比特币公钥暴露占比达35.4%，量子安全争议再起

Glassnode发布统计，35.4%的比特币存在公钥暴露问题，是量子攻击的潜在目标。暴露分成两类，一类是地址反复使用造成，另一类是部分地址格式本身设计就会透出公钥。简单的避险办法是将暴露的币转移到全新地址，社区正在讨论抗量子升级方案，主流观点支持用户自主迁移，不强制执行。下面小编简单梳理比特币公钥暴露与抗量子的相关讨论。

Glassnode数据显示，比特币已暴露公钥的流通量达到712万枚BTC，占总发行量的35.4%，这一数据重新引发行业讨论：未来量子计算机可能会针对这类资产发起攻击。

Glassnode在11月10日的X平台推文称，超过三分之一的比特币供应量存在可见公钥，配套图表按地址类型、地址复用情况区分暴露资产。交易所相关统计归入地址复用类目，两个百分比直接相加会造成重复统计。“将这些币转入全新地址，即可消除该类暴露风险。”该机构针对地址复用导致暴露的币种说明道。

”35.4%的比特币（712万枚）存在可见公钥，也就是未来量子计算机的潜在攻击目标。25.8%的供应量因地址复用暴露，11.6%来自交易所。把资产转入新地址就能解除该风险。“

—glassnode(@glassnode)2026年11月10日

地址复用是公钥暴露的主要来源

Glassnode在统计口径上做了区分：一类是结构性暴露，这类输出脚本本身设计上就会暴露公钥；另一类是运营层面暴露，由钱包的资金操作方式引发。

在同一个地址发起转账后继续复用该地址，会让地址内剩余资产和已经上链的公钥绑定在一起。早期的直接公钥支付输出、Taproot输出属于原生设计上就会暴露公钥的类型。

最新数据显示，地址复用贡献了近73%的暴露资产；交易所相关暴露约占地址复用类目下的45%。在5月20日的统计快照中，暴露资产为604万枚BTC，占比30.2%。相比之下，本次新增暴露108万枚，占比提升5.2个百分点。5月数据里结构性暴露币种为192万枚。

Glassnode这项统计，仅统计未花费UTXO中公钥可见的情况，不代表私钥已经被盗，也无法预判量子攻击何时具备实战条件。

中本聪持仓不属于暴力破解范畴

博主Foxy在另一帖中提出观点：中本聪的持仓很难被破解，因为私钥组合空间极大，并且资产分散在数千个地址。

但BIP360提案的研究者提出了不同攻击逻辑：算力足够强大的量子计算机可以依托肖尔算法，由公钥反推私钥，不需要逐个猜测私钥。该提案专门指出，早期直接公钥输出（包括中本聪时代的地址）长期暴露，风险突出。当然，归属中本聪的地址目前都只是市场估算，截图无法证实所有标注地址的真实归属。

对于采用哈希隐藏公钥的地址，BIP360提示：一旦发起转账，公钥会被披露，如果资金继续留在该地址，就会产生暴露风险。扩展公钥、钱包描述符同样可能泄露敏感密钥信息，链上地址历史无法覆盖所有公钥泄露渠道。

Fireblocks研究副总裁Michael Gutkin在10月的访谈中表示，公钥暴露与否取决于地址类型和交易历史，和持有者是交易所还是个人没有必然关系。他建议把新入账资金、交易找零都转入全新地址，持续跟踪存在暴露风险的未花费输出。Fireblocks正在开发配套的暴露风险管理工具。

比特币相关BIP提案：密钥隐藏与签名方案升级

Hunter Beast、Ethan Heilman、Isabel Foxen Duke起草的BIP360，计划通过软分叉引入Merkle Root支付输出。方案移除Taproot的密钥路径花费功能，但保留脚本树能力。这份草案主要应对长期暴露密钥的攻击；对于“转账广播后、区块确认前”的极速攻击，则需要后量子签名方案来防护。

配套草案BIP361规划，在后量子输出类型上线之后逐步淘汰旧签名。路线计划在功能激活约三年后限制向高危地址转账，再隔两年收紧旧地址的花费规则。两份草案目前都没有强制迁移的约束力。此前关于强制迁移、冻结旧地址的讨论中，Blockstream首席执行官AdamBack支持自愿防护，反对强制冻结老钱包。

美国已落地后量子密码标准

美国国家标准与技术研究院（NIST）历经八年，在2024年8月正式敲定首批三项后量子密码标准。套件包含用于密钥协商的ML-KEM，以及两套数字签名标准ML-DSA、SLH-DSA。NIST建议机构提前开始适配，完整迁移周期很长。ML-DSA作为主力签名标准；SLH-DSA基于另一套数学体系作为备用方案，防止主力算法后续被发现漏洞。