後量子密碼學

什麼是後量子密碼學？

後量子密碼學是研究密碼演算法的領域，這些演算法旨在抵禦傳統電腦及未來大規模量子電腦發動的攻擊。

後量子密碼學對加密貨幣很重要，因為區塊鏈仰賴數位簽章、公鑰、雜湊函數、承諾方案、錢包地址、驗證者、跨鏈橋和零知識系統來保護實際的經濟價值。

目前大多數主要區塊鏈仍採用以數學難題為基礎的公鑰密碼學；理論上，功能足夠強大的量子電腦可能破解這些難題。

主要疑慮並非量子電腦今天就能竊取加密貨幣，而是密碼系統遷移可能需要數年，而且當大量價值、錢包、智能合約及基礎設施都依賴舊有假設後，區塊鏈便很難升級。

NIST 關於完成後量子標準定案的公告指出，首批 3 項定案標準包括用於金鑰封裝的 ML-KEM，以及用於數位簽章的 ML-DSA 和 SLH-DSA。

對加密貨幣使用者而言，理解後量子密碼學最簡單的方式是：在量子電腦強大到足以攻擊現今的公鑰系統之前，為錢包、簽章、協議和網路升級安全機制。

量子電腦為何威脅加密貨幣

量子電腦利用量子力學效應，以不同於傳統電腦的方式處理資訊。

大型且經過錯誤更正的量子電腦，可能執行一些演算法，削弱或破解網際網路及加密貨幣網路使用的多種公鑰密碼系統。

最知名的例子是 Shor 演算法，理論上可破解以整數分解和離散對數為基礎的密碼系統。

這點很重要，因為 RSA、ECDSA、Schnorr 簽章、BLS 簽章及橢圓曲線配對，都依賴一般認為傳統電腦難以解決、但可能遭足夠強大的量子電腦破解的數學難題。

Bitcoin 和許多其他加密系統使用橢圓曲線簽章，證明錢包持有人已授權某筆交易。

Bitcoin Developer Guide 的交易文件說明，Bitcoin 的傳統簽章使用 secp256k1 曲線上的 ECDSA。

Ethereum 也在帳戶簽章中使用橢圓曲線密碼學，並在其共識層使用 BLS 簽章。

Ethereum 後量子路線圖指出，Ethereum 的帳戶簽章、共識層 BLS 簽章、KZG 承諾方案，以及部分應用層證明系統，都需要納入後量子規劃。

後量子密碼學之所以存在，是因為在量子攻擊成為實際威脅之前，這些系統必須完成替換、封裝或升級。

後量子密碼學與量子密碼學的差異

後量子密碼學與量子密碼學並不相同。

後量子密碼學通常指可在一般電腦上執行、但專為抵禦量子攻擊而設計的傳統軟體演算法。

量子密碼學通常是指直接運用量子物理的安全系統，例如量子金鑰分發。

這項差異對加密貨幣很重要，因為區塊鏈需要能在錢包、節點、智能合約、驗證者、硬體錢包、手機、伺服器和瀏覽器上運作的安全機制。

大多數區塊鏈升級討論都聚焦於後量子密碼學，因為相較於量子通訊硬體，後量子密碼學更能透過軟體實作，並以實際可行的方式整合至現有數位系統。

後量子錢包不需要量子電腦才能運作。

它會使用新的簽章方案，即使攻擊者未來擁有強大的量子電腦，這些方案仍被認為能維持安全。

對區塊鏈使用者而言，後量子密碼學是實際可行的遷移途徑；量子密碼學則是具有不同基礎設施需求的另一個領域。

後量子密碼學如何運作

後量子密碼學透過以被認為能抵禦傳統與量子攻擊的數學難題，取代容易受攻擊的數學假設來運作。

部分後量子系統以格為基礎。

部分以雜湊函數為基礎。

部分以錯誤更正碼為基礎。

另有一些以多變數方程式或其他數學結構為基礎。

NIST 首批定案的後量子標準主要採用格基礎及雜湊基礎的方法。

ML-KEM 是一種格基礎的金鑰封裝機制，用於建立共享密鑰。

ML-DSA 是一種格基礎數位簽章演算法，源自 CRYSTALS-Dilithium。

SLH-DSA 是一種無狀態雜湊基礎數位簽章演算法，源自 SPHINCS+。

這些演算法不會預設讓交易具有隱私性，也不會預設讓區塊鏈變得更快。

其主要目的是在未來可能出現量子攻擊者的情況下，維持身分驗證、完整性及金鑰安全。

後量子密碼學對錢包的重要性

加密貨幣錢包依賴私鑰和數位簽章來授權交易。

使用者可透過私鑰建立簽章，網路則可透過公鑰驗證簽章是否有效。

如果未來的量子電腦能從已公開的公鑰推導出私鑰，由該金鑰控制的資金就可能面臨風險。

對公鑰已經在鏈上公開的帳戶或輸出而言，這點尤其重要。

在許多區塊鏈上，使用者從某個地址支出資產或傳送交易時，公鑰就會公開。

雜湊地址可以在首次支出前隱藏公鑰；但公鑰一旦公開，安全性便直接取決於簽章方案。

後量子錢包遷移可讓使用者將資金從容易受量子攻擊的簽章方案，轉移至抗量子簽章方案。

遷移可能涉及新的地址格式、錢包軟體、硬體錢包韌體、智能合約錢包、帳戶抽象或協議升級。

使用者不應在缺乏可信錢包支援的情況下，嘗試非官方或倉促的遷移，因為假冒的量子安全工具可能成為網路釣魚陷阱。

最安全的遷移方式，應由網路、錢包開發者、安全研究人員及清楚的社群指引共同支援。

後量子密碼學對 Bitcoin 的重要性

Bitcoin 的安全性高度仰賴數位簽章、工作量證明、雜湊函數及去中心化驗證。

Bitcoin 面臨的主要後量子疑慮不是工作量證明，而是用於授權支出的簽章系統。

傳統 Bitcoin 交易使用 ECDSA，較新的 Taproot 交易則使用 Schnorr 類型的簽章。

兩者都以橢圓曲線假設為基礎，理論上可能遭足夠強大的量子電腦攻擊。

相較於橢圓曲線簽章，Bitcoin 使用的雜湊函數被認為較不容易受到攻擊，因為目前已知的量子雜湊攻擊所帶來的加速幅度，比 Shor 演算法攻擊離散對數時弱。

這表示 Bitcoin 的遷移挑戰主要涉及簽章、錢包、地址重複使用、已公開的公鑰、舊輸出、硬體錢包支援、交易大小及共識規則。

Bitcoin 的後量子升級需要審慎設計，因為較大的簽章可能增加交易大小，並影響手續費、區塊空間、記憶池行為及節點驗證成本。

遷移計畫也必須涵蓋仍將代幣存放在舊地址的使用者，包括可能永遠不會再次登入的休眠錢包持有人。

Bitcoin 的優勢在於採取保守的安全策略，但這也代表重大密碼學變更需要廣泛共識和仔細測試。

因此，後量子密碼學是 Bitcoin 長期的治理與工程挑戰，不只是數學問題。

後量子密碼學對 Ethereum 的重要性

Ethereum 面臨的後量子挑戰，比單純的錢包簽章更廣泛。

Ethereum 使用帳戶簽章授權使用者交易，使用 BLS 簽章進行驗證者共識，使用 KZG 承諾方案確保資料可用性，並在各類應用程式和 Rollup 中採用多種證明系統。

Ethereum 的公開路線圖指出，帳戶簽章、共識層 BLS 簽章、資料可用性承諾方案及應用層零知識系統，都需要納入後量子規劃。

由於協議的不同部分會因不同用途而使用不同的密碼學原語，Ethereum 的遷移因而更為複雜。

若智能合約錢包和帳戶抽象能讓使用者逐步採用新簽章方案，替換帳戶簽章可能會比較容易。

替換 BLS 簽章則較為困難，因為 BLS 聚合能有效率地合併多個驗證者簽章。

許多後量子簽章方案的簽章和金鑰較大，可能帶來頻寬、儲存及驗證方面的挑戰。

替換 KZG 承諾方案也可能需要新的承諾機制，在不依賴容易受量子攻擊的配對運算下，支援 Ethereum 的擴充路線圖。

Ethereum 的後量子工作顯示，區塊鏈需要具備密碼學敏捷性，也就是在不破壞整個生態系統的前提下變更密碼學原語的能力。

對使用者而言，關鍵在於後量子遷移是涵蓋錢包、驗證者、Rollup、開發者和治理機制的全網流程。

NIST 後量子密碼學標準

NIST 的後量子標準化流程，是加密貨幣產業最重要的參考依據之一。

定案標準為開發者提供經過審查的基礎，避免每個專案都必須自行發明密碼學方案。

FIPS 203 規定了 ML-KEM，這項標準旨在用於金鑰封裝和建立共享密鑰。

FIPS 204 規定了 ML-DSA，這是一項格基礎數位簽章標準。

FIPS 205 規定了 SLH-DSA，這是一項無狀態雜湊基礎數位簽章標準。

NIST 也曾討論其他簽章選項，例如源自 FALCON 的標準，預計稱為 FN-DSA。

對區塊鏈系統而言，簽章標準尤其重要，因為交易授權仰賴簽章。

金鑰封裝標準則更適用於加密通訊、錢包備份、驗證者網路、安全訊息傳遞及鏈下基礎設施。

採用標準化演算法不會自動讓區塊鏈具備量子安全性，因為協議整合、實作安全、參數選擇及遷移設計仍然重要。

不過，NIST 標準為加密貨幣開發者規劃後量子安全措施提供了重要起點。

後量子簽章

後量子簽章是專為抵禦量子攻擊而設計的數位簽章方案。

對大多數公有區塊鏈而言，這是最重要的後量子原語，因為簽章能控制資產移轉。

交易簽章可證明錢包持有人已授權轉帳、智能合約互動、質押操作、治理投票或驗證者訊息。

如果簽章方案失效，所有權模型也會失效。

ML-DSA 和 SLH-DSA 是兩項主要的後量子簽章標準。

ML-DSA 的設計通常著重效率和實際部署；SLH-DSA 則以雜湊為基礎，提供不同的安全基礎。

雜湊基礎簽章具有吸引力，因為雜湊函數經過廣泛研究，且被認為比橢圓曲線假設更能抵禦量子攻擊。

其挑戰在於，後量子簽章可能比現今精簡的簽章更大。

較大的簽章可能增加交易大小、儲存成本、頻寬需求、Gas 費及區塊驗證負載。

對區塊鏈而言，後量子簽章不僅必須安全，也必須能在全球網路規模下實際運作。

後量子金鑰封裝

金鑰封裝是一種讓兩方透過不安全通道協商共享密鑰的方法。

在傳統網路安全中，TLS 等協議會使用金鑰交換來保護加密通訊。

在加密貨幣領域，金鑰封裝可能適用於錢包對錢包的加密訊息傳遞、驗證者網路、輕客戶端通訊、安全備份、託管作業、多方計算及鏈下協調。

ML-KEM 是 NIST 標準化的後量子金鑰封裝機制。

它不會直接取代區塊鏈交易簽章，因為它不是簽章方案。

相反地，它有助於保護通訊和共享密鑰，避免未來遭量子攻擊者破解。

這項差異很重要，因為區塊鏈可能同時需要後量子簽章和後量子金鑰建立機制。

錢包可能使用後量子簽章授權交易，並使用後量子金鑰封裝方案加密備份或通訊資料。

開發者應避免混淆這些用途，因為加密、簽章、承諾方案和雜湊各自解決不同的安全問題。

完善的後量子設計會為不同用途選用合適的原語。

雜湊函數與抗量子能力

加密貨幣廣泛使用雜湊函數來處理地址、Merkle 樹、區塊標頭、承諾方案、證明系統、挖礦和資料完整性。

已知的量子演算法可以加快針對雜湊函數的暴力破解攻擊，但不會像 Shor 演算法破解容易受攻擊的公鑰系統那樣，徹底破解強大的雜湊函數。

Grover 演算法可以讓搜尋速度提升至平方級，因此加大雜湊長度有助於保留安全餘裕。

這也是為什麼後量子區塊鏈研究經常討論雜湊基礎簽章和 STARK 類型的證明系統。

雜湊基礎系統可能體積較大，或在某些情況下較不方便，但其安全假設較簡單，也更為保守。

對區塊鏈而言，保留雜湊函數也比較容易，因為許多網路已在整體架構中採用強大的雜湊函數。

更大的挑戰通常在於公鑰簽章和基於配對的建構。

使用者不應認為量子電腦會讓所有密碼學都失去作用。

量子電腦對某些原語的威脅比其他原語更嚴重。

後量子規劃首先要盤點系統中哪些部分確實容易受到攻擊。

後量子密碼學與零知識證明

零知識證明在加密貨幣領域日益重要，因為它們可支援 Rollup、隱私系統、擴充性、身分識別和可驗證運算。

部分零知識證明系統仰賴橢圓曲線和配對運算，可能容易受到量子攻擊。

其他系統，例如以 STARK 為基礎的證明系統，則更仰賴雜湊函數，通常被認為較能抵禦量子攻擊。

這項差異對 Rollup 很重要，因為證明系統會影響交易驗證的長期安全性。

如果 Rollup 仰賴容易受量子攻擊的假設，未來可能需要遷移至其他證明系統。

採用雜湊基礎證明系統的 Rollup，可能已具備較強的後量子基礎，但仍需要仔細實作並審慎選擇參數。

後量子零知識設計也會影響證明大小、驗證成本、證明者成本及資料可用性。

開發者不應將後量子證明系統視為簡單替換，因為效能取捨可能影響實際使用者。

在區塊鏈擴充中，密碼學不只關乎安全，也關乎成本和吞吐量。

後量子證明系統必須保護網路，同時避免讓網路變得難以使用。

後量子密碼學與 DeFi

DeFi 協議仰賴錢包簽章、智能合約權限、治理金鑰、預言機更新、跨鏈橋、中繼器、多重簽章，有時也會使用零知識系統。

如果未來的量子攻擊者能竊取金鑰或偽造簽章，DeFi 協議便可能面臨重大風險。

管理員金鑰、多重簽章簽署者、跨鏈橋驗證者、預言機營運者及金庫錢包尤其敏感，因為這些對象可能控制大量價值。

DeFi 的後量子遷移必須同時保護使用者帳戶和協議控制的帳戶。

智能合約可能需要支援新的簽章驗證方法。

治理系統可能需要新的投票簽章或帳戶模型。

預言機可能需要經過後量子驗證的資料饋送。

跨鏈橋可能需要抗量子驗證者簽章和證明驗證機制。

穩定幣發行方、借貸協議、衍生品平台及資產管理者，可能需要後量子託管基礎設施。

DeFi 最大的後量子挑戰在於協調，因為許多合約不可變更、許多資產具有可組合性，而且不同協議彼此依賴。

後量子密碼學與跨鏈橋

區塊鏈跨鏈橋屬於高風險系統，因為它們通常會驗證簽章、驗證者訊息、輕客戶端證明或外部狀態聲明。

如果跨鏈橋驗證者使用容易受量子攻擊的簽章，等公鑰公開且攻擊成為實際可行時，未來的量子攻擊者理論上可能偽造訊息。

這可能威脅錨定資產、跨鏈入金、跨鏈橋託管資金及跨鏈訊息。

後量子跨鏈橋安全機制可能需要新的驗證者金鑰、簽章聚合方式、較大的證明、更新後的輕客戶端，以及新的智能合約驗證邏輯。

跨鏈橋也面臨一項問題：連接的兩條鏈都可能需要相容的升級。

跨鏈橋的安全性取決於其最薄弱的密碼學依賴。

如果其中一條鏈升級為後量子簽章，但跨鏈橋仍信任另一條鏈的舊簽章，風險可能依然存在。

因此，跨鏈後量子遷移特別複雜。

跨鏈橋使用者應了解，跨鏈橋的安全性不只取決於錨定代幣合約。

安全性也取決於驗證系統背後的密碼學假設。

後量子密碼學與硬體錢包

硬體錢包相當重要，因為它們能在專用裝置中保護私鑰。

後量子遷移很可能需要硬體錢包支援新演算法、更大的金鑰和簽章、更新的地址格式，以及更複雜的交易顯示方式。

視記憶體、處理能力、儲存空間和安全晶片的限制而定，遷移可能需要韌體更新或推出新硬體。

部分後量子簽章可能比現今的簽章大得多，進而影響簽章速度和裝置相容性。

使用者不應認為每一款舊硬體錢包都能支援所有未來的後量子方案。

錢包業者需要仔細測試實作方式，因為有缺陷的後量子實作可能比不遷移更糟。

硬體錢包也需要強大的隨機數產生機制、安全的韌體更新，以及清楚的使用者提示。

不應透過非官方韌體或不明工具倉促加入後量子支援。

使用者應等待可信的錢包開發者和網路社群提供經過測試的遷移指引。

妥善保管助記詞仍然很重要，因為後量子簽章無法防範網路釣魚或實體竊盜。

後量子密碼學與帳戶抽象

帳戶抽象有助於區塊鏈網路提升密碼學彈性。

帳戶抽象不會要求每個使用者帳戶永遠採用同一種內建簽章方案，而是讓智能合約錢包自行定義驗證邏輯。

這有助於加入後量子簽章、混合簽章、多重簽章規則、社交恢復、支出限制和升級途徑。

Ethereum 的後量子路線圖特別提到，帳戶抽象是讓帳戶隨時間採用量子安全簽章的實際途徑。

這點很重要，因為從一種簽章方案全面切換至另一種方案，將會困難且具有風險。

漸進式遷移可讓早期採用者、託管業者、協議和持有大量資產的使用者先行遷移。

隨著時間推移，錢包軟體可以引導一般使用者改用量子安全帳戶。

然而，帳戶抽象也需要審慎處理智能合約安全，因為錢包邏輯將變得可程式化。

後量子智能錢包必須同時防範量子攻擊和一般智能合約漏洞。

只有在實作安全的前提下，密碼學敏捷性才有用。

混合密碼學

混合密碼學會在過渡期間結合傳統密碼學和後量子密碼學。

例如，系統可能要求同一筆交易或帳戶更新同時具備 ECDSA 簽章和後量子簽章。

這麼做的目的是避免在新演算法尚未經過長期實際驗證前，完全依賴該演算法。

混合設計也能因應兩種不確定情況。

如果傳統密碼學的安全性比預期維持得更久，系統仍可正常運作。

如果量子技術進展加快，後量子層便可提供額外保護。

缺點是混合方案可能增加交易大小、驗證成本、使用者操作複雜度及實作風險。

對區塊鏈而言，這些成本很重要，因為每增加一個位元組或驗證步驟，都可能影響手續費和網路效能。

在全面完成網路遷移前，混合遷移可能適用於高價值帳戶、驗證者、跨鏈橋和金庫。

良好的混合設計應足夠簡單，讓錢包和使用者都能正確操作。

遷移挑戰

後量子遷移並不容易，因為區塊鏈具有公開、永久和去中心化的特性。

舊公鑰和簽章可能會永遠留存在鏈上。

休眠錢包可能永遠無法升級，因為持有人可能已失聯、不活躍、過世、不知情或無法存取金鑰。

部分智能合約可能無法變更，因此無法加入新的簽章驗證邏輯。

託管業者、交易所、錢包、跨鏈橋、DeFi 協議、驗證者及基礎設施業者，遷移進度可能各不相同。

如果後量子簽章較大，交易大小可能會增加。

如果驗證程序變得更繁重，Gas 費和區塊空間成本可能上升。

節點可能需要更新軟體和硬體需求。

開發者可能需要多年時間進行稽核、測試網測試、形式化分析及使用者教育。

因此，後量子遷移更像是民用基礎設施升級，而不是一般的軟體修補程式。

先收集，日後解密

「先收集，日後解密」是一種攻擊模式，指攻擊者今天先收集加密資料或公鑰資料，等量子電腦變得更強後再嘗試破解。

對加密貨幣而言，這種風險會因資產和協議而異。

如果加密錢包備份、私人訊息、託管紀錄或鏈下通訊僅依靠容易受量子攻擊的金鑰交換機制保護，攻擊者今天就可能先行收集這些資料。

已公開在鏈上的公鑰，也可能在量子攻擊者能以足夠速度推導私鑰時造成未來風險。

因此，必須在量子電腦準備就緒之前開始規劃後量子措施。

等到實際攻擊出現時才開始準備，可能已經太遲，因為攻擊者或許早已收集到有用資料。

對一般加密貨幣使用者而言，近期最實際的做法是：在相關情況下避免重複使用地址、使用可信的錢包、妥善保管備份，並在官方遷移指引推出後依循操作。

使用者不必恐慌，但應了解整個生態系統為何提早準備。

長期運作的金融系統必須在威脅出現之前做好規劃。

如果使用者期望資產能安全保存數十年，加密貨幣系統就必須具備長期安全性。

後量子密碼學的優點

後量子密碼學的第一項優點，是能長期防範未來的量子攻擊。

第二項優點是密碼學敏捷性，因為預先準備遷移的網路，對單一舊原語的依賴會降低。

第三項優點是提升機構信心，因為長期持有人、託管業者、金庫及基礎設施業者都需要持久可靠的安全假設。

第四項優點是促進更完善的錢包設計，因為遷移可能鼓勵採用智能錢包、多重簽章升級及更安全的帳戶恢復機制。

第五項優點是推動更深入的協議研究，因為後量子工作會促使開發者盤點網路中的每一項密碼學依賴。

第六項優點是改善跨產業相容性，因為 NIST 標準為加密貨幣開發者提供了可共同研究和實作的演算法。

第七項優點是提升風險意識，讓使用者了解區塊鏈安全不只取決於市場價格和代幣供應量。

後量子密碼學本身不會帶來獲利。

它會保護加密系統在未來的運算環境中持續安全運作。

因此，它是長期數位所有權的基礎。

後量子密碼學的限制

第一項限制是，後量子演算法的金鑰、簽章、密文或證明可能比傳統演算法更大。

第二項限制是，較大的資料可能增加交易手續費、儲存需求、頻寬和驗證成本。

第三項限制是，新實作可能引入漏洞、側通道資訊洩漏或錢包相容性問題。

第四項限制是，標準化不會自動解決區塊鏈治理問題。

第五項限制是，並非每種後量子演算法都適用於所有區塊鏈用途。

第六項限制是，遷移可能遺漏不活躍錢包和舊合約。

第七項限制是，後量子密碼學無法阻止網路釣魚、助記詞遭竊、惡意授權、假錢包或智能合約漏洞攻擊。

第八項限制是，隨著研究進展，演算法選擇可能會改變。

安全團隊必須在緊迫性和審慎態度之間取得平衡，因為過快替換經過實戰考驗的密碼學，可能帶來新風險。

後量子密碼學對長期安全而言不可或缺，但整合時必須審慎進行。

加密貨幣使用者的最佳做法

不必恐慌，因為目前沒有公開證據顯示，現今的量子電腦能大規模竊取一般區塊鏈資金。

如果區塊鏈和錢包模式允許避免重複使用地址，請避免重複使用地址。

使用會定期接收安全更新，並清楚說明遷移計畫的可信錢包。

只透過官方管道更新硬體錢包韌體。

切勿將助記詞輸入宣稱提供量子保護的網站。

對使用「量子安全」字眼、卻未提供技術文件的代幣、錢包或服務保持警覺。

後量子遷移工具推出後，請依循官方網路和錢包指引。

可信的遷移途徑推出後，可考慮將大額資金移出公鑰已公開的舊地址。

妥善保管備份，因為後量子密碼學無法找回遺失的金鑰。

請記住，對大多數使用者而言，現階段詐騙風險比量子風險更迫切。

開發者與協議的最佳做法

開發者應盤點協議所使用的每一項密碼學原語。

應找出哪些部分依賴橢圓曲線、配對、RSA、BLS、ECDSA、Schnorr、KZG 或其他容易受量子攻擊的假設。

採用實驗性密碼學之前，應先評估 NIST 標準化的演算法。

應在真實區塊鏈限制下測試後量子簽章，例如 Gas 費、區塊大小、頻寬、記憶體、驗證時間和錢包使用者體驗。

在適當情況下，應考慮在過渡期間使用混合方案。

應為帳戶、驗證者、跨鏈橋、預言機營運者、金庫和智能合約設計升級途徑。

應避免將假設寫死，導致未來無法遷移密碼系統。

應清楚說明哪些部分具備抗量子能力，哪些部分尚未具備。

應稽核實作，檢查側通道及實作錯誤。

應將後量子遷移視為多年期的協議設計工作，而非行銷標籤。

對後量子密碼學的常見誤解

一種常見誤解是，使用後量子密碼學需要量子電腦。

後量子演算法的設計目標是能在一般電腦上執行，同時抵禦未來的量子攻擊者。

另一種誤解是，量子電腦一旦有所進展，所有加密貨幣都會立即失效。

實際風險取決於演算法、金鑰是否公開、協議設計、遷移準備程度及攻擊者的能力。

另一種誤解是，雜湊函數會像橢圓曲線簽章一樣遭到破解。

已知的量子攻擊對雜湊函數的影響方式不同，通常也不像對以離散對數為基礎的公鑰系統那樣嚴重。

另一種誤解是，標示「後量子」就代表一定安全。

某種演算法理論上可能具備後量子特性，但在錢包、跨鏈橋或智能合約中的實作仍可能有問題。

另一種誤解是，使用者應立即透過非官方工具遷移。

不安全的遷移工具可能比長期量子威脅更危險。

常見問題

後量子密碼學是什麼意思？

後量子密碼學是指專為抵禦傳統電腦及未來大規模量子電腦攻擊而設計的密碼演算法。

後量子密碼學為何對加密貨幣很重要？

這很重要，因為區塊鏈使用數位簽章和公鑰來控制資金、驗證者、跨鏈橋、治理及智能合約系統。

量子電腦現在能竊取加密貨幣嗎？

目前沒有已知的公開量子電腦能以竊取一般資金所需的規模，破解主要區塊鏈簽章系統。

哪些加密貨幣系統最容易受到量子攻擊？

以橢圓曲線簽章、BLS 簽章、RSA 及配對密碼學為基礎的系統，是長期關注的主要對象。

Bitcoin 地址具備量子安全性嗎？

尚未公開公鑰的 Bitcoin 地址可能多一層以雜湊為基礎的保護，但已支出或重複使用的公鑰仍會帶來長期遷移疑慮。

Ethereum 具備量子安全性嗎？

Ethereum 目前尚未全面具備後量子安全性，但其路線圖已納入帳戶簽章、驗證者簽章、承諾方案及證明系統的研究與遷移規劃。

ML-KEM、ML-DSA 和 SLH-DSA 是什麼？

ML-KEM 是後量子金鑰封裝標準；ML-DSA 和 SLH-DSA 則是 NIST 定案的後量子數位簽章標準。

後量子密碼學和量子密碼學相同嗎？

不同。後量子密碼學可在一般電腦上執行；量子密碼學則直接運用量子物理來實現量子金鑰分發等安全機制。

後量子簽章會增加交易手續費嗎？

如果較大的簽章或較繁重的驗證增加交易大小、Gas 使用量或頻寬需求，部分網路的手續費可能會上升。

智能合約錢包能協助後量子遷移嗎？

可以。智能合約錢包和帳戶抽象有助於使用者採用新的簽章方案，而不必要求每個帳戶都使用相同且固定的密碼學方法。

後量子密碼學能阻止網路釣魚嗎？

不能。後量子密碼學無法阻止網路釣魚、假冒授權、助記詞遭竊、惡意連結或社交工程攻擊。

使用者現在應該怎麼做？

使用者應使用可信的錢包、防範詐騙、保護助記詞、避免不必要地重複使用地址，並等待可信網路和錢包團隊發布官方後量子遷移指引。

結論

後量子密碼學是密碼系統為因應未來量子電腦而採取的長期安全升級途徑。

對加密貨幣而言，這很重要，因為錢包、交易、驗證者、跨鏈橋、智能合約、Rollup、預言機和託管系統，都仰賴未必能永遠維持安全的密碼學原語。

ML-KEM、ML-DSA 和 SLH-DSA 等 NIST 定案標準，為整個科技產業的後量子遷移提供了重要基礎。

對區塊鏈而言，最困難的挑戰不只是選擇演算法，還包括在不破壞錢包、合約、驗證者作業、手續費或使用者體驗的情況下升級去中心化系統。

Bitcoin 的後量子挑戰主要集中於簽章、已公開的公鑰、交易大小和共識遷移。

Ethereum 的挑戰則涵蓋帳戶簽章、BLS 驗證者簽章、KZG 承諾方案、Rollup 證明系統及應用層密碼學。

DeFi 協議、跨鏈橋、託管業者和硬體錢包也需要遷移計畫，因為它們透過金鑰和簽章控制實際價值。

使用者不應恐慌，也不應相信非官方的量子安全工具，因為現階段詐騙比量子攻擊更迫切。

正確的做法是審慎準備、採用可靠標準、稽核實作、支援錢包、進行協議層級規劃，並提供清楚的遷移指引。

理解後量子密碼學最簡單的方式是：加密系統現在開始準備，讓數位所有權在量子電腦比現在強大得多的未來仍能維持安全。