1040 亿美元坐在一个 96 字节的签名上：以太坊开始拆量子炸弹

以太坊的质押合约地址 0x0000…05Fa 是条硬汉：六年来只认 48 字节公钥加 96 字节签名的 BLS。链上 4,250 万枚 ETH 都从这道门进出。我按 8 月 30 日的现价算了一遍账：42,546,122 ETH × 2,439 美元 ≈ 1,038 亿美元。一万亿美元的十分之一。压在一个 96 字节的签名上。

8 月 23 日，三个人往 ethereum/EIPs 仓库递了 PR #12235，草稿文件名还叫 eip-9999，编辑第二天顺手给了个正式编号：8394。到今天，官网页面还是 404——它没合并、没定稿、连名字都可能是临时的。先别急着鼓掌。媒体已经把"以太坊的抗量子质押提案"传了一轮。传得不算错，只是得说清楚：这是个草案，而且它故意什么算法都没选。

它改的是什么。 新版存款合约把写死的 BLS 尺寸换成变量：一个字节声明签名方案，公钥最长允许到 8,192 字节——是现在 48 字节上限的一百七十多倍，给后量子签名这种巨物留足了车厢。 scheme 0 永远留给 BLS；其他方案先"收下但不验"，等未来的方案 EIP 来定义。最狠的一笔是终局设计：合约状态机 DISABLED → BLS_ENABLED → BLS_RETIRED，单向通行。草稿原话："退役后，任何后续系统调用都无法重新启用易受量子攻击的 BLS 注册。"闸门只往下拉，拉了就不许推回去。

那张鸡生蛋的图值得多看一眼。 老式 0x00 提款凭证在链上只存公钥的哈希，纯 Shor 攻击啃不动哈希——看着挺安全。可你想换成抗量子凭证，就得签一笔交易，而这笔交易会把完整公钥公布在链上。逃生动作本身，就是把钥匙递给未来的量子计算机。不夸张。以太坊官网管这叫"现在收割，以后解密"：今天记录下所有暴露的公钥，等机器造好那天一起兑现。

威胁的时钟这周被拨快了一格。 8 月 21 日 APS Physics 刊文：Google Quantum AI 的 Babbush 团队估算，在超导架构上用约 50 万个物理量子比特、8,000 万个门，10 分钟内攻破目前最常用的椭圆曲线加密——比之前的估算低了 20 倍。有趣的是算法细节因"安全原因"保密，只公开了一个零知识证明，结果一位密码学家光凭这份证明就把完整算法复现了出来，现在已经挂在网上。同一篇文章里 Oratomic 唱反调：中性原子路线 26,000 比特就够，但要算好几天。Aaronson 说这时间表"看起来确实提前了"。

StarkWare 那笔也值得单独说。他们没用软分叉，用的是"签名研磨"：链下反复试，直到某笔交易的哈希本身构成一个合法的比特币签名。授权依据从"椭圆曲线难"换成"哈希反转难"，公钥全程不上链，量子计算机没东西可偷。代价是一次几百美元加数小时算力，而且这种非常规交易得走 MARA 的直达矿工通道——常规节点根本不转发。补丁，不是解药。媒体报道的 3.1 BTC 金额出自二手信源，StarkWare 自己的博客没提，引用需谨慎。

官方路线图其实早铺好了。 ethereum.org 7 月更新：验证者签名将换用 leanXMSS——纯哈希签名，量子计算机只能削弱哈希、不能击穿；代价是签名从 96 字节涨到约 3,000 字节，31 倍，靠 leanVM 聚合引擎压回 250 倍。先涨，后压。四个里程碑 I*、J*、L*、M*，目标 2029 年前后完成核心抗量子基建。带队的是以太坊基金会 2026 年 1 月成立的 PQ 安全团队，负责人 Thomas Coratger——他同时也是 EIP-8394 的共同作者。路线图和 EIP 是一拨人写的。这点媒体倒没提。NIST 那边的节拍器：2030 年弃用 ECDSA，2035 年禁用。

冷水时间。 草案未合并，编号可能变，选型未定，BLS 退役时间戳写着 TBD，里程碑自己都标注"是规划不是承诺"。Q-Day 的估算从 2028 到 2035 年不等，没人知道准数。还有个容易踩的坑：ethresear.ch 上那个"BLS 退役"热帖是 2025 年 5 月的另一个提案，讲丢钥验证者的救济路径，别和 8394 混为一谈。

拆弹这行有句老话：剪哪根线不重要，重要的是在爆炸前动手。50 万比特的估算把引线又剪短了一截。以太坊这周递上去的虽然只是一份 404 的草案，好歹是剪刀出鞘的第一下。

参考资料：EIP PR #12235｜ethereum.org 抗量子路线图｜APS Physics 8-21｜StarkWare 博客｜美财政部工作组公告｜Crypto Briefing 报道