSA，Denis Angell 已與 Project Eleven 在 AlphaNet 上完成原型；第三階段（2026 年下半年）在開發網測試，包括混合簽名；第四階段則是在 2028 年前推出原生修正案。XLS-295（ML-DSA-44）目前仍是草案，主網沒有變化。

XRPL 的結構性優勢在於原生密鑰輪換，活躍用戶可以在不更換地址的情況下更換密鑰，休眠且公鑰已暴露的 XRP 也只占 0.03%。

Cardano：還在研究階段

創始人 Hoskinson 在 2026 年 2 月提出的計劃分三步：先完成研究議程（2025 至 2026 年）；再建立一條獨立的後量子證明鏈，用 Mithril 證書和後量子簽名為歷史狀態做檢查點；待硬體加速成熟後再並入主鏈。他同時警告，過早遷移可能使網絡速度下降約 10 倍。2026 年 5 月，他表示基於格的方案和 FIPS 203 至 206 已列入路線圖，一項關於量子計劃的治理投票正在進行，並提到了與 Google、Microsoft Research 及 Linux 相關研究者合作的 Nightstream 項目。目前沒有公開確認的測試網簽名工作。

Sui 和 Aptos：自願加入的後量子帳戶機制

Sui 在 2026 年 8 月宣布，日常帳戶將採用 ML-DSA-65，高價值保險庫則在 Move 合約中使用 SLH-DSA-SHA2-128s。**兩者均為用戶自願啟用，**並可由現有助記詞派生，主網認證的目標是 2027 年第一季度。

Sui 的思路是"兩把鎖、兩種風險"。這兩種方案來自不同的數學家族：ML-DSA-65 屬於基於格的 FIPS 204 標準，安全等級為 NIST 第 3 級，用於日常帳戶；SLH-DSA-SHA2-128s 屬於基於哈希的 FIPS 205 標準，安全等級為第 1 級，用於高價值保險庫。把後者放在 Move 合約裡而不是協議內核，一方面讓 Sui 無需升級核心協議，就能跟上業界最終採納的標準，另一方面也意味著萬一格密碼被攻破，基於哈希的那條路徑不會受到牽連。

Aptos 的 AIP-137 由密碼學負責人 Alin Tomescu 於 2025 年 12 月 18 日發布，新增 SLH-DSA-SHA2-128s 作為可選帳戶類型，看中的是其只依賴哈希的保守安全假設。該提案需要治理批准才能激活，也不強制用戶遷移。

NEAR：後量子帳戶已在主網上線

NEAR 在 2026 年 7 月 20 日發布的 Protocol 2.13 中，把 ML-DSA 簽名正式加入主網，媒體報導的具體級別為 ML-DSA-65。這使 NEAR 成為繼 QRL、Algorand 之後，又一條讓普通用戶能夠在主網上持有後量子帳戶的公鏈，也是本報告所涉大型網絡中，少數已經把後量子能力交到用戶手中的一個。

在機制上，用戶只需發送一筆鏈上交易，就可以把帳戶的密鑰切換為後量子密鑰，既不必新建帳戶，也不必把資產搬到新地址。帳戶還可以同時持有多種簽名方案，也就是新舊密鑰並存。對普通用戶來說，這種設計的好處是遷移成本低：不需要整個網絡同時分叉，也不需要像比特幣那樣等待新的地址類型和多年的資產轉移，每個用戶可以按自己的節奏逐個切換。這正是前文所說"帳戶抽象"帶來的結構性優勢在 NEAR 上的具體體現。

在推進方式上，Near One 與 Ledger 合作，這意味著後量子密鑰有望由硬體設備來保管；Meteor Wallet 已經提供支持。

這套方案仍有幾點局限。首先它是自願加入的：尚未切換的帳戶依然使用原來的 Ed25519 簽名，其公鑰已經公開在鏈上，在大型量子計算機出現時仍然暴露。其次是體積代價：ML-DSA 的簽名大約為 2.4 至 4.6 KB，而 Ed25519 只有 64 字節，交易會明顯變大，對網絡吞吐和費用的具體影響，本次研究沒有找到 NEAR 的公開數據。最後，也是最關鍵的，驗證者之間達成共識所使用的簽名仍是經典算法，後量子共識的目標為 2027 年下半年（有來源寫作最遲 2027 年 12 月 31 日），在此之前，網絡層面的防護並不完整。

綜合來看，就用戶層面的可用性而言，NEAR 走在大多數大型網絡的前面；但整體安全最終取決於兩個變量：有多少用戶真正完成了切換，以及驗證者共識何時完成升級。

Hedera：有官方路線圖，尚無後量子簽名

Hedera 的哈希（SHA-384）與加密（AES-256）已經滿足後量子要求，尚缺的是簽名。Leemon Baird、Rohit Sinha 和 Ed Marquez 在 2026 年 4 月的官方博客中提出：待 FIPS 206 定稿後採用 FN-DSA（Falcon）；先實現節點之間的後量子 TLS，再擴展到客戶端；共識事件使用 Ed25519 加 Falcon 的混合簽名；並在 2027 年前後推出後量子用戶密鑰類型。目前尚未發布對應的 HIP 編號。

路線圖按由易到難的順序分為四步：先把節點之間的 TLS 升級為後量子或混合方案，再升級客戶端連接的 TLS，然後在共識事件上使用 Ed25519 加 FN-DSA 的混合簽名，最後推出新的用戶密鑰類型。把 TLS 放在最前面，是因為它主要靠更新軟體庫就能完成，而 Chrome 自 2024 年 4 月起就已默認啟用 X25519 加 ML-KEM-768 的混合密鑰交換；同時 Hedera 說明其網絡安全並不依賴 TLS，哈希圖共識自身提供獨立於傳輸層的完整性保證。

代價同樣是體積。據 Hedera 路線圖的第三方解讀，FN-DSA 的簽名約為 1,280 字節，約是 Ed25519 的 20 倍；若採用 ML-DSA-87，簽名為 4,627 字節，則超過 70 倍。Baird 在 2022 年曾表示，Hedera 的交易通常只有 100 至 200 字節，換成 Falcon 後簽名就會達到約 1,300 字節，他把這稱為一種需要承擔的成本。

Stellar：分階段計劃，協議投票待定

Stellar 發展基金會在 2026 年 6 月 9 日發布了量子準備計劃：2026 年先以 Soroban 宿主函數的形式提供 ML-DSA-44/65 驗證，到 2027 年底前推出協議級的後量子簽名者類型。據媒體報導，Protocol 30（Bell）升級包含 CAP-87（Stellar Core 中的 ML-DSA），驗證者投票定於 2026 年 11 月 23 日。

Stellar 的結構性優勢在於帳戶身份與簽名密鑰是分開的：用戶可以給帳戶添加一個後量子簽名者，再移除舊的 Ed25519 密鑰，而不必轉移餘額或更新所有關聯系統。不過，每一個 Stellar 地址（包括從未簽過名的休眠帳戶）的公鑰都已經暴露，休眠帳戶因此是最難的部分，基金會為此將開放社區討論。

分階段的內容是：第一階段（2026 年）為 Soroban 增加原生宿主函數，支持 ML-DSA-44 和 ML-DSA-65 的驗證，合約帳戶由此可以借助 Soroban 的帳戶抽象實現後量子認證，經典帳戶不需要協議層改動，企業錢包 2026 年就可以遷移，之後再按標準定稿情況加入 FN-DSA 以及 HSM 支持。

第二階段（2027 年）是協議層固化與自願遷移，通過現有的 set_options 操作，讓普通帳戶也能添加後量子簽名者，錢包、SDK 和錨點服務商都需要更新，目標是到 2027 年底每個帳戶都具備這一能力。計劃共分三個階段，我沒有找到可核實的第三階段細節。另外，依賴配對等技術的零知識應用也存在缺口，基金會計劃召集在 Stellar 上做零知識應用的團隊共同應對。基金會還稱，Stellar 使用的 SHA-256 哈希已被視為後量子安全，XLM 持有者目前無需採取任何行動，並在計劃中援引了美國 CNSA 2.0 和歐盟 DORA 作為監管背景。

Starknet：重心就是後量子，部分已經交付

Starknet 的架構帶來了天然優勢：STARK 證明本身依賴哈希函數，而且每個帳戶都是智能合約，可以自行切換簽名方案。基於 Falcon 的後量子帳戶已在主網上線（由 S2morrow 用 Cairo 實現的 Falcon-512），但該實現尚未經過審計。

2026 年 6 月公布的路線圖分為三個階段。第一階段替換狀態承諾、地址派生和配置中仍依賴椭圓曲線的哈希，目前已部分交付；第二階段把這種保護擴展到現有合約；第三階段則要跟隨以太坊，因為橋和數據可用性仍繼承以太坊 L1 的椭圓曲線密碼學。

與此同時，Starknet 社區在 2026 年 10 月 15 日至 22 日進行了一次非約束性的 Snapshot 投票，以 93.52%的支持率通過了研究遷移至獨立後量子 L1 的提案，參與票數約 3,236，代表約 4.89 億枚 STRK。CEO Eli Ben-Sasson 的目標是在 2027 年實現完全的量子抗性，白皮書預計在 11 月發布。批評意見則認為，脫離以太坊意味著放棄以太坊的經濟安全，轉而依賴 Starknet 尚不成熟的自有質押機制，後者仍處於四個階段中的第二階段，驗證者尚未開始出塊。

Zcash：先保證"可恢復"，再升級

Zcash 的主要風險不是被盜，而是隱私被回溯性地破壞：未來的量子計算機可能把今天鏈上的匿名交易重新關聯起來。

ZIP 2005 改變了票據的構造方式，使得萬一必須凍結 Orchard 資金池，資金之後可以借助後量子 STARK 恢復到後量子協議之中。在 NU7 投票中，該提案獲得 ZCAP 90.5%、幣持有者 94.6%的支持（2026 年 2 月），候選版本已於 2026 年 5 月 22 日上線測試網。後續步驟是先隨 Tachyon 引入 ML-KEM 密鑰交換，再建設完全後量子的資金池，ZODL 的 CEO 給出的目標是自 2026 年 5 月起 12 至 18 個月。