尽管行业流言和恐慌不断，量子计算机真正威胁当今金融系统的那一天，仍然相距数年之遥。但为此做好准备的成本，如今已经变得切实可见。
今年 3 月，谷歌研究团队发布的报告指出，一台足够强大的量子计算机可在数分钟内破解现行主流的 256 位椭圆曲线加密。这种加密算法当前被广泛应用于加密钱包、托管系统、区块链签名及众多金融机构的安全基础设施。
“Q 日”（量子冲击日）虽然暂未到来，但各国政府已开始布局应对。因为这项风险无法被忽视。美国正在投入数十亿美元推动联邦系统迈向后量子加密标准，而美国国家标准与技术研究院（NIST）要求在 2035 年前逐步淘汰易受攻击的算法。
对于加密行业来说，迁移的难度更高。市值以十亿美元计的资产，往往多年无人触碰；部分旧钱包或许永远得不到升级；机构托管体系也大多围绕那些未来将被量子计算机攻破的算法构建。
BeInCrypto 就未来迁移的实际流程及相关成本，专访了 BitGo、Nethermind 及密码学社区的专家。
Bitcoin's Quantum threat is a PR problem, not a technical one. That's according to Oxford computer scientist @StefanoGogioso .
— BeInCrypto (@beincrypto) July 23, 2026
Even if 75% of all crypto is quantum-resistant, the moment one Satoshi-era coin moves, the market could lose trillions.
If there's 1% chance that… pic.twitter.com/GMIeEK3s83
量子冲击下的加密机构巨头风险
三位受访专家均达成共识：机构需全面梳理自身使用易受量子攻击加密算法的各个环节，包括签名系统、硬件、资产恢复机制、身份认证和长期密钥管理等。
Nigel Smart，计算数论博士，并将此梳理过程称为“加密物料清单”。
“后量子加密标准与多种可生产环境部署的方案已相继出台。但大多数机构缺乏的是加密物料清单——也就是弄清楚本机构在何处使用了加密技术、密钥如何托管，以及正在运行哪些算法。”
NIST 也同样强调，发现并梳理加密算法的使用范围，是迁移流程的首要步骤之一。详见官方文档。
BitGo 的 Akshay Thakur 则提出，机构托管还需解决一项核心难题。
“机构托管依靠门限签名机制，密钥从未在单一地点完整生成。而 NIST 优先考虑了实现简洁性、方案紧凑和保守性，对门限特性却未作出标准化要求。当前已被 $SOL、$ALGO 以及 $TRON 采用的 Falcon 算法，尚不存在可行的门限构造。这仍是悬而未决的密码学难题。”
NIST 于 2026 年 1 月正式启动了其首轮 多方门限协议的征集计划，但在其 MPTS 研讨会上发布的研究显示，采用标准哈希签名的门限签名方案在效率上存在严重劣势。
Nethermind 的 Nitin Gaur表示，这一问题同样贯穿于企业系统各个环节。Nethermind 是一家专注于区块链基础设施工程的公司。
“整个业务体系的密码资产包括：在 TLS、JWT 签发、代码签名、CA 根证书、API 认证、固件等场景下，所有对 RSA、ECC 及 Diffie-Hellman 的应用。这部分改造占据整体项目预算的 10% 至 15%，但却是推进进度路线上最关键的 100%。”
The White House just confirmed it: The U.S. is going all-in on Quantum tech. 🇺🇸
— BeInCrypto (@beincrypto) June 22, 2026
Now that it's official, the crypto market needs to have a serious conversation about post-quantum cryptography.
If quantum computers arrive sooner than expected, billions in exposed bitcoin:native… https://t.co/1FaLyh9EgV pic.twitter.com/sU6GUywZLM
签名体积暴涨，成本随之上升
后量子安全算法通常带来更大尺寸的密钥和签名。NIST 推出的 ML-DSA-65 签名长达 3,309 字节，公钥为 1,952 字节，而目前主流椭圆曲线签名仅为几十字节。一些 SLH-DSA 变体，签名体积甚至可达数万字节。
在区块链中，签名体积越大，意味着链上带宽消耗更高、存储需求更大，用户也将面临更高的链上手续费。
对于$PoS 网络，Nigel Smart 还指出，标准化的后量子签名在高效聚合时面临巨大挑战。
“后量子签名的体积可能远大于当今的方案，将带来带宽、存储和验证压力的全面提升。尤其在区块链场景下，我们需要能够高效聚合的签名（$PoS 共识层尤为关键），但目前主流后量子签名在这方面依然难以实现高效。”
Thakur 认为，这些成本最终会在用户签名时体现得尤为明显——体积更大的签名，将在多方协议中传播，显著延长交易处理的延迟。
而在传统和后量子签名并存的“混合阶段”，这些成本可能会进一步被放大。
托管领域的全新课题
机构级托管体系历来围绕椭圆曲线密码学设计，包括 MPC、多种硬件安全模块、密钥恢复和审批流程等机制。如今若转向后量子签名，意味着托管方需要对所有围绕关键私钥的运维系统进行重新验证和适配。
Gaur 强调，单靠 MPC 本身无法实现抗量子攻击能力。
“MPC 只是在分散运算过程，算法本身并未改变：五方门限 ECDSA 依然是 ECDSA。量子计算机可以仅凭公钥反推出私钥，无需攻破任何参与方，也无所谓有多少个参与方。每一美元用来分散签名者之间的信任，对于提升量子抗性都毫无帮助。这一点在许多自认为托管方案‘行业领先’的机构内部尚未被充分认识。”
Nigel Smart 指出，最难升级的正是钱包、托管基础设施，以及这些已控资产的智能合约。
$BTC 就显现了时间的重要性。根据 2026 年 6 月一份报告，约有 170 万枚比特币依然存放在早期地址，这些地址的公钥已被暴露。
其中许多 $BTC 很可能永远不会再发生转移。一旦量子计算机的能力超越整个网络的迁移进度，这些资产将面临失窃风险。
How does Satoshi prove they're Satoshi after quantum computers arrive?
— a16z crypto (@a16zcrypto) August 28, 2026
According to @danboneh , the answer is leaving a cryptographic note onchain today, then opening it in 100 years. https://t.co/1aRjihHSoW pic.twitter.com/A0qEGU7gac
谁来为迁移买单？
Smart 预计，迁移责任将由协议开发者、托管机构、服务商和资产所有者共同承担，因为各方分别掌控着迁移流程中的不同环节。
而 Gaur 则主张，由高层主导的中央统一预算制度更为可行。
“应比照 Y2K 危机和 LIBOR 退场那样设立中央专项，安全负责人（CISO）主责，首席财务官（CFO）批准，跨多年度持续投入。没有哪个业务条线会自愿为这样一个‘无营收、无客户需求’的项目拨款。如果不这样设预算，这事根本推不动。”
公链治理难度更大，因为没有哪个“总预算持有人”可以强制所有参与者实现同步升级。托管机构或许可自行替换签名系统，但既无法强迫沉寂多年的资产持有人转移资金，也无法推动全网达成共识性变更。
互联网安全领域展示了大规模技术迁移可率先起步的经验。到 2026 年 4 月，Cloudflare 报告称，接入其网络的由人类产生的 TLS 流量中，超过 2/3 已启用后量子安全防护。
难以量化的迁移成本
加密行业仍未拿出权威的全行业成本评估。Thakur 梳理了主要的成本难点。
“成本最大头并非加密算法本身，而是资产盘点与依赖映射；是那些根本无法升级、只能直接换掉的硬件；是传统与后量子系统并行运行、以严格验证新系统能否满足全部安全要求的测试期；是重新审计、重新认证的投入。还有一个以往任何密码系统升级都没有遇到的全新难题：为资产迁移支付链上手续费，这些由于后量子签名数据量大增而推高的费用。”
Nigel Smart 还就大规模迁移的时间表发表了看法。
“这一转型周期可能需要数年，而非几个月。因此，提前进行资产盘点、测试与分阶段迁移，更胜于临近截止日期时匆忙升级。但过去数月内，许多政府与大型企业已经大幅提前自己的迁移计划。”
目前公布的日期，已为机构提供了充足的预算与规划依据。以太坊正在推进2029 年左右实现核心抗量子保护，而 NIST 的过渡时间表则延伸至 2035 年。
真正的不确定性在于“具备实际威胁的量子硬件”何时问世。与此同时，机构的采购周期、硬件更替和托管方案优化，本就是以年为单位进行规划与执行的。
在 cn.beincrypto.com 阅读由 Bradley Peak 撰写的原始文章 量子计算威胁引发 70 亿美元加密救援战