作者： Biteye
10 月 8 日，Starknet 官方表示，团队正在积极考虑从 Ethereum L2 转为独立 L1，并把 2027 年成为“完全抗量子网络”作为目标之一。
Eli Ben-Sasson @EliBenSasson 给出的理由是：量子威胁可能比市场想象中来得更快，而如果继续依赖 Ethereum，Starknet 自己能推进的密码学升级速度会受到限制。
Starknet 并不是个例，Ethereum、NEAR、Algorand、Sui、Solana 都已经开始不同程度地准备抗量子方案。
不在开发者圈子，我们甚至感知不到量子计算机带来的威胁，但「抗量子」这个词出现的频率越来越高，所以我们来拆解一下：为什么现在公链都在做抗量子准备？
1️⃣量子计算到底能攻击 Crypto 的什么？
大家常说“量子计算可以破解 Bitcoin”，但更准确地说，量子计算威胁的是公链使用的公钥密码学。
Bitcoin、Ethereum、Solana 目前大量使用 ECDSA、Schnorr、Ed25519 等椭圆曲线签名，安全前提是“从公钥反推私钥”在传统计算机上几乎不可行。
但足够强的量子计算机可以通过 Shor 算法大幅降低这一难度，一旦公钥已经公开，理论上就可能出现“公钥 → 私钥 → 伪造签名 → 转走资产”。
原本业内预计量子威胁到来的时间是 2029 年 ，但最近Ethereum 研究员 Justin Drake 在看到 AI 数学能力快速提升后，呼吁行业开始进入“bunker mode”。
10 月 6 日，OpenAI 一次性公开了 722 份数学手稿，归为 372 组结果，覆盖大量长期未解问题，并给其中不少证明提供了 Lean 形式化版本。
AI 可能加速数学研究，在真正的量子计算机成熟之前，就先找到更高效的算法，削弱现有 ECDSA 等密码体系的安全边际。
2️⃣如果 Q-Day 今天到来，谁最危险？
如果 Q-Day 真的到来，不同公链面对的风险并不一样。判断谁更危险，关键看两点：公钥是否已经暴露，以及旧资产能不能顺利迁移。
所以按照公钥暴露方式和迁移难度，大致可以分成下面三类。
第一档：公钥天然暴露的链
Solana 是最典型的例子，普通账户地址本身就是 Ed25519 公钥，因此攻击者不需要等待用户发交易，就可以直接针对已有账户计算私钥。
如果未来真的出现可以快速破解 Ed25519 的量子计算机，攻击者不需要等待用户发起交易，就可以直接对已经公开的公钥开始计算。
第二类：UTXO 链。
Bitcoin、Litecoin、Dogecoin、Bitcoin Cash 等都属于 UTXO 模型。这类链很多常见地址不会一开始就公开完整公钥，而是先保存公钥的 Hash，所以只要资金没有被花费，公钥通常还不会暴露。
但只要用户从这个地址发起过转账，链上通常就会公开对应的公钥和签名。如果之后继续复用同一地址，后续资金就会长期处于公钥已暴露的状态。
真正棘手的是，Bitcoin 已经运行接近 17 年，链上已经积累了大量沉睡资产和旧地址。未来即使推出抗量子地址，这些旧资金也不会自动获得保护，仍需要持有人主动迁移，因此全网升级会非常困难。
第三类：EVM 系公链
Ethereum、BNB Chain、Avalanche C-Chain，以及 Polygon、Base、Arbitrum、Optimism 上的大量普通 EOA，都使用 secp256k1 ECDSA。
EOA 地址本身并不是完整公钥，而是由公钥经过 Hash 后生成。因此，一个只收过资产、从未主动发过交易的地址，完整公钥通常还不会暴露。
但只要 EOA 发过交易，链上就会留下 ECDSA 签名，对应公钥也可以被恢复出来。也就是说，大量活跃地址其实已经处于公钥暴露状态，而从未发过交易的地址还多一层保护。
3️⃣公链已经开始怎么应对量子威胁？
过去很长一段时间，抗量子更多停留在研究和讨论层面，但今年开始，越来越多公链把方案真正推进到了主网和协议层。
7 月 20 日，NEAR 2.13 升级正式把 NIST 标准化的 ML-DSA-65 带到主网。现有账户可以直接添加抗量子 Access Key，再逐步替换传统密钥，不需要重新创建账户。
Sui 今年 8 月也公布了自己的路线，计划同时支持 ML-DSA-65 和 SLH-DSA 两套后量子签名，并通过 Address Alias，让用户未来可以在不更换地址、不迁移资产的情况下更换授权密钥。
Ethereum 情况更复杂。除了用户钱包，验证者使用的 BLS、KZG Commitment，以及部分 ZK 系统也都需要升级。今年 1 月，Ethereum Foundation 成立了专门的 Post-Quantum Security Team，开始测试新的验证者签名、账户抽象和替代 KZG 的方案。
Starknet 则更激进。它不只是想给账户增加抗量子签名，而是希望把整条网络升级成真正的抗量子公链，并把 2027 年作为目标时间。
?写在最后：抗量子是必修课，也是一轮新叙事
量子计算机的威胁来势汹汹，$STRK 因为利好价格上涨一倍，一个月涨幅从最低点计算甚至上涨 5 倍。
另一边，新公链 Quantus 直接把“抗量子”作为核心定位，并把自己称作面向量子时代的 BTC ，一时间，「抗量子」变成了当红炸子鸡。
但风险是风险，叙事是叙事。
从长期来看，抗量子并不是某一条公链的独家卖点，所有依赖现有公钥密码学的网络迟早都要面对的一次基础设施升级。
所以如果从炒作层面看，我更愿意把「抗量子」当成一轮新叙事。最直接的是原生抗量子链 Quantus；其次是已经把 ML-DSA 带到主网、又通过 Intents 帮 Quantus 接入外部流动性的 $NEAR ；再往后，是直接把“完整抗量子公链”写进路线图的 Starknet。
普通用户其实没必要因为“量子威胁”立刻大规模迁移资产。Vitalik @VitalikButerin 也提醒，真正需要避免的是因为恐慌，匆忙把资金转进自己并不熟悉、甚至还没经过充分验证的新方案里。
现阶段更实际的做法，是减少地址复用，大额长期资产尽量放在公钥尚未暴露的新地址里，同时关注自己常用的钱包和公链有没有明确的抗量子迁移方案。
