<p>本系列的第一部分解释了量子计算机实际上是什么。它们不仅仅是常规计算机的更快版本，而是一种根本不同的机器，利用了仅在原子和粒子尺度上适用的奇怪物理规则。</p>
<p>但是，了解量子计算机如何工作并不能告诉你它如何被恶意行为者用来窃取比特币。这需要理解它实际上攻击的是什么，比特币的安全性是如何构建的，以及具体的弱点在哪里。</p>
<p>本文从比特币的加密开始，讲述了破解它所需的九分钟窗口，这一点在谷歌（GOOG）最近的量子计算论文中得到了确认。</p>
<h2><strong>单向映射</strong></h2>
<p>比特币使用一种称为椭圆曲线密码学的系统来证明谁拥有什么。每个钱包都有两个密钥。一个是私钥，这是一个 256 位长的秘密数字，二进制表示，长度大致与这个句子相当。另一个是公钥，通过对特定曲线进行数学运算从私钥导出，称为 “<em>secp256k1</em>”。</p>
<p>可以将其视为一个单向映射。从一个所有人都同意的已知位置开始，称为生成点 G <strong>（如下图所示）</strong>。按照曲线数学定义的模式，采取私密的步数。步数的数量就是你的私钥。你在曲线上的终点就是你的公钥 <strong>（图中的点 K）</strong>。任何人都可以验证你最终到达了那个特定位置。没有人能够弄清楚你走了多少步到达那里。</p>
<p>从技术上讲，这可以写成 K = k × G，其中 k 是你的私钥，K 是你的公钥。这里的 “乘法” 并不是常规的乘法，而是一种几何运算，你在曲线上重复地将一个点加到自身上。结果落在一个看似随机的点上，只有你的特定数字 k 能够产生。</p>
<p><img src="https://imageproxy.pbkrs.com/https://cdn.sanity.io/images/s3y3vcno/production/3b96eeb8e24104439f0cef7d943813fd0033a9b8-1404x1030.png/query-YXV0bz1mb3JtYXQ?x-oss-process=image/auto-orient,1/interlace,1/resize,w_1440,h_1440/quality,q_95/format,jpg" alt="" original-src="https://imageproxy.pbkrs.com/https://cdn.sanity.io/images/s3y3vcno/production/3b96eeb8e24104439f0cef7d943813fd0033a9b8-1404x1030.png/query-YXV0bz1mb3JtYXQ"/></p>
<p>关键特性是，向前计算很简单，而向后计算对于经典计算机来说几乎是不可能的。如果你知道 k 和 G，计算 K 只需几毫秒。如果你知道 K 和 G 并想弄清楚 k，你就要解决数学家所称的椭圆曲线离散对数问题。</p>
<p>据估计，已知的最佳经典算法对于 256 位曲线的计算时间将超过宇宙的年龄。</p>
<p>这个单向陷阱是整个安全模型。你的私钥证明你拥有你的币。你的公钥可以安全分享，因为没有经典计算机能够逆转这个数学。当你发送比特币时，你的钱包使用私钥创建数字签名，这是一个数学证明，表明你知道这个秘密数字而不透露它。</p>
<h2><strong>Shor 算法双向打开大门</strong></h2>
<p>1994 年，一位名叫彼得·肖尔的数学家发现了一种量子算法，可以破解这个陷阱。</p>
<p>Shor 算法有效地解决了离散对数问题。对于经典计算机来说需要比宇宙存在时间更长的数学，Shor 算法在数学家所称的_多项式时间_内处理，意味着随着数字增大，难度缓慢增长，而不是爆炸性增长。</p>
<p>它的工作原理回归到本系列第一部分提到的三个量子特性。</p>
<p>该算法需要找到你的私钥 k，给定你的公钥 K 和生成点 G。它将此转换为一个寻找函数周期的问题。想象一个函数，它以一个数字作为输入并返回椭圆曲线上的一个点。</p>
<p>当你依次输入数字 1、2、3、4 时，输出最终会在一个周期内重复。这个周期的长度称为周期，一旦你知道函数重复的频率，离散对数问题的数学就会在一步中解开。私钥几乎立即就会显现出来。</p>
<p>找到这个函数的周期正是量子计算机的构建目的。该算法将其输入寄存器置于叠加态（或者在量子力学中，一个粒子同时存在于多个位置），同时表示所有可能的值。它一次性对所有值应用该函数。</p>
<p>然后它应用一种称为傅里叶变换的量子操作，这会导致错误答案的数量相互抵消，而正确答案则得到增强。</p>
<p>当你测量结果时，周期就会显现出来。从这个周期，普通数学可以恢复 k。那就是你的私钥，因此也是你的币。</p>
<p><img src="https://imageproxy.pbkrs.com/https://cdn.sanity.io/images/s3y3vcno/production/fb2dec8cc49c29e38295a55b4343b098c9ab7861-1542x1292.png/query-YXV0bz1mb3JtYXQ?x-oss-process=image/auto-orient,1/interlace,1/resize,w_1440,h_1440/quality,q_95/format,jpg" alt="" original-src="https://imageproxy.pbkrs.com/https://cdn.sanity.io/images/s3y3vcno/production/fb2dec8cc49c29e38295a55b4343b098c9ab7861-1542x1292.png/query-YXV0bz1mb3JtYXQ"/></p>
<p>该攻击利用了第一部分中的所有三个量子技巧。叠加态同时评估每个可能输入的函数。纠缠将输入和输出链接在一起，使结果保持相关。‘干涉’ 过滤噪声，直到只剩下答案。</p>
<h2><strong>为什么比特币今天仍然有效</strong></h2>
<p>Shor 算法已经被知晓超过 30 年。比特币仍然存在的原因是，运行它需要一个具有足够数量稳定量子比特的量子计算机，以在整个计算过程中保持相干性。</p>
<p>构建这样的机器一直超出人们的能力，但问题始终是 “足够大” 到底有多大。</p>
<p>之前的估计是数百万个物理量子比特。谷歌（GOOG）在四月初发布的论文，由其量子人工智能部门撰写，并得到了以太坊基金会研究员贾斯廷·德雷克和斯坦福密码学家丹·博内的贡献，将这一数字减少到不到 500,000。</p>
<p>这大约是之前估计的 20 倍减少。</p>
<p>该团队设计了两个量子电路，针对比特币特定的椭圆曲线实现 Shor 算法。一个使用大约 1,200 个逻辑量子比特和 9000 万个托福利门。另一个使用大约 1,450 个逻辑量子比特和 7000 万个托福利门。</p>
<p>托福利门是作用于三个量子比特的一种门：两个控制量子比特影响第三个目标量子比特的状态。可以想象成三个电灯开关（量子比特）和一个特殊的灯泡（目标），只有在两个特定开关同时打开时，灯泡才会亮起。</p>
<p>由于量子比特不断失去其量子状态，如第一部分所解释的，你需要数百个冗余量子比特相互检查，以维持一个可靠的逻辑量子比特。量子计算机的大部分存在只是为了在计算被破坏之前捕捉机器自身的错误。物理量子比特与逻辑量子比特之间大约 400 比 1 的比例反映了机器中有多少部分是自我监控的基础设施。</p>
<h2><strong>九分钟窗口</strong></h2>
<p>谷歌的论文不仅减少了量子比特的数量。它引入了一种实用的攻击场景，改变了对威胁的思考方式。</p>
<p>肖尔算法中仅依赖于椭圆曲线固定参数的部分，这些参数是公开的并且对于每个比特币钱包都是相同的，可以预先计算。量子计算机处于准备状态，已经完成计算的一半，静待时机。</p>
<p>一旦目标公钥出现，无论是通过交易广播到网络的内存池，还是已经在区块链上因先前交易而暴露，机器只需完成后半部分。</p>
<p>谷歌（GOOG）估计后半部分大约需要九分钟。</p>
<p>比特币的平均区块确认时间为 10 分钟。这意味着如果用户广播一笔交易并且他们的公钥在内存池中可见，量子攻击者大约有九分钟的时间来推导出私钥并提交一笔竞争交易以重定向资金。</p>
<p>数学计算给攻击者大约 41% 的机会在你的原始交易确认之前完成。</p>
<p>这就是内存池攻击。虽然令人担忧，但它需要一种尚不存在的量子计算机。</p>
<p>然而，更大的担忧是 690 万个比特币（大约占总供应量的三分之一）存放在公钥已经在区块链上永久暴露的钱包中。这些币面临着一种 “静态” 攻击，不需要与时间赛跑。攻击者可以花费所需的时间。</p>
<p><img src="https://imageproxy.pbkrs.com/https://cdn.sanity.io/images/s3y3vcno/production/2575afcc837728b402ff77fb61ecb139c148f39a-1482x1152.png/query-YXV0bz1mb3JtYXQ?x-oss-process=image/auto-orient,1/interlace,1/resize,w_1440,h_1440/quality,q_95/format,jpg" alt="" original-src="https://imageproxy.pbkrs.com/https://cdn.sanity.io/images/s3y3vcno/production/2575afcc837728b402ff77fb61ecb139c148f39a-1482x1152.png/query-YXV0bz1mb3JtYXQ"/></p>
<p>运行肖尔算法的量子计算机可以将比特币公钥转换为控制这些币的私钥。对于自 Taproot（2021 年 11 月上线的比特币隐私升级）以来交易的币，公钥已经可见。对于旧地址中的币，公钥在你消费之前是隐藏的，此时你大约有九分钟的时间，直到攻击者追上来。</p>
<p>这在实践中意味着哪些 690 万个比特币已经暴露，Taproot 改变了什么，以及硬件缩小差距的速度，是本系列最后一篇文章的主题。</p>

QUBT

QBTS

MSTW

<p>这篇文章讨论了量子计算机如何通过利用比特币加密中的漏洞，特别是椭圆曲线密码学，可能在短短九分钟内窃取比特币。文章解释了比特币的一种单向陷门安全模型，其中私钥难以从公钥推导出来。然而，由数学家彼得·肖尔开发的肖尔算法使量子计算机能够高效地解决离散对数问题，从而揭示私钥。文章强调了使这种攻击成为可能的量子特性，并安抚读者，尽管存在这些理论上的漏洞，但比特币目前仍然是安全的</p>

<p>Part 1 of this series explained what quantum computers actually are. Not just faster versions of regular computers, but a fundamentally different kind of machine that exploits the weird rules of physics that only apply at the scale of atoms and particles.</p>
<div class="lb-trans"><p>本系列的第一部分解释了量子计算机实际上是什么。它们不仅仅是常规计算机的更快版本，而是一种根本不同的机器，利用了仅在原子和粒子尺度上适用的奇怪物理规则。</p>
</div><p>But knowing how a quantum computer works does not tell you how it can be used to steal bitcoin by a bad actor. That requires understanding what it is actually attacking, how bitcoin's security is built, and exactly where the weakness sits.</p>
<div class="lb-trans"><p>但是，了解量子计算机如何工作并不能告诉你它如何被恶意行为者用来窃取比特币。这需要理解它实际上攻击的是什么，比特币的安全性是如何构建的，以及具体的弱点在哪里。</p>
</div><p>This piece starts with bitcoin's encryption and works through to the nine-minute window it takes to break it, as identified by Google's ( GOOG ) recent quantum computing paper.</p>
<div class="lb-trans"><p>本文从比特币的加密开始，讲述了破解它所需的九分钟窗口，这一点在谷歌（GOOG）最近的量子计算论文中得到了确认。</p>
</div><h2><strong>The one-way map</strong></h2>
<div class="lb-trans"><h2><strong>单向映射</strong></h2>
</div><p>Bitcoin uses a system called elliptic curve cryptography to prove who owns what. Every wallet has two keys. A private key, which is a secret number, 256 digits long in binary, roughly as long as this sentence. A public key is derived from the private key by performing a mathematical operation on the specific curve called &#34; <em>secp256k1</em>.&#34;</p>
<div class="lb-trans"><p>比特币使用一种称为椭圆曲线密码学的系统来证明谁拥有什么。每个钱包都有两个密钥。一个是私钥，这是一个 256 位长的秘密数字，二进制表示，长度大致与这个句子相当。另一个是公钥，通过对特定曲线进行数学运算从私钥导出，称为 “<em>secp256k1</em>”。</p>
</div><p>Think of it as a one-way map. Start at a known location on the curve that everyone agrees on, called the generator point G <strong>(as shown in the chart below).</strong> Take a private number of steps in a pattern defined by the curve's math. The number of steps is your private key. Where you end up on the curve is your public key <strong>(point K in the chart)</strong>. Anyone can verify that you ended up at that specific location. Nobody can figure out how many steps you took to get there.</p>
<div class="lb-trans"><p>可以将其视为一个单向映射。从一个所有人都同意的已知位置开始，称为生成点 G <strong>（如下图所示）</strong>。按照曲线数学定义的模式，采取私密的步数。步数的数量就是你的私钥。你在曲线上的终点就是你的公钥 <strong>（图中的点 K）</strong>。任何人都可以验证你最终到达了那个特定位置。没有人能够弄清楚你走了多少步到达那里。</p>
</div><p>Technically, this is written as K = k × G, where k is your private key and K is your public key. The &#34;multiplication&#34; is not regular multiplication but a geometric operation where you repeatedly add a point to itself along the curve. The result lands on a seemingly random spot that only your specific number k would produce.</p>
<div class="lb-trans"><p>从技术上讲，这可以写成 K = k × G，其中 k 是你的私钥，K 是你的公钥。这里的 “乘法” 并不是常规的乘法，而是一种几何运算，你在曲线上重复地将一个点加到自身上。结果落在一个看似随机的点上，只有你的特定数字 k 能够产生。</p>
</div><p><img src="https://imageproxy.pbkrs.com/https://cdn.sanity.io/images/s3y3vcno/production/3b96eeb8e24104439f0cef7d943813fd0033a9b8-1404x1030.png/query-YXV0bz1mb3JtYXQ" alt="" original-src="https://cdn.sanity.io/images/s3y3vcno/production/3b96eeb8e24104439f0cef7d943813fd0033a9b8-1404x1030.png?auto=format"/></p>
<p>The crucial property is that going forward is easy and going backward is, for classical computers, effectively impossible. If you know k and G, calculating K takes milliseconds. If you know K and G and want to figure out k, you are solving what mathematicians call the elliptic curve discrete logarithm problem.</p>
<div class="lb-trans"><p>关键特性是，向前计算很简单，而向后计算对于经典计算机来说几乎是不可能的。如果你知道 k 和 G，计算 K 只需几毫秒。如果你知道 K 和 G 并想弄清楚 k，你就要解决数学家所称的椭圆曲线离散对数问题。</p>
</div><p>It is estimated that the best-known classical algorithms for a 256-bit curve would take longer than the age of the universe.</p>
<div class="lb-trans"><p>据估计，已知的最佳经典算法对于 256 位曲线的计算时间将超过宇宙的年龄。</p>
</div><p>This one-way trapdoor is the entire security model. Your private key proves you own your coins. Your public key is safe to share because no classical computer can reverse the math. When you send bitcoin, your wallet uses the private key to create a digital signature, a mathematical proof that you know the secret number without revealing it.</p>
<div class="lb-trans"><p>这个单向陷阱是整个安全模型。你的私钥证明你拥有你的币。你的公钥可以安全分享，因为没有经典计算机能够逆转这个数学。当你发送比特币时，你的钱包使用私钥创建数字签名，这是一个数学证明，表明你知道这个秘密数字而不透露它。</p>
</div><h2><strong>Shor's algorithm opens the door both ways</strong></h2>
<div class="lb-trans"><h2><strong>Shor 算法双向打开大门</strong></h2>
</div><p>In 1994, a mathematician named Peter Shor discovered a quantum algorithm that breaks the trapdoor.</p>
<div class="lb-trans"><p>1994 年，一位名叫彼得·肖尔的数学家发现了一种量子算法，可以破解这个陷阱。</p>
</div><p>Shor's algorithm solves the discrete logarithm problem efficiently. The same math that would take a classical computer longer than the universe has existed, Shor's algorithm handles in what mathematicians call <em>polynomial time</em>, meaning the difficulty grows slowly as numbers get bigger rather than explosively.</p>
<div class="lb-trans"><p>Shor 算法有效地解决了离散对数问题。对于经典计算机来说需要比宇宙存在时间更长的数学，Shor 算法在数学家所称的_多项式时间_内处理，意味着随着数字增大，难度缓慢增长，而不是爆炸性增长。</p>
</div><p>The intuition for how it works comes back to the three quantum properties from Part 1 of this series.</p>
<div class="lb-trans"><p>它的工作原理回归到本系列第一部分提到的三个量子特性。</p>
</div><p>The algorithm needs to find your private key k, given your public key K and the generator point G. It converts this into a problem of finding the period of a function. Think of a function that takes a number as input and returns a point on the elliptic curve.</p>
<div class="lb-trans"><p>该算法需要找到你的私钥 k，给定你的公钥 K 和生成点 G。它将此转换为一个寻找函数周期的问题。想象一个函数，它以一个数字作为输入并返回椭圆曲线上的一个点。</p>
</div><p>As you feed it sequential numbers, 1, 2, 3, 4, the outputs eventually repeat in a cycle. The length of that cycle is called the period, and once you know how often the function repeats, the math of the discrete logarithm problem unravels in a single step. The private key falls out almost immediately.</p>
<div class="lb-trans"><p>当你依次输入数字 1、2、3、4 时，输出最终会在一个周期内重复。这个周期的长度称为周期，一旦你知道函数重复的频率，离散对数问题的数学就会在一步中解开。私钥几乎立即就会显现出来。</p>
</div><p>Finding this period of a function is exactly what quantum computers are built for. The algorithm puts its input register into a superposition (or, in quantum mechanics, a particle exists in multiple locations simultaneously), representing all possible values simultaneously. It applies the function to all of them at once.</p>
<div class="lb-trans"><p>找到这个函数的周期正是量子计算机的构建目的。该算法将其输入寄存器置于叠加态（或者在量子力学中，一个粒子同时存在于多个位置），同时表示所有可能的值。它一次性对所有值应用该函数。</p>
</div><p>Then it applies a quantum operation called the Fourier transform, which causes the number of wrong answers to cancel out while the correct answers are reinforced.</p>
<div class="lb-trans"><p>然后它应用一种称为傅里叶变换的量子操作，这会导致错误答案的数量相互抵消，而正确答案则得到增强。</p>
</div><p>When you measure the result, the period appears. From this period, ordinary math recovers k. That is your private key, and therefore your coins.</p>
<div class="lb-trans"><p>当你测量结果时，周期就会显现出来。从这个周期，普通数学可以恢复 k。那就是你的私钥，因此也是你的币。</p>
</div><p><img src="https://imageproxy.pbkrs.com/https://cdn.sanity.io/images/s3y3vcno/production/fb2dec8cc49c29e38295a55b4343b098c9ab7861-1542x1292.png/query-YXV0bz1mb3JtYXQ" alt="" original-src="https://cdn.sanity.io/images/s3y3vcno/production/fb2dec8cc49c29e38295a55b4343b098c9ab7861-1542x1292.png?auto=format"/></p>
<p>The attack uses all three quantum tricks from the first piece. Superposition evaluates the function on every possible input at once. Entanglement links the input and output so the results stay correlated. ‘Interference’ filters the noise until only the answer remains.</p>
<div class="lb-trans"><p>该攻击利用了第一部分中的所有三个量子技巧。叠加态同时评估每个可能输入的函数。纠缠将输入和输出链接在一起，使结果保持相关。‘干涉’ 过滤噪声，直到只剩下答案。</p>
</div><h2><strong>Why bitcoin still works today</strong></h2>
<div class="lb-trans"><h2><strong>为什么比特币今天仍然有效</strong></h2>
</div><p>Shor's algorithm has been known for more than 30 years. The reason bitcoin still exists is that running it requires a quantum computer with a large enough number of stable qubits to maintain coherence through the entire calculation.</p>
<div class="lb-trans"><p>Shor 算法已经被知晓超过 30 年。比特币仍然存在的原因是，运行它需要一个具有足够数量稳定量子比特的量子计算机，以在整个计算过程中保持相干性。</p>
</div><p>Building that machine has been beyond reach, but the question has always been how large is &#34;large enough.&#34;</p>
<div class="lb-trans"><p>构建这样的机器一直超出人们的能力，但问题始终是 “足够大” 到底有多大。</p>
</div><p>Previous estimates said millions of physical qubits. Google's ( GOOG ) paper, in early April by its Quantum AI division with contributions from Ethereum Foundation researcher Justin Drake and Stanford cryptographer Dan Boneh, reduced that to fewer than 500,000.</p>
<div class="lb-trans"><p>之前的估计是数百万个物理量子比特。谷歌（GOOG）在四月初发布的论文，由其量子人工智能部门撰写，并得到了以太坊基金会研究员贾斯廷·德雷克和斯坦福密码学家丹·博内的贡献，将这一数字减少到不到 500,000。</p>
</div><p>Or a roughly 20-fold reduction from prior estimates.</p>
<div class="lb-trans"><p>这大约是之前估计的 20 倍减少。</p>
</div><p>The team designed two quantum circuits that implement Shor's algorithm against bitcoin's specific elliptic curve. One uses approximately 1,200 logical qubits and 90 million Toffoli gates. The other uses approximately 1,450 logical qubits and 70 million Toffoli gates.</p>
<div class="lb-trans"><p>该团队设计了两个量子电路，针对比特币特定的椭圆曲线实现 Shor 算法。一个使用大约 1,200 个逻辑量子比特和 9000 万个托福利门。另一个使用大约 1,450 个逻辑量子比特和 7000 万个托福利门。</p>
</div><p>A Toffoli gate is a type of gate that acts on three qubits: two control qubits, which affect the state of a third, target qubit. Imagine this as three light switches (qubits) and a special lightbulb (the target) that only turns on if two specific switches are flipped on at the same time.</p>
<div class="lb-trans"><p>托福利门是作用于三个量子比特的一种门：两个控制量子比特影响第三个目标量子比特的状态。可以想象成三个电灯开关（量子比特）和一个特殊的灯泡（目标），只有在两个特定开关同时打开时，灯泡才会亮起。</p>
</div><p>Because qubits lose their quantum state constantly, as Part 1 explained, you need hundreds of redundant qubits checking each other's work to maintain a single reliable logical qubit. Most of a quantum computer exists just to catch the machine's own mistakes before they ruin the calculation. The roughly 400-to-1 ratio between physical and logical qubits reflects how much of the machine exists as self-babysitting infrastructure.</p>
<div class="lb-trans"><p>由于量子比特不断失去其量子状态，如第一部分所解释的，你需要数百个冗余量子比特相互检查，以维持一个可靠的逻辑量子比特。量子计算机的大部分存在只是为了在计算被破坏之前捕捉机器自身的错误。物理量子比特与逻辑量子比特之间大约 400 比 1 的比例反映了机器中有多少部分是自我监控的基础设施。</p>
</div><h2><strong>The nine-minute window</strong></h2>
<div class="lb-trans"><h2><strong>九分钟窗口</strong></h2>
</div><p>Google’s paper did not just reduce qubit counts. It introduced a practical attack scenario that changes how to think about the threat.</p>
<div class="lb-trans"><p>谷歌的论文不仅减少了量子比特的数量。它引入了一种实用的攻击场景，改变了对威胁的思考方式。</p>
</div><p>The parts of Shor's algorithm that depend only on the elliptic curve's fixed parameters, which are publicly known and identical for every bitcoin wallet, can be precomputed. The quantum computer sits in a primed state, already halfway through the calculation, waiting.</p>
<div class="lb-trans"><p>肖尔算法中仅依赖于椭圆曲线固定参数的部分，这些参数是公开的并且对于每个比特币钱包都是相同的，可以预先计算。量子计算机处于准备状态，已经完成计算的一半，静待时机。</p>
</div><p>The moment a target public key appears, whether broadcast in a transaction to the network's mempool or already exposed on the blockchain from a previous transaction, the machine only needs to finish the second half.</p>
<div class="lb-trans"><p>一旦目标公钥出现，无论是通过交易广播到网络的内存池，还是已经在区块链上因先前交易而暴露，机器只需完成后半部分。</p>
</div><p>Google ( GOOG ) estimates that the second half takes about nine minutes.</p>
<div class="lb-trans"><p>谷歌（GOOG）估计后半部分大约需要九分钟。</p>
</div><p>Bitcoin's average block confirmation time is 10 minutes. That means if a user broadcasts a transaction and their public key is visible in the mempool, a quantum attacker has roughly nine minutes to derive a private key and submit a competing transaction that redirects funds.</p>
<div class="lb-trans"><p>比特币的平均区块确认时间为 10 分钟。这意味着如果用户广播一笔交易并且他们的公钥在内存池中可见，量子攻击者大约有九分钟的时间来推导出私钥并提交一笔竞争交易以重定向资金。</p>
</div><p>The math gives the attacker a roughly 41% chance of finishing before your original transaction confirms.</p>
<div class="lb-trans"><p>数学计算给攻击者大约 41% 的机会在你的原始交易确认之前完成。</p>
</div><p>That is the mempool attack. It is alarming but it requires a quantum computer that does not exist yet.</p>
<div class="lb-trans"><p>这就是内存池攻击。虽然令人担忧，但它需要一种尚不存在的量子计算机。</p>
</div><p>The bigger concern, however, is the 6.9 million bitcoin (roughly one-third of total supply) sitting in wallets where the public key has already been permanently exposed on the blockchain. Those coins are vulnerable to an &#34;at-rest&#34; attack that requires no race against the clock. The attacker can take as long as needed.</p>
<div class="lb-trans"><p>然而，更大的担忧是 690 万个比特币（大约占总供应量的三分之一）存放在公钥已经在区块链上永久暴露的钱包中。这些币面临着一种 “静态” 攻击，不需要与时间赛跑。攻击者可以花费所需的时间。</p>
</div><p><img src="https://imageproxy.pbkrs.com/https://cdn.sanity.io/images/s3y3vcno/production/2575afcc837728b402ff77fb61ecb139c148f39a-1482x1152.png/query-YXV0bz1mb3JtYXQ" alt="" original-src="https://cdn.sanity.io/images/s3y3vcno/production/2575afcc837728b402ff77fb61ecb139c148f39a-1482x1152.png?auto=format"/></p>
<p>A quantum computer running Shor's algorithm can turn a bitcoin public key into the private key that controls the coins. For coins transacted since Taproot (a privacy upgrade on Bitcoin that went live in November 2021), the public key is already visible. For coins in older addresses, the public key is hidden until you spend, at which point you have roughly nine minutes before the attacker catches up.</p>
<div class="lb-trans"><p>运行肖尔算法的量子计算机可以将比特币公钥转换为控制这些币的私钥。对于自 Taproot（2021 年 11 月上线的比特币隐私升级）以来交易的币，公钥已经可见。对于旧地址中的币，公钥在你消费之前是隐藏的，此时你大约有九分钟的时间，直到攻击者追上来。</p>
</div><p>What this means in practice, which 6.9 million bitcoin are already exposed, what Taproot changed, and how fast the hardware is closing the gap, is the subject of the next and final piece in this series.</p>
<div class="lb-trans"><p>这在实践中意味着哪些 690 万个比特币已经暴露，Taproot 改变了什么，以及硬件缩小差距的速度，是本系列最后一篇文章的主题。</p>
</div>

量子计算机如何在 “9 分钟内” 真正窃取你的比特币