延伸阅读
670 万枚搬不走的比特币
来源：知乎 · 查看原文
英国纽波特市郊有一座垃圾场。底下埋着一块硬盘，里面装着 8000 枚比特币。
主人叫 James Howells，2009 年用家里的电脑挖出来的。2013 年他打扫房间，手边有两个一模一样的笔记本硬盘，一个是空的，一个装着私钥。他扔掉了装私钥的那个。
垃圾车当天就把它运走了。等他反应过来，硬盘已经压在上万吨生活垃圾下面。
十三年过去，那 8000 枚比特币一次都没动过。它大概率永远也不会动了。
同期动起来的老钱包不少。2026 年 10 月，23 个沉睡十年以上的比特币地址陆续转出了资金，合计 1745 枚。
有意思的是，动过的这些反而成了新靶子。比特币的公钥一旦在链上出现过，就收不回去了。
按 BIP-361 提案的口径，公钥已经暴露在链上的比特币约 670 万枚，占流通量的三分之一左右。这个数每个月还在变大。
但真正麻烦的地方在别处，在比特币修东西的方式上。
扔错的那块硬盘
Howells 是英国纽波特的一名 IT 工程师。2009 年他用自己的电脑挖出了 8000 枚比特币，那时候挖矿还不需要专门设备。
那些币被存在一个 wallet.dat 文件里，躺在一块 2.5 寸笔记本硬盘上。
2013 年的一次大扫除改变了这一切。他手边有两块外观完全相同的硬盘，其中一块是空的。他拿起一块扔进了垃圾桶。
扔错了。
纽波特市议会后来一直拒绝他挖掘垃圾场的请求，前后拒绝了三次。他提过条件：自己承担全部挖掘费用，用无人机和机器人团队去找，挖到之后分给市里四分之一。
他甚至拿到了风投和对冲基金的钱，愿意出钱支持这次挖掘。
英国高等法院驳回了他的诉求，上诉也没有成功。法院认为，硬盘进入垃圾场的那一刻，所有权就归了议会。
纽波特议会后来公布了一个计划：关停这座垃圾场，在上面建太阳能电站。
如果电站建起来，那 8000 枚比特币会被永久封在下面。它们不会丢，也不会被偷，只是谁也拿不出来。
没人能动的那一批
670 万枚里，有两类性质完全不同的资产。
第一类是丢了私钥的地址。人还在，账号还在，钥匙找不回来了。Howells 那 8000 枚是其中最出名的一份。
第二类是中本聪那批。2009 年到 2010 年挖出来的币，一次都没动过，他本人从来没有露过面。这批币有多少，各家口径不一：孙宇晨在访谈里说约 100 万枚，隔岸观链给的是约 110 万枚，BIP-361 提案和 Google 委托的研究写的是约 170 万枚。
前一类是工程问题，钥匙找到了就能搬。后一类是死结，除非有人能证明自己是中本聪，否则那批币永远躺在那里，等着一个还不存在的小偷。
670万枚是怎么算出来的
暴露总量也有两个口径。
Glassnode 的联合创始人 Rafael Schultze-Kraft 给的是超过 600 万枚，约占流通量 31.2%。Google 委托的研究和 BIP-361 提案用的是约 670 万枚。
拆开看，670 万这个数由两块构成：P2PK 早期地址约 170 万枚，地址重用暴露的约 500 万枚。
这个数字还在涨。今年 5 月以来，新暴露的币增加了 22.2 万枚，增速超过了同期新挖出的区块奖励。
一边是威胁在靠近，一边是暴露面在扩大，两条线是相向而行的。
醒过来的钱包，把公钥留在了原地
2026 年 10 月这波老钱包苏醒，很能说明暴露面是怎么长出来的。
10 月 18 日，一个 2013 年就没有动过的地址一次性转出了 411 枚比特币。前一天，另外两个休眠超过十年的钱包合计转了 417 枚。当月累计，23 个老钱包转出了 1745 枚。
这些转账大多没有进交易所。链上看，钱只是从一个旧地址搬到了一个新地址，新地址用的是更新的格式，手续费更低，也更安全。
问题出在搬的这个动作本身。
比特币的公钥平时是藏着的，链上只有它的哈希值。但只要这个地址往外转过一次钱，公钥就被永久公开了。搬得再干净，旧地址那份公钥留在原地，谁都删不掉。
于是一个很拧巴的局面出现了：老钱包醒过来是为了更安全，醒来这个动作本身却让它变成了靶子。而它们醒过来的原因，多半正是听到了量子威胁的风声。
公钥是怎么被晒到链上的
比特币的安全靠的是椭圆曲线数字签名。每个地址背后有一对钥匙，私钥负责授权支出，公钥可以公开，正常情况下从公钥推不出私钥。
量子计算要破的，正是「公钥反推私钥」这一步，用的是 Shor 算法。
所以风险大小只取决于一件事：你的公钥有没有被晒在链上。晒了，就是靶子。没晒，攻击者连入口都没有。
P2PK：2009年的老格式
最老的一类地址叫 P2PK，2009 年到 2010 年挖矿时常用。
它的特点是公钥直接写在链上，不经过任何隐藏。中本聪那批币就是这种格式。
这等于给未来的攻击者留了一份没有期限的作业：什么时候算力够了，什么时候回来算。
地址用第二次就不安全了
现代地址平时只暴露公钥的哈希值，是安全的。
但只要从这个地址往外转过一次钱，公钥就被永久公开了。此后再往这个地址存钱，就进了高风险区。
机构之间的差距由此拉开。Glassnode 的统计里，Robinhood 的暴露比例是 100%，币安约 83%，灰度约 49%，Coinbase 约 10%，富达管理的 37.5 万枚里只有约 2% 暴露。
同一套技术，暴露程度差了几十倍。差距不在算法，在托管方的工程习惯。
这句话也可以反过来读：暴露面是日常操作一天天攒出来的，不是天生注定的。有的机构攒了十几年，有的机构几乎没攒。
有解，方案已经写在纸上了
量子计算对加密货币到了哪一步了。
技术层面其实不悲观。
2026 年 2 月，BIP-360 合入比特币改进提案仓库。提出者是 Hunter Beast、Ethan Heilman 和 Isabel Foxen Duke 三个人。
BIP-360：先修一个安全的目的地
BIP-360 引入了一种新的输出类型，叫 P2MR，支付至默克尔根。
它和 Taproot 地址的功能几乎一样，区别是去掉了其中那条依赖公钥的花费路径。公钥不再长期暴露，长期攻击面就消失了。
它只增加了一个选项，没有拿走任何人的东西。
BIP-361：到期不搬，币就冻在原地
真正吵起来的是配套的 BIP-361。
它的全称叫「后量子迁移与旧签名退役」，2026 年 2 月 11 日拿到编号，至今仍是草案状态，没有激活，也没有定日期。作者团队里包括 Casa 联合创始人、资深安全研究员 Jameson Lopp。
它设了三个阶段。
第一阶段，激活后约三年，不能再往旧的脆弱地址发送比特币，但存量还能花。
第二阶段，再过两年，ECDSA 和 Schnorr 这些旧签名彻底失效，没迁移的币再也不能动。
第三阶段还在研究，想法是让被冻结的人用零知识证明自己持有原始助记词，但不泄露助记词本身，把币捞回来。
一个容易被漏掉的细节：BIP-361 要等 BIP-360 激活之后才能运作。倒计时从「安全的目的地已经存在」那天才开始，不是从今天。
它只给了三个选项
BIP-361 有一段很诚实的话，它列出了处理这批脆弱资产的全部可能。
一是允许任何人拿走。二是允许它们被逐步拿走。三是不让任何人拿走。
没有第四个选项，也就是让那些币就这么安全待着。
反对者的核心论点也在这里。如果网络能因为一个足够好的理由，让某一类资产变得不可花费，那么这套机制就能因为一个更糟的理由，再被用一次。
支持者的回答同样直接：什么都不做，并不等于保住了这些币，只是把它们交给了第一个拿到量子算力的人。
90%的矿工门槛和2%的现实
BIP-361 定的启动条件很硬。
矿工信号不早于 2027 年 1 月 1 日开始，而且需要 90% 的支持率。
对照一下现实。今年 8 月进入信号窗口的 BIP-110，到现在拿到的矿工支持率不到 2%。
把这两个数字放在一起看，提案的作者大概自己也不指望它短期内通过。它更像是一次把问题正式记录在案的动作，而不是一份准备马上执行的方案。
比特币没有能拍板的人
这才是整件事里最难的部分。
一个密码学升级要落地，在别的网络上有明确的推动主体。以太坊有基金会，Vitalik 可以公开表态加速转向 SPHINCS+ 这类纯哈希签名方案。Starknet 把量子抗性写进了 2027 年的目标。Sui 已经在测试网上跑量子安全交易。Zcash 和 Near 也都有各自的计划。
连 Google 都能给自己定一条 2029 年完成的时间线。
比特币不行。它没有首席执行官，也没有一个被授权去推动共识变更的基金会。
任何一次签名方案的升级，都要先在开发社区里形成粗糙共识，再说服矿工，然后等钱包、交易所、托管机构挨个跟上，最后还要等每一个普通用户自己动手把币搬过去。这中间没有任何一环是可以下命令的。
四层关卡，每层都要时间
Coinbase 在 10 月 13 日的立场文件里，把迁移拆成了四层：BIP 层面、软件层面、基础设施层面、用户迁移层面。
每一层都要单独花时间，而且后一层要等前一层。
Ledger 的首席技术官在 2026 年 9 月说过，这个过程可能需要数年。Bernstein 在 4 月的研报里给的是三到五年。Coinbase 自己的措辞是「一个充满挑战、复杂且需要数年时间的过程」。
这些机构都不认为技术本身做不到，它们说的是同一件事：搬家很慢。
以太坊创始人 Vitalik 对这类搬迁给过一个更实在的提醒。他说过，自己因为操作失误损失的资金，比因为被黑客攻击损失的还多。
这话说的是另一层风险：上千万人同时动手搬币，搬丢的、搬错的、被钓鱼的，可能比被量子计算机偷走的更多。
时间窗口的真实算式
于是这道题可以写成一行减法。
威胁可能到达的时间，减去共识达成的时间，再减去全生态迁移的时间。
前一项，各方给的是：Project Eleven 的基准年份 2033，区间 2030 到 2042。全球风险研究所的专家调查，十五年内的概率约 60%。德国联邦信息安全局在 2025 年把预估下调到十到十五年。
后一项，迁移要三到五年，或者数年。
中间那一项，共识要多久，没有人能给出数字。它是这个算式里唯一不可控的变量，也是唯一没有人在负责的变量。
密码学工程师 Filippo Valsorda 把这个问题重新表述过一次：值得纠结的不是「你确定 2030 年会出现能破解的量子计算机吗」，而是「你确定 2030 年不会出现吗」。
有人搬了家，那批币还在原地
孙宇晨在这个月的访谈里说，他已经启动了所谓「掩体模式」，把自己的比特币转进了从未签名过、从未转出过的新冷钱包。
这个动作在技术上是对的。新地址没有公钥暴露，攻击者拿不到入口。
但它只解决了他自己的问题。
就算全世界所有还活着的持币人都搬完了家，中本聪那批还在原地，丢了私钥的那些地址还在原地，纽波特垃圾场底下那块硬盘还在原地。
个人能自救，系统拿不到解药。
活人的币搬一次，暴露面就大一块。死人的币搬不动，只能躺在原地等着。670 万枚这个数字真正量的不是风险大小。它量的是一道决定，一道在比特币这套体系里没有人有权限替别人做出的决定。
技术上的答案已经写在提案里了。难的是让几百万人，在同一个时间，同意同一个答案。
最后说一句正事。我们做软件开发，不参与任何项目的运营，也不做任何形式的代理与推广。
区块链相关的系统开发、钱包与托管方案、链上数据工具，包括 DAPP、小程序、APP、分销与商城系统，我们都能做。
有开发需求的，加编辑 leimi9988，说清你要做什么形态、大概多少量级，我把报价和方案清单发给你。
文中涉及的比例与数量，不同机构口径存在显著差异，已在正文中标注来源，未经相关方确认。本文不对任何数据的真实性、准确性、完整性作出保证。
作者不参与本文所涉任何区块链项目的运营、推广、投资与代理，与文中提及的机构、企业、个人均无利益关联，也不提供任何项目私下评估。
我是雷米，在东莞经营一家软件开发公司，团队规模五百余人，其中技术人员三百多名，累计服务客户三十万余家。我们只做软件开发和技术服务，不参与任何项目的运营。
玩家勿扰，玩家勿扰，玩家勿扰，玩家勿扰，玩家勿扰，玩家勿扰。
本文编辑：leimi9988
DAPP、小程序、APP、分销模式、商城系统、区块链应用开发，关注小编领取开发报价。
点个关注，接着往下拆