如果為防量子威脅凍結比特幣，還能解凍嗎？
比特幣會被量子電腦破解嗎？我們可以怎麼防範？最近社群上出現了一種聲音，那就是把受威脅的比特幣資產「凍結」。
但如果真的要凍結，或許也有望讓用戶安全取回資產？加密貨幣衍生品交易所研究團隊 BitMEX Research 的最新報告提出了 4 種方法，為了減緩量子電腦攻擊導致比特幣被凍結的衝擊，理論上可以構建一套系統，讓被視為「準凍結」的比特幣在量子安全的環境下被贖回。
方法一：承諾恢復法
承諾恢復法（Commitment Recovery Method）的核心概念是，透過兩筆交易的先後順序，來證明花費者在簽章上鏈之前就已知曉私鑰，這套流程適用於標準的 P2PKH 類型的比特幣地址，具體執行步驟如下：
發起設定交易（Set-up Transaction）： 用戶首先發送一筆包含雜湊承諾（hash commitment）的初始交易。雜湊值被放置在 OP_RETURN 輸出中，其內容是針對「私鑰」與「目的地位址」進行 SHA256 運算後的結果。此時私鑰尚未公開。
等待區塊確認： 協議要求這筆設定交易必須經過 100 個區塊的確認時間。這段等待時間是為了防止攻擊者在私鑰公開後，利用算力優勢進行搶先交易。
發起恢復交易（Recovery Transaction）： 在等待期結束後，用戶發送第二筆交易來花費那些受量子威脅的比特幣。這筆交易的 OP_RETURN 輸出中，會直接以「明文」形式包含私鑰、目的地位址以及設定交易的交易 ID（TXID）。
BitMEX 指出，雖然恢復交易中仍包含舊有的受量子威脅的簽章，但在這套新協議下，礦工與節點會驗證第二筆交易中的明文資訊，是否與第一筆交易中的雜湊承諾相符。如果驗證通過，且滿足 100 個區塊的確認要求，交易即被視為有效。
不過該方法的缺點是，若私鑰以明文形式上鏈，該地址就徹底不再安全，因此每個地址只能使用一次。此外，若礦工在 100 個區塊的窗口期內惡意審查並攔截交易，資金仍有被竊取的風險。
比特幣地址類型科普：P2PKH、Bech32 傻傻分不清？比特幣 4 大地址類型差在哪？
方法二：零知識證明助記詞恢復法
目前多數的比特幣錢包，是透過 BIP-39 標準生成的 12 或 24 個助記詞。從助記詞推導到種子密鑰的過程使用了 SHA512 雜湊函數，這部分在目前被認為是量子安全的。
零知識證明助記詞恢復法（ZKP Seed Phrase Method）的運作機制如下：
單一交易完成：用戶無需發起設定交易，只需發送一筆交易即可。
生成零知識證明：用戶利用量子安全的零知識證明技術（如 STARK），生成一個證明。該證明可以證實「花費者擁有生成該錢包地址的原始助記詞」，但過程中完全不會洩露助記詞本身的內容。
上鏈驗證：這個 ZKP 證明會被放入交易的 OP_RETURN 輸出中。
零知識證明助記詞恢復法的優勢是，助記詞從未被公開，因此同一個錢包可以多次使用此恢復功能。而且用戶不需要在量子威脅來臨前恐慌性地轉移資產，可以在量子日（QDay）來臨後，再透過升級後的錢包逐步將資金轉移到新的量子安全地址（如 SPHINCS+）。
不過，該方法的限制是並非所有用戶都使用助記詞生成錢包，且生成 ZKP 證明的計算成本較高。
方法三：助記詞承諾法
如果是那些公鑰已經暴露在區塊鏈上，例如地址重用或 Taproot 輸出的用戶，還可以考慮助記詞承諾法（Seed Phrase Commitment Method）。
該方法的理論基礎是，雖然量子電腦可能從公鑰反推私鑰，但目前已知技術無法從私鑰反推回生成錢包的 12 或 24 個助記詞。這是因為從助記詞推導至主私鑰的過程（根據 BIP-39 標準）使用了 SHA512 雜湊函數，而該函數被認為是量子安全的。
具體操作步驟分為兩階段：
第一階段（設定交易）：用戶發起一筆設定交易，在 OP_RETURN 輸出中放入一個雜湊承諾。這個雜湊值是由「助記詞」、「錢包推導路徑」與「目的地位址」三者結合後進行 SHA256 運算得出。
第二階段（恢復交易）：等待 100 個區塊確認後，用戶發起恢復交易。在此交易的 OP_RETURN 中，用戶需以明文形式公開上述三項資訊（助記詞、路徑、新地址）。
系統驗證時，會檢查這些明文資訊是否能生成正確的簽章，並核對其雜湊值是否與第一階段的承諾相符。
雖然這代表助記詞將被公開且該錢包將作廢，但能確保在最後一刻將資金安全轉移至新地址。
方法四：QDay 前承諾法
至於早在助記詞系統發明前，就存在的極早期比特幣（如 2009 年挖出的比特幣），BitMEX 提出了 QDay 前承諾法（Pre QDay Commitment Method），適用於 P2PK（Pay-to-Public-Key）格式的地址，公鑰從一開始就暴露在鏈上，風險極高。
運作邏輯：用戶必須在量子電腦強大到足以破解私鑰的「QDay」之前，就先發起一筆設定交易，系統可以假設只有合法的持有者才擁有私鑰。
操作方式：用戶發送一筆看似普通的交易，帶有一個 256 位元的雜湊承諾。這個承諾可以是針對未來恢復條件的加密。
BitMEX 特別提到，這對中本聰（Satoshi Nakamoto）的錢包可能特別有用。中本聰可以在 QDay 前發送這筆帶有承諾的交易，外界只會看到一筆普通交易，無法得知其與早期比特幣的關聯，保持似是而非的否認權。直到 QDay 發生後，中本聰才需揭露承諾內容來恢復資金。
另外，為了避免網路擁塞，這套系統還可以使用默克爾樹（Merkle Tree）技術，僅用一個雜湊承諾，就能涵蓋成千上萬個 UTXO 的恢復權限。
理論上涵蓋大多數比特幣，但技術代價高昂
BitMEX 研究團隊表示，如果比特幣社群決心執行量子凍結，透過這四套系統確實可以設計出一種機制，讓幾乎每一顆被凍結的比特幣都有機會被原主找回。
只有在極少數情況下，即用戶既未使用助記詞，且在接收比特幣時就已經暴露了公鑰，這些資產才可能面臨無法恢復的風險。
下表為 BitMEX 整理的當前比特幣地址輸出類型分布，以及其適用的凍結緩解選項：
輸出類型比特幣數量供應量佔比可能的凍結緩解選項P2WPKH8,011,48440.1%承諾恢復法、助記詞承諾法 & ZKP 助記詞法P2PKH4,709,80023.6%承諾恢復法、助記詞承諾法 & ZKP 助記詞法P2SH4,045,37720.3%承諾恢復法、助記詞承諾法 & ZKP 助記詞法P2WSH1,296,8356.5%承諾恢復法、助記詞承諾法 & ZKP 助記詞法P2PK1,716,4198.6%QDay 前雜湊承諾Taproot196,2921.0%助記詞承諾法 & ZKP 助記詞法新型量子安全輸出00.0%無需操作總計19,976,207100.0%
雖然這些方案在理論上可行，但 BitMEX 也提醒有明顯的缺點。實施這些恢復系統可能相當複雜，並且涉及重大的軟分叉協議升級。
此外，這也可能加重比特幣節點營運者的負擔，甚至引入新的阻斷服務攻擊（DoS）漏洞。不過，如果比特幣網路最終必須走向凍結資產這一步，這些選項仍值得社群納入考量。
延伸閱讀：
打臉比特幣量子威脅末日論！CoinShares：僅約1萬顆BTC真正面臨風險
『如果為防量子威脅凍結比特幣，還能解凍嗎？BitMEX提出四套恢復方案』這篇文章最早發佈於『加密城市』
