美国向三大量子公司砸 3 亿美元！比特币 BIP-360 、 361 抗量子迁移升温

美国政府加码量子运算产业，亦让比特币长期面对的「量子威胁」再次由理论风险走向实际工程议题。美国商务部 9 月 8 日正式敲定对 Rigetti 、 D-Wave 及 Quantinuum 的 CHIPS 研发奖励，每家公司最高可获 1 亿美元，三家公司合计最高 3 亿美元，资金将用于量子晶片、低温系统、错误率改善及容错量子运算等技术。

值得注意的是，3 亿美元并非华府此次量子投资的全部。同日，光子量子运算公司 PsiQuantum 亦获最高 1 亿美元研发奖励，GlobalFoundries 则获最高 3.75 亿美元，其中包括建立美国本土量子晶圆代工能力。早在今年 5 月，美国商务部已公布 9 家企业合计 20.13 亿美元量子产业投资意向，显示政策正由基础研究逐步推向制造及大规模硬体。

这波投资亦重新放大加密货币市场的一个长期尾部风险：若未来出现具密码破解能力的量子电脑，Shor 演算法理论上可以由公开金钥反推出私钥，威胁比特币使用的椭圆曲线数位签章。

目前并没有证据显示量子电脑已接近实际破解比特币。真正值得市场注意的，是比特币完成全球钱包、交易所与 UTXO 迁移本身可能需要多年，因此开发者不能等到「Q-Day」真正到来才开始处理。

BIP-360 先堵「长期暴露」风险

目前讨论较成熟的第一步是 BIP-360，即 Pay-to-Merkle-Root（P2MR）。它提出一种新的比特币输出类型，保留类似 Taproot 的脚本树功能，但移除会直接暴露公钥的 key-path spend 。

这意味 P2MR 可降低公钥长时间暴露后被量子电脑破解的风险，但它并不等同完整的后量子签名方案。 BIP-360 文件明确指出，若量子电脑已快到能在交易进入 mempool 至确认之间破解公钥，仍须导入 ML-DSA 、 SLH-DSA 等真正的后量子签名技术。

BIP-361 更激进：最终淘汰旧式签名

BIP-361 则处理更棘手的「怎样让全网搬家」。

按照目前草案，第一阶段将逐步禁止资金再流入量子脆弱地址；之后则考虑限制 ECDSA 及 Schnorr 签名支出，迫使用户在预定期限前迁移到后量子地址。 BIP-361 资料估算，截至 2026 年 3 月，已有超过 34% 的比特币供应曾在链上暴露公钥，意味潜在受影响资产规模达数百万枚 BTC 。

问题在于，若大量早期比特币——包括遗失私钥、早期 P2PK 地址甚至可能属于中本聪的持币——未主动迁移，未来究竟应该冻结、允许量子破解者取走，还是建立特殊「救援证明」，都涉及巨大的财产权与共识争议。

因此，BIP-361 目前仍只是 Draft，甚至明确依赖一个尚未确定的后量子签名 BIP，距离主网正式启用仍有很长距离。

量子风险尚远，迁移时钟已开始走

NIST 早在 2024 年已正式发布 ML-KEM 、 ML-DSA 及 SLH-DSA 三套后量子密码标准，并呼吁系统营运者开始准备迁移，原因并非量子破解已迫在眉睫，而是大型密码基础设施转换往往需要多年。

截至 9 月 10 日，比特币价格仍约在 7.8 万美元附近震荡，量子风险尚未成为影响短期价格的主要因素。

但从金融市场角度看，美国政府正把数以十亿美元计的资金投入量子硬体，而比特币开发者则开始讨论数百万枚 BTC 如何安全迁移，两条时间线正在逐渐靠拢。

真正的风险并不是「量子电脑明天破解比特币」，而是当量子硬体真正跨过临界点时，比特币是否已经完成一场可能涉及全球交易所、托管商、冷钱包以及数百万 UTXO 的史上最大规模密码学迁移。