量子计算机能破解比特币吗：哪些地址有风险，囤着的要不要换
所谓「量子计算机破解比特币」，指的是用足够强的量子计算机，从链上已经公开的公钥算出私钥，再抢在主人前面把币转走。眼下做不到：谷歌量子 AI 团队 2026 年 3 月估算，相关破解电路要在一台不到 50 万个物理量子比特的超导量子计算机上跑，而谷歌 2024 年 12 月公布的 Willow 芯片是 105 个量子比特，差得很远。真到那天，先暴露的也不是所有地址，是公钥已经摆在链上的几类：早年直接写公钥的老输出、花出过又还留着余额的地址、bc1p 开头的 Taproot 地址。没花出过、没重复用过的 1、3、bc1q 地址，不用为这件事专门转一次。
离「能破解」还差多远
把两个数放在一起看。谷歌 2024 年 12 月发布 Willow 芯片时，写的是「105 个量子比特」；同一家公司的量子 AI 团队在 2026 年 3 月 31 日的研究博客里估算，能威胁加密货币签名的那种机器（他们叫 CRQC，指密码学意义上够用的量子计算机）需要的规模在 50 万个物理量子比特以内。一个一百出头，一个几十万。
这篇不猜年份。网上流传的年份和概率五花八门，本站根据 BIP 原文和公开资料核对（2026-10-12），能对上原文的只有这两个数，所以话也只说到「差得很远」。
远归远，谷歌那篇研究博客自己的说法是，CRQC 正在一步步接近现实，需要往抗量子密码过渡；它列出的建议里有一条很朴素：不要暴露、也不要重复使用有量子风险的钱包地址。后面几节，就是把这一句落到你自己的地址上。
顺带说一句挖矿。Bitcoin Wiki 的说法是，有量子硬件的矿工能用 Grover 算法拿到「平方级」的优势。那是矿工之间比算力的事，不会让谁直接拿走你地址里的币，囤币这一侧可以先放下。
风险出在公钥有没有摆到链上
你的收款地址大多不是公钥本身，是从公钥算出来的一串摘要。BIP-360 写道：大多数比特币交易在花费时需要公开对应的公钥。Bitcoin Wiki 说得更直白：你的公钥只会在你花掉这个地址里的币的那一次露出来。这句对 1、3、bc1q 成立；下表里的 P2PK 和 bc1p 是例外，收币时公钥就已经在链上。
按公钥公开的方式，它把量子攻击分成两种。
- 长暴露。拿链上早就公开的数据下手，比如已经公开的公钥、花过的输出留下的脚本。不赶时间，慢慢算也来得及。原文认为，这很可能是比特币上最早能实现的那一类量子攻击。
- 短暴露。一笔交易广播出去、还没被确认的那段时间，公钥已经在内存池里了，攻击者得赶在确认之前把私钥算出来。这要快得多的机器，按原文的估计，早期的 CRQC 不太可能快到这一步。
所以对囤币的人，现在要琢磨的只有长暴露：哪些币的公钥已经长期躺在链上。
四种开头：哪些一收币就露，哪些花了才露
下表前三列摘自 BIP-360 原表（原表 P2WPKH、P2WSH 分两行，这里并成 bc1q 一行），本节说的「原文」「原表」都指这份文档；最后一列是本站按它的星号注释和 BIP-341 换成的家常话。
| 开头 | 类型 | BIP-360 是否标为有风险 | 公钥什么时候上链 |
|---|---|---|---|
| 不固定 | P2PK，早期直接写公钥的输出 | 是 | 收币那一刻就在链上 |
| 1 | P2PKH | 否* | 从这个地址往外花的时候 |
| 不固定 | P2MS，裸多签输出，如今很少见 | 是 | 收币那一刻就在链上 |
| 3 | P2SH | 否* | 往外花、脚本被揭开的时候 |
| bc1q | P2WPKH / P2WSH | 否* | 往外花的时候 |
| bc1p | P2TR（Taproot） | 是 | 收币那一刻就在链上 |
| bc1z | P2MR，草案里的新类型 | 否* | 还没启用 |
星号的意思，原表注释写明了：P2PKH、P2SH、P2WPKH、P2WSH 和 P2MR 里的币，只要脚本揭示了公钥，随时可能成为长暴露攻击的目标。1、3、bc1q 的「否」因此是有条件的：前提是这个地址还没往外花过。花过一次，公钥就公开了；要是上面还剩着币，或者之后又往里收了币，这部分就和 bc1p 站到了同一排。原文清单里「复用过的输出」，说的就是这种。
bc1p 一收币就露，原因在 BIP-341：Taproot 输出的见证程序是 32 字节，代表的就是一把 BIP-340 格式的公钥。地址里装着公钥本身，不用等你花。本站地址开头那篇说过，从手续费上来比，bc1p 和 bc1q 的差别可以忽略；换到公钥暴露这个角度，bc1q 多了一层「花之前看不见公钥」，那篇没讲到这一点。
第一行那种 P2PK，原文举的例子是中本聪的币和早年 CPU 挖矿挖出来的币，谷歌那篇博客也提到了怎么处理「被遗弃的币」的政策选项。那是全网层面要吵的事。小额买币、提到自己钱包的人，对照后几行就够了。
按这个顺序查自己的地址
- 先分清币在哪。币在交易所账户里的时候，链上用哪个地址、什么时候挪，是平台的事，个人选不了。这种情况下面几步都用不上。
- 自己钱包里的，看收款地址开头。1、3、bc1q 走第 3 步，bc1p 跳到第 4 步。
- 1、3、bc1q 看有没有往外花过。把地址贴进链上到账查询，结果里有「当前余额」和「已确认交易数」两栏。交易数是收和花一起算的：你记得这个地址收过几次，交易数比这个多，多出来的多半就是花出记录。余额已经是 0 的，不用再管；余额不是 0、又花出过的，就是下一节要处理的那类。
- bc1p 不用翻记录。收进来那一刻公钥就在链上了，直接看下一节。
- 回想一下有没有把 xpub 交出去过。xpub 叫扩展公钥。按 BIP-360 的说法，它和钱包描述符同样会泄露有量子风险的公钥信息。
囤着的币，怎么动得最少
每一次「换地址」都是一笔链上交易，要付手续费，费用按数据量算，跟转多少钱无关。所以本站的原则是：没暴露的不动，暴露了的也等顺手的时候再动。
- 没花出过的 1、3、bc1q：不动。这跟地址开头那篇的结论接得上，老地址里的余额不用专门转一次去「升级」，那一转本身就要付费。BIP-360 的原话是，防长暴露不靠等协议上线抗量子签名，靠的是用户别通过复用公钥这类做法让攻击者拿到公钥。不复用，你现在就做得到。
- 花出过、还留着余额的：等下次本来就要花钱的时候顺手处理。那次付款把这部分余额一起当输入花掉，找零收到一个全新的 bc1q 地址（找零怎么走，见找零地址那篇），之后这个新地址只收不复用。要是这笔打算放很多年、近期根本不会动，等不到「顺手」那天，也可以挑费率低的时段专门挪一次，顺手把零碎的小块一起收拢，合并那一笔多贵、值不值，UTXO 合并那篇有算法。眼下这一轮，挪一次就够。
- bc1p 上的：我们不追着挪。离能破解还远，等下一次本来要动它，收到 bc1q 地址就行；新的收款，暂时先用 bc1q。
- 交易所里的：这件事上没什么可动的。要不要提到自己钱包是另一笔账，取舍见买了比特币放哪最安全。
真要动之前，先用转账费现在贵不贵看一眼当前费率。费率高的日子，不差这一两天。
两份草案要是真通过了
协议层在讨论的方案有两份，状态都是 Draft，也就是草案：没激活，细节还可能改。下面只按 2026-10-12 读到的原文说。
BIP-360 提的是一种叫 P2MR 的新输出类型，开头 bc1z。它和 Taproot 的功能几乎一样，只是去掉了「密钥路径」这种花费方式，相当于把 bc1p 一收币就露公钥的那条路拿掉。按原文，它走的是共识层的软分叉。
BIP-361 更进一步，要提前宣布旧签名（ECDSA 和 Schnorr）的「日落」。它依赖一份抗量子签名的 BIP，而那一份目前还写着待定。原文的时间表是这样的：
- 激活后约 160,000 个区块（大约 3 年），进入 A 阶段。不再允许往有量子风险的地址转币。没升级的钱包从这时起收不到别的钱包转来的币，只能往已升级的钱包转出。
- A 阶段之后 2 年，进入 B 阶段。旧签名的花费要套上一个抗量子的救援流程，防止有量子风险的 UTXO 被盗。到这一步，收发两边都得用升级过的钱包。
原文自己也承认，协调钱包、交易所、矿工和托管方，历来要花好几年。
对囤币的人，哪天真有新地址类型激活，Bitcoin Wiki 那句话就成立了：每个人都得把币转到新类型上，才算拿到量子安全。到那时还得再挪一次，多半躲不掉，所以眼下更犯不着为一份还没定稿的方案先挪一次、将来再挪一次。哪天你常用的钱包在收款地址里给出 bc1z 这种新开头，再把币一次搬过去。