欧洲刑警组织警告：量子计算或威胁加密货币钱包与长期加密数据

欧洲刑警组织（Europol）发出警告，未来的量子计算机可能威胁加密货币钱包及长期保存的加密数据。该机构敦促加密货币行业在实用化攻击成为可能之前，尽早开始安全准备工作。

核心摘要

• 欧洲刑警组织指出，量子计算机可能通过从公钥推导私钥的方式暴露加密货币钱包。
• 该组织建议分阶段迁移至后量子密码学体系，加强钱包安全性，并改进密钥管理实践。
• 美国国家标准与技术研究院（NIST）已确定三项后量子标准，并敦促各组织尽快开始迁移工作。
• 比特币开发者正在讨论后量子迁移提案，托管服务商则正在测试抗量子钱包控制措施和签名机制。
• 目前尚无明确证据表明“现在截获，稍后解密”的攻击被大规模系统性使用。

10月7日，欧洲刑警组织发布了两份报告，深入分析了量子计算的进步如何影响数字资产和敏感信息。该机构表示，具备足够能力的量子计算机何时问世仍不确定，但在去中心化网络中升级加密系统可能需要数年时间。

第一份报告侧重于加密货币钱包，第二份则考察了攻击者今日存储加密信息以便在未来解密的潜在风险。欧洲刑警组织强调，当前的量子机器尚无法破解加密货币的安全防护。

量子威胁聚焦于加密货币钱包密钥

欧洲刑警组织的加密货币报告将钱包授权密钥确定为主要的潜在暴露点。许多区块链系统依赖公钥密码学来证明钱包所有者已授权交易。

一旦拥有足够算力的量子计算机，理论上可以利用暴露的公钥计算出对应的私钥。随后，攻击者即可签署交易并在未经授权的情况下转移资产。

该机构区分了数字签名与区块链哈希函数。欧洲刑警组织指出，用于区块链安全关键部分的加密哈希函数相对具有较强的抗量子攻击能力。因此，报告重点讨论了钱包签名、公钥暴露以及密钥管理问题。

其研究结果并未预测加密货币必将崩溃，而是建议向后的量子密码学进行分阶段迁移，需要区块链开发者、钱包提供商、政策制定者和用户协调未来的升级工作。

比特币开发者已经在探讨部分相关问题。BIP-361草案提议，在后量子比特币输出类型可用后，计划从传统的ECDSA和Schnorr签名迁移。然而，该提案仍处于草案阶段，尚未在比特币网络上激活。此前相关比特币提案曾引发关于用户如何移动易受攻击资金以及未迁移的休眠资金应如何处理的大辩论。

量子安全工作已触及加密货币钱包

在实际威胁出现之前，一些加密货币托管商和区块链开发者已开始测试后量子系统。

今年早些时候，BitGo与Silence Laboratories测试了基于后量子多方计算签名的方案。演示使用了ML-DSA算法，旨在测试抗量子签名如何融入现有的钱包基础设施。随后，BitGo为其支持的机构级比特币钱包引入了四项控制措施，包括测量公钥暴露程度、合并输出以及在未来的量子场景下帮助用户从暴露度较高的地址转移资金。

Coinbase也在处理类似的托管问题。该公司正在设计能够支持不同后量子签名方案的底层设施，因为比特币开发者尚未选定最终的替代标准。

其他网络正在推进账户层面的变更。Sui计划采用基于NIST批准签名方案的可选量子安全认证，目标是在2027年为主网提供原生后量子账户。Monad研究人员则提出将区块链地址与其认证密钥分离。这种设计允许密钥更改而不必用户放弃相同的账户地址，目前该提案仍在开发中。

NIST标准为开发者提供迁移选项

欧洲刑警组织的建议是在美国国家标准与技术研究院（NIST） finalize 其主要后量子密码学标准之后提出的。

NIST于2024年8月正式批准了FIPS 203、FIPS 204和FIPS 205标准。这些标准涵盖了抗量子的密钥建立和数字签名：

• FIPS 203规定了ML-KEM（源自CRYSTALS-Kyber），用于建立共享密钥。
• FIPS 204规定了ML-DSA（源自CRYSTALS-Dilithium），用于数字签名。
• FIPS 205使用了基于SPHINCS+的基于哈希的SLH-DSA签名系统。

NIST表示，组织应立即开始向抗量子系统过渡。其计划的过渡将在2035年前逐步淘汰并最终从NIST标准中移除易受量子攻击的算法，而高风险系统将更早迁移。此外，NIST还在开发其他选项，如2025年3月选定用于标准化的HQC密钥建立算法，以及正在开发的FALCON数字签名标准。

早在今年1月，欧洲刑警组织就已着手解决迁移规划问题。一份关于金融服务业的报告建议采取基于风险的过渡策略，首先识别脆弱的加密技术，并根据其暴露程度和重要性优先处理相关系统。

存储的加密数据面临独立的量子风险

欧洲刑警组织发布的第二份报告探讨了安全研究人员所称的“现在截获，稍后解密”（Harvest Now, Decrypt Later）风险。

在这种情景下，攻击者收集加密信息，尽管他们目前无法读取这些数据。他们会将这些材料存储起来，直到未来的计算系统有能力破解保护数据的加密算法。

欧洲刑警组织指出，这种威胁对于需要保密多年的信息最为相关，包括政府通信、医疗记录、知识产权和执法文件。

该报告由马德里卡洛斯三世大学协助编写，指出实际暴露情况取决于保护数据的加密协议、配置和密钥管理方法。欧洲刑警组织发现，目前没有明确证据表明“现在截获，稍后解密”攻击正在被大规模系统性地进行。收集和保留大量加密信息需要巨大的存储、处理能力和技术资源。

报告认为，长期存在且高价值的信息更可能是此类攻击的目标。欧洲刑警组织建议移除过时的协议，减少不必要的数据保留，并在量子攻击变得实用之前测试后量子系统。

加密货币迁移可能需要数年

时间表仍然是围绕量子威胁的最大不确定性因素。目前没有任何公开演示的量子计算机能够在现代区块链签名系统保护的资产规模上推导加密货币私钥。因此，欧洲刑警组织将此问题界定为准备问题，而非活跃的加密货币攻击。

迁移本身可能充满困难，因为去中心化网络需要开发者、钱包公司、交易所、托管商、矿工或验证器以及个人资产持有者之间的协调。Ledger首席技术官Charles Guillemet曾表示，比特币最大的难题可能是在开发者就新签名方案达成一致后，如何安全地迁移钱包和现有资金。休眠硬币和用户未能移动资产的情况带来了额外的技术和治理问题。

Galaxy Digital已为此投入资金。该公司于7月设立了一个500万美元的项目，资助涵盖抗量子签名、迁移工具和安全审计的比特币研究。

欧洲刑警组织的建议呼吁加密货币项目首先识别暴露的资产，改善钱包和密钥管理实践，测试后量子替代方案，并向用户清晰地沟通未来的迁移要求。