Will Quantum Computing Kill Bitcoin? | Scott Aaronson & Justin Drake
02:04:37 Share

如果假设世界上只有少数几个实体拥有可扩展的量子计算机，那么这些实体就能比其他所有人挖掘出更多的比特币。最终，如果每个人都能使用量子计算机，那么将会发生一些有趣的事情。欢迎来到Bankless，我们将在这里探索互联网货币和互联网金融的前沿领域。今天，我们将探索量子计算及其对互联网货币的影响。它会做什么？量子计算机会带走我们所有的比特币吗？我是Ryan Sean Adams，我和David Hoffman一起，我们将帮助你变得更加去中心化。伙计们，这是一期特别的节目，我认为它分为多个部分。第一部分，我们邀请了Scott Aronson来到播客。他是一位理论计算机科学家，也是量子计算领域的顶级专家。在第一部分中，我们还邀请了Justin Drake来到播客，他也会向Scott Aronson提出一些问题，特别是关于量子计算对我们比特币和以太坊等加密货币的影响。由于主题内容非常深入，涉及量子基础知识，Bankless的听众可能会觉得难以跟上这些聪明的大脑和一些提出的想法。所以不用担心，播客的最后一部分，也就是第三部分，只有David、我和Justin Drake。我们将尝试总结我们所学到的所有内容。对我来说，这是我最喜欢的部分之一，因为它把Scott Aronson所说的所有高深的内容都直接应用到了以太坊和比特币上，探讨了在加密领域可能发生的事情。这期节目分为三个部分，如果你在某些章节迷失在细节中，欢迎跳过其中一部分。是的，我认为这期节目的第一部分就像两个高中生在向一位博士询问量子计算，并试图让这位博士用简单的术语解释。我认为我们做得还不错。Bankless的听众，如果你用尽100%的脑力，我认为你会捕捉到一种感觉，你会捕捉到它的方向，但它确实很快就变得非常技术化了。然后当Justin接手时，它开始越来越关注这与加密货币的关系。

然而，这期播客的开始方式是：什么是量子计算？它有什么不同？它是如何工作的？它如何改变和影响世界？然后，随着我们在这期播客中进一步深入，它将如何影响我们的后背？

我们需要改变什么？我们需要在以太坊中改变什么？比特币将如何应对这些变化，这是一个更困难的讨论，我对此不太乐观。总的来说，我学到了很多东西。很荣幸能邀请Scott来到播客。他是这个量子计算领域的重量级人物。我还想说，量子计算与加密货币的关系将成为它如何影响社会其他领域的一个缩影。

加密货币并不是唯一受此影响的行业。世界其他地区也将受到影响。与其他例子一样，我认为加密货币将成为一个先锋，一个煤矿中的金丝雀，因为我们将首先解决这个问题，因为我们看到了它的到来，我们是未来主义者，我们关注这些事情。

这就是我们制作这期播客的原因。是的，我们会的。事实上，它比我一开始想的更重要。它对加密货币的影响比我参加这期节目之前想象的要大得多。所以，伙计们，我们感谢你们。让我们直接进入与Scott Aronson和Justin Drake的访谈。但在开始之前，我们要感谢使这一切成为可能的赞助商。

METH协议的总锁仓价值超过15亿美元，它是METH的所在地，METH是第四大ETH流动性质押代币，在十大LST中提供最高的APR之一。现在，CMETH更进一步。这个重新质押的版本在CARAC、EigenLayer、Symbiotic和许多其他方面获得了多种收益。

使CMETH成为市场上最高效、最具组合性的LRT解决方案。变形记第一季向METH持有者发放了770万美元的Cook奖励。第二季目前正在进行中，允许用户赚取质押、重新质押和AVS收益，以及Cook（METH协议的治理代币）等奖励。不要错过质押、重新质押和利用Cook塑造METH协议未来的机会。

今天就参与进来，访问meeth.mantle.xyz。Celo正在从一个移动优先的、与EVM兼容的Layer 1区块链过渡到一个基于OP stack、EigenDA和单块终结性的高性能以太坊Layer 2。所有这些都将很快通过硬分叉实现。总交易量超过6亿笔，每周交易量1200万笔，

日活跃用户75万，Celo的迅速崛起使其跻身于顶级Layer 2之列，它为现实世界而构建，并针对快速、低成本的全球支付进行了优化。作为稳定币的所在地，Celo拥有13种原生稳定币，涵盖7种不同的货币，包括Opera MiniPay上的原生USDT，

仅在非洲就有超过400万用户。11月份，稳定币交易量达到68亿美元，实现了无缝的链上外汇交易。此外，用户可以使用ERC-20代币（如USDT和USDC）支付gas费，并可在几秒钟内将加密货币发送到电话号码。但是，你为什么应该关心Celo向Layer 2的过渡呢？Layer 2统一了以太坊，L1则支离破碎。通过成为Layer 2，Celo为其他与EVM兼容的Layer 1树立了榜样。关注Celo的X账号，见证伟大的Celo事件的发生，Celo在其Layer 2时代将通胀减半，并继续其环保领导地位。

Bankless Nation，我很荣幸向你们介绍Scott Aronson。他是一位理论计算机科学家，也是德克萨斯大学奥斯汀分校的教授，在那里他领导着量子信息中心。他是一位量子领域的专家，在过去的两年里，他实际上休假了，他在OpenAI从事人工智能安全工作。所以可以肯定地说，我们今天邀请到了一位至少在两个我们感兴趣的领域拥有专业知识的专家，即量子计算和人工智能。

Scott，欢迎来到Bankless。非常感谢，很高兴来到这里。邀请我们是因为这个主题对David和我来说有点吓人。我们需要帮助。我们还有Justin Drake。你认识Justin，他是以太坊基金会的成员。他将担任本次对话的一部分的技术联合主持人。Justin，你好吗？很好，感谢你们的邀请，很荣幸能与Scott一起参加这个播客。是的，很高兴见到你，Justin。是的，很高兴看到Scott与加密社区互动。

因为我们这里有量子与加密的交叉，这就是这次对话的起源。我认为David和我对这期节目的目标很简单，那就是让加密货币人士了解量子计算，因为我觉得我们现在还不够了解。我们听说过一个可怕的消息，即量子计算将来可能会被用来破解我们的密码学，窃取我们的加密货币。这有点吓人。所以我希望为Bankless的听众将此分为两部分。

第一部分我称之为“小脑问题”。对于David和我来说，我们将向你询问量子计算101，以及关于量子的普遍看法，确保我们有一个良好的基础。然后第二部分，Justin将领导。那是更高级的内容，你们可以讨论密码学、量子计算，这是否会破坏比特币？这是否会破坏以太坊？如果是的话，如何破坏？我们将尽最大努力跟上。是的，谢谢。你们准备好了吗？

很好。我得到了点头确认，这和口头确认一样好。让我们进入小脑，量子计算101。好的，大约一个月前发生了一件事。这是12月初。谷歌的首席执行官发布了一条推文。谷歌的首席执行官Sundar说，Willow是我们最新的最先进的量子计算芯片，它取得了突破，可以随着我们使用更多量子比特进行扩展而呈指数级地减少错误，破解了该领域30年的挑战。因此，推出了一个新的最先进的量子计算芯片Willow。我认为这成为了主流新闻。它进入了加密货币领域，并再次让我们开始讨论量子计算以及它可能如何影响未来的加密货币。对此有很多担忧。我想从这条推文开始提问。从你的角度来看，谷歌的Willow芯片是一项重大突破吗？我的意思是，你已经在量子计算领域工作了20年。这有多重要？我的意思是，我会称之为一个工程里程碑。

它并没有推翻以前被相信的任何东西，也没有代表什么伟大的新发现。我的意思是，作为理论家，这些东西在20世纪90年代就被预测到了，对吧？一旦你获得了可以以足够低的错误率进行操作的量子比特，那么你就可以进行这些非常巧妙的量子纠错码。

这将比物理量子比特的保护更好地区保护你底层的逻辑量子比特。原则上，你可以将编码的量子比特保存任意长的时间。这是一个自1996年左右就已存在的理论。但令人兴奋的是，30年后，我们才开始通过实验验证这些预测。

谷歌在12月份宣布的里程碑实际上是他们在夏季就已在线发布的一篇论文。所以，当谷歌在12月份宣布它时，对我们来说已经是旧闻了。但他们现在已经制造出一块拥有103个物理量子比特的芯片，我认为。这就是Willow。它是超导量子比特，大致排列成10×10的网格。

他们用它来实现所谓的表面码，这是一种量子纠错码。同样，作为理论家，我们从1997年就知道了它。

但这是第一次，他们以一种方式做到这一点，当他们扩展到越来越大的表面码时，例如从3×3阵列到5×5到7×7等等，他们将编码的量子比特保存的时间越来越长，对吧？

他们已经超过了这样一个阈值，即转向更大的代码会给你带来越来越多的净收益。这有点像1942年的费米堆，超过了这样一个阈值，即每个原子核衰变都会导致更多原子核衰变。这是一个重要的阈值。所以现在还不足以进行完全可扩展的容错量子计算。我的意思是，一方面，我们现在只讨论一个只是在那里存在的编码量子比特。下一步将是构建多个编码量子比特，让它们相互作用，

这还没有用这种质量的编码量子比特完成。而且，你知道，如果真的想，我们稍后会讨论这个问题，但如果你真的想破解密码代码，那么你可能需要数百万个物理量子比特。

可能在数百或数千个稀释制冷机中，所有这些都与互连设备相连。所以，长话短说，我们还没有达到那个阶段。好的，但是，你知道，这是一个重要的里程碑，是理论家们自90年代以来就一直在讨论的事情。令人兴奋的是，就在去年，我们看到它跨越了这个门槛，你知道，有一些量子计算的怀疑论者，他们，你知道，我认为，你知道，坚定地预测，你知道，我们永远不会走到这一步。

对吧，你知道，就像我们并不真正理解量子力学本身，或者，你知道，有一些相关的噪声来源违反了量子容错理论的假设。而且，你知道，当我们试图构建它时，我们将看到它会使量子计算成为不可能，你知道，我们没有看到任何这方面的迹象。

一切似乎都像20世纪90年代的理论所说的那样运作。所以我会说这是主要的结果。好吧，这似乎从现在正在研究的理论的角度来看意义重大。所以这是一个工程里程碑，正如你所说。那么一个重要的问题是，这将如何加速未来的发展？对吧。有没有类似的情况？我的意思是，我们是在看晶体管和摩尔定律吗？我们是在看像人工智能一样爆炸性的事情吗？

这似乎，就像，我们从Transformer开始，然后突然出现了GPT，现在我们看到了巨大的进步。这将如何快速加速未来的发展？是的，你可以随时尝试寻找历史上的类比，对吧？我也这样做。我总是这样做。这也是危险的，对吧？因为每种情况都不完全与之前的相同，对吧？在这种情况下，你知道，我认为我的主要警告是，你知道，有些人只是，你知道，他们听到关于量子计算的所有这些令人兴奋的事情，他们期望，好吧，那么这肯定就是下一个前沿领域，它将取代我们所有现有的计算机，对吧？它将彻底改变一切。而且

量子计算机的难点在于，为了使其有用，你必须击败经典计算机。经典计算机已经存在。它们是文明的成就之一。我们稍后可以讨论这个问题，但这主要是因为某些非常特殊的任务。

我们知道如何利用量子计算机比经典计算机获得巨大的优势。对于许多许多其他任务，对于许多，我认为，我们日常使用计算机所做的大部分工作，量子计算机可能几乎不会帮助你，或者根本不会帮助你。

对吧？你可以使用量子计算机来查看你的电子邮件或玩Candy Crush，但这就像使用航天飞机在停车场接送乘客一样。对吧？这根本没有意义。

好的，所以，你知道，你真的必须看看，你知道，这些具体的应用，量子计算机承诺改进，对吧？即使一旦，你知道，我们实现了量子计算的全部承诺，我的意思是，那些，你知道，我认为这将是某些特定的行业，我们主要会在那里看到影响。好的，所以，你知道，量子计算机可以帮助或不能帮助的问题类型，你知道，我们可以根据你的喜好详细讨论，对吧？因为在某种意义上，我们对此了解很多。而时间表，这需要多长时间，我们对此了解较少。

对吧？或者说，你知道，如果我对这方面了解很多，那么我不会成为一名教授，我会成为一名投资者。

所以，你知道，我所能做的只是，你知道，看看散点图，你知道，看看，你知道，在过去的20年中，各种量子计算工作做出了哪些承诺，以及他们在兑现这些承诺方面进展如何。如果你看看这一点，你会看到，好吧，自从我于20世纪90年代后期进入这个领域以来，我们已经取得了令人难以置信的进步。现在已经超过20年了，对吧？但在90年代，获得仅仅两个以50%的保真度相互通信的量子比特就已经令人惊叹了。

保真度，对吧，50%的准确性，对吧？然后，你知道，我们知道，好吧，如果你能把它做得非常接近1，比如，你知道，99.999%或类似的东西，那么量子纠错就会开始发挥作用。然后你可以将有效误差一直降低到零。但是，你知道，这似乎与人们当时所处的位置相差甚远。好的，但是

你知道，在25年里，发生的事情是，50%的保真度变成了90%，变成了99%。现在在，你知道，像谷歌或Continuum或Quora这样的最新系统中，它是99.8%或99.9%。

与此同时，量子纠错方法也得到了改进，对吧，所以它们可以应对更大的误差。所以我们现在处于……

我们非常非常接近这样一个阈值，原则上，量子纠错在你扩展时确实会成为一个净收益。好的，所以，你知道，这并不是要轻描淡写人们面前的工程工作的巨大性，对吧？但是，你知道，如果你只看错误率，对吧，作为时间的函数，你知道，这看起来相当不错。

而且看起来，如果人们非常想要这个，并且愿意投入足够的资金，我当然不能排除在未来十年内他们能够获得有用的量子优势的可能性。这有点像在20世纪30年代问一位核物理学家。

对吧，你知道，多久才能达到临界质量？对吧？就像尼尔斯·玻尔，例如，被问到这个问题，他说，这在任何可预见的未来都不会发生，因为你必须将整个国家变成一个铀浓缩工厂。

基本上，对吧？这只是异想天开，对吧？然后，你知道，显然在1943年，他参观了曼哈顿计划，然后他说，好吧，我看到这就是你们所做的。所以，你知道，在某种程度上，这只是一个问题，你知道，有人愿意花多少钱？他们有多想要这个，对吧？所以时间框架，你知道，取决于各种事情，你知道，我作为一名理论计算机科学家，你知道，我无法很好地预测。

好的，但是，你知道，我们很快就会讨论这个问题，但我肯定会说，你知道，那些拥有加密数据的人，他们希望在未来十年内保持秘密，是的，你知道，如果我是这样的人，那么我可能已经在寻找迁移到后量子或抗量子加密方法了。

我认为这确实帮助我们确定自己在与量子发展相关的历史中的位置。我们正处于从研究和理论转向实践的拐点，这只是一个时间、意志力和费用的问题。

Scott，我确实想回到你之前说过的关于量子计算和经典计算之间差异的内容，因为我认为这是我想要听众真正融入他们大脑中的第一个重要的顿悟时刻。我个人为了理解这一点而使用的比喻，我认为效果很好，

是试图让人们摆脱量子计算机不仅仅是速度更快的经典计算机的想法。例如，我们可以说，汽车的发展历程是，首先我们有了福特T型车，现在我们有了法拉利和丰田车，它们运行良好，而且非常可靠。这是这项技术的连贯的定向进步轨迹。我的意思是，速度并没有真正提高那么多，当然不是呈指数级提高。

但是，是的，它们看起来确实很时尚。但我们使用量子计算所做的并不是仅仅制造一台更好的经典计算机。它更像是我们实际上正在制造一艘船，我们正在驶向汽车无法探索或航行的不同前沿。无论你制造的引擎有多好，把它装进汽车里都没有用。它不会帮助你在水上行驶。

量子计算就像，好吧，我们实际上正在改变我们正在航行的前沿的形状。我们正在进入一片不同的未知领域。现在，我们能够探索不同的数学领域。有不同的应用。有不同的效用。这对我来说是一个非常有帮助的比喻。也许你可以扩展这个比喻，并以此来解释一下。是的。我的意思是，像大多数比喻一样，这个比喻既有优点也有缺点。正确。

我的意思是，你知道，量子计算机确实会利用自然以一种全新的方式进行计算，对吧？自从艾伦·图灵以来，它确实是第一个改变什么可以有效计算以及什么不能有效计算的基本规则的设备，对吧？它之所以能做到这一点，是因为它正在利用量子力学的规律。

众所周知，量子力学指出，系统可以处于所谓的叠加态。所以，我们所说的量子比特，可以处于零态和一态的叠加态，这意味着你有一些数字，称为振幅，它与量子比特为零的可能性相关联，你还有另一个振幅与量子比特为一的可能性相关联。

对吧？所以它不一定是其中之一。现在，如果你观察量子比特，如果你测量它来询问，你知道，它是哪个，那么你将得到一个明确的答案，对吧？它会告诉你，你知道，它是零还是一。每种可能结果的概率将通过物理学中一个非常著名的规则（玻恩规则）与振幅相关联。它说你取振幅绝对值的平方来得到概率。但关键是，这些振幅本身并不是概率。什么是概率？它是一个从零到一的数字。

对吧？你可以谈论30%的降雨几率或某人赢得选举的几率，但你永远不会谈论-30%的几率。那简直是胡说八道。好的？但振幅可以是正数或负数。事实上，它们甚至可以是复数。所以这是关键，对吧？这是我们于1926年了解现实的关键，你知道，在幕后，自然正在使用这些与概率密切相关的数字，但它们不是，因为它们是复数，对吧？它们是这些振幅，好的？所以现在，如果我谈论单个量子比特，这已经很有趣了，你知道，这可能意味着一个电子，它

可能位于两个位置之一，或者它可能绕某个轴顺时针或逆时针旋转，具有一些小的自由度。但当我谈论多个量子比特时，它就更有趣了。

因为量子力学的规则，这些规则在过去一个世纪里已经被反复实验验证了数千次，它们明确指出，如果我有，比如说，两个量子比特，

现在我需要四个振幅。好的，我需要一个振幅，使两个量子比特都为零。所以对于这个状态0,0。然后我需要一个振幅，使第一个量子比特为零，第二个量子比特为一，对于0,1。然后我需要一个振幅，对于1,0和一个振幅，对于1,1。好的，如果我有

三个量子比特，现在我需要八个振幅，对吧？每个可能的三个比特字符串一个。如果我有，你知道，一百个量子比特，2的100次方振幅，对吧？如果我有一千个量子比特，那么这实际上比整个可观测宇宙中所能写下的振幅还要多。好的，它是2的1000次方。

对吧？所以从某种意义上说，自从我们了解量子力学以来，就像我们知道自然在某处旁边存储了这个巨大的草稿纸，你知道，用这个难以置信数量的参数，你知道，只是为了跟踪相当少数量的粒子的状态，比如几百个或几千个，对吧？每次这些粒子发生一些事情时，自然都必须划掉所有这些数字，并用新的数字替换它们。

现在，确实我们从未直接看到这些数字。你从未直接看到振幅。但我们需要它们来计算我们确实看到的各种结果的概率。

所以这就是基本情况。所以化学家和物理学家几代人都知道这一点，这种指数性是量子力学核心的东西，因为这种振幅的爆炸式增长。他们主要将其作为一个实际问题来了解。如果你试图使用经典计算机模拟化学反应或模拟材料，你必须求解

所谓的薛定谔方程，这是量子力学的中心方程，它基本上只是告诉你当系统处于隔离状态时，当你的量子比特与外界隔离时，例如当没有人测量它们时，振幅是如何随时间变化的。它只是说它们随时间通过线性微分方程变化。

这保留了这样一个特性：所有不同结果的概率总和始终为一。这就是它所说的全部内容。也许这是物理学中最重要的方程式。因此，原则上，我们理解所有这些。它甚至是一个非常简单的线性微分方程。麻烦在于有多少个该死的振幅。

因此，一旦人们开始尝试模拟，比如说，计算机上的许多纠缠电子来计算化学反应的特性，他们就遇到了这种指数爆炸。

因此，自 50 年代和 60 年代以来，许多化学家和物理学家一直在做的事情是发明启发式方法、近似值、技巧，通过巧妙的方法，让他们在各种特殊情况下避免这种指数性。但在 1980 年代初期，一些物理学家，最著名的是理查德·费曼和戴维·德意志，

他们有了一个非凡的想法，如果大自然给了我们这个计算难题，那么，为什么我们不尝试从中榨取好处呢？对吧？那么，为什么我们不构建一台本身就能利用这种指数性的计算机呢？好的，他们称之为量子计算机。当然，当时这只是一个思想实验。好的，但是

他们立即面临着一个问题，好吧，假设我们建造了这个设备，它有什么用呢？当时，他们对这个问题只有一个答案，那就是，它将用于模拟量子力学本身。我认为……

40 多年后，事实是，这仍然是我们已知的经济上最重要的量子计算机应用，对吧？也就是说，它们会给你这种通用的方法，来解决这种指数级的振幅爆炸，从而模拟任何你可能关心的量子材料、高温超导体或光伏或蛋白质，并且，你知道，可能会得到一个更好的模拟，比经典计算机所能提供的更准确的模拟，在更短的时间内，好吗？但这并不是真正让量子计算进入世界大多数人视野的发现。

只要它只是一个模拟量子力学的设备，它主要只是一个由一些奇怪的物理学家和计算机科学家提出的想法。真正引起人们注意的是，在 20 世纪 90 年代中期发现量子计算机也可以为至少一些纯粹的经典问题实现显著的加速。

与量子力学无关的问题。最著名的例子是寻找巨大数字的质因数的问题。你们中的一些听众可能知道，这恰好是构成目前保护互联网的大部分加密安全性的问题。特别是任何使用 RSA 加密的加密内容。它取决于这样一个信念，即因式分解是一个难题。

1994 年，彼得·肖尔证明，如果你能建造一台大型量子计算机，那么就有一种快速分解大数的方法。好的？你可以使用大约与 n 平方成比例的步骤数来分解一个 n 位数。好的？而最好的经典方法需要的步骤数随 n 成指数增长，实际上随 n 的立方根增长。好的？

所以这是对最佳已知经典算法的指数级加速。事实证明，它的变体可以破坏我们用来保护互联网的大部分其他公钥加密，包括基于称为离散对数的问题的 Diffie-Hellman，甚至椭圆曲线加密。

好的，所有这些都将被量子计算机破坏。好的，所以这真正引起了人们的注意。好的，但不幸的是，大约 30 年前发生的事情是，一种说法盛行，关于量子计算机将如何做到这一切。

这真的很难消除，即使我已经在我的博客上尝试了 20 年。这种说法基本上是说，量子计算机将做到这一点的方式是，它只会并行尝试你的数字的每一个可能的除数。它会尝试叠加中的所有内容，它基本上就像一台大规模并行、指数级并行的经典计算机。

我认为这很流行，因为它听起来非常好。任何人都可以理解为什么这会有用。它甚至与某些真实的东西有一定的关系。但不幸的是，事实并非如此。它在一个非常重要的方面是错误的。所以现在我认为我们真的可以深入了解……

你知道，量子计算机与经典计算机的不同之处，对吧？所以，量子计算机确实可以创建对问题的每一个可能解的等叠加，即使有指数级数量的解。

你知道，这对于量子计算机来说甚至是一件容易的事情。麻烦的是，为了让计算机有用，你知道，在某些时候你必须观察，你必须测量，你必须得到一个输出，好吗？如果你只是那样做了，你知道，对一个等叠加，没有做任何其他事情，那么量子力学的规则，你知道，这个玻恩规则，非常清楚地表明你将看到的只是随机答案，对吧？如果你只想得到一个随机答案，你本可以多次抛硬币。你本可以自己选择一个。你可以省下建造这台量子计算机的所有数十亿美元。真正从经典计算机中获得优势与仅仅使用带有随机数生成器的经典计算机相比的唯一希望是利用这些振幅（复数）与传统概率的不同工作方式。

并且对于量子计算机的每种算法，包括著名的肖尔因式分解算法，诀窍在于，

你试图编排一种干涉模式，这样对于每个错误答案，例如不是你的数字的质因数的每个数字，其振幅的一些贡献是正的，而另一些是负的，因此总的来说它们相互抵消。而对于正确的答案，你知道，你希望其振幅的所有贡献都指向相同的方向。

以便它们增强，以便它们相加。如果你能做到这一点，那么当你测量你的量子比特时，你将以高概率看到你想要的答案，在肖尔算法的情况下，你的数字的质因数。

而且，你知道，如果你没有看到它，你总是可以重复几次量子计算，直到你看到它为止。好的，但整个游戏是利用正振幅和负振幅之间的干涉来尝试将看到正确答案的概率提高到高于经典计算机所能达到的水平。现在，这非常……

这就像大自然给了你一个非常奇怪的新锤子，对吧？先验地并不明显有任何有用的钉子可以用这个锤子敲打，除了模拟量子力学本身。对。

这就是为什么像彼得·肖尔这样的人需要弄清楚这一点。这并不明显，因为你必须安排所有这些干涉，即使你自己事先不知道哪个答案是正确的，如果你已经知道了，那还有什么意义呢？你必须比最快的经典方法更快地完成所有这些工作。否则，同样，为什么不使用经典计算机呢？对。

好的，这就是量子计算的游戏，这就是为什么量子计算机的应用比一些人希望的更专业化。回到你的船的比喻，对吧？好的，从某种意义上说，经典计算机可以做的任何事情，量子计算机也可以做。对。

所以也许它不像船，而像两栖车。但对于我们使用经典计算机所做的绝大多数事情，使用量子计算机没有意义，因为它并不更好。只有在你能够利用这种干涉现象来比经典算法更快地将更多振幅集中在你想要的答案上时，它才会更好。我认为我得到的直觉是量子计算机擅长

非常大的数字管理。斯科特，也许我可以问我们最后一个有趣的问题，在我们把事情交给贾斯汀·德雷克之前。这些不是愚蠢的问题。哦，很好，很好。我很高兴，我很高兴。简单的问题是，我看到的量子计算机的图片，为什么它们看起来如此奇怪？是的。就像为什么，就像我习惯了这些非常小、扁平、方形的金属芯片，你知道，它们可以安装在我的主板上。对。

而那不是我现在看到的。所以这笔交易是什么？是的，你能为只是在听这个的听众描述一下吗，大卫，我们在这里看的是什么？这就像量子计算机图像。有很多。我的意思是，如果我负责在 70 年代或 80 年代制作一部关于某种太空飞船上的射线枪的科幻电影，

并且我想让它看起来尽可能疯狂和未来主义，我会制作像量子计算机这样的东西。它看起来不真实。它看起来非常复杂，你甚至不会质疑

就像，你甚至不会质疑它做了什么，如果你在电影中看到这个。所以我认为回答你问题的关键是记住 50 年代经典计算机是什么样的，对吧？它们看起来也很吓人，像科幻小说一样，对吧？当然，它们的功能将远不如任何人的 iPhone，对吧？但是，你知道，因为人们只是在学习如何建造这些东西，对吧？他们没有所有组件只是蚀刻。

到一个微小的芯片上，对吧？也就是说，所有这些都可以被看到。我认为这就是科幻外观的原因。所以在这些图片中，我应该提醒你，我不是实验主义者。我知道，我会被带到实验室参观，与我的实验同事交谈。但是，你知道，他们让我发誓不碰任何东西。

但同样，在许多这些图片中，你看到的基本上只是一个稀释制冷机，对吧？所以大部分这些花哨的东西，你知道，它只是为了冷却你的芯片。所以，你知道，现在它必须被冷却到非常低的温度，对于超导量子比特，它们通常冷却到大约 10 毫开尔文。

这比绝对零度高百分之一度。这样做的原因是，只有在如此低的温度下，你才能真正看到你的自由度表现为量子比特，你知道，与环境隔离，不被环境测量，并且能够持续存在。

很长时间，而长时间，我们可能指的是大约 50 微秒或类似的时间。所以，你知道，按照人类的标准来说并不长，但是，你知道，足够长的时间来做一些有趣的事情，对吧？我们需要它们保持在这些叠加态中，而不会让环境妨碍。好的，所以基本上，当你看到那些花哨的图像时，你知道，在许多情况下，你看到的大部分只是冰箱。好的？

好的，而芯片本身，你知道，看起来就像一个相当标准的计算机芯片，对吧？这就是超导器件中量子比特所在的地方。好的，但是为什么这些稀释制冷机看起来有点像倒置的结婚蛋糕。

我听说过它们的描述，对吧？这是因为每一层都比上面一层冷却到更低的温度。所以就像有一层冷却到几开尔文，然后也许，你知道，下一层冷却到，我不知道，几百毫开尔文，对吧？然后，你知道，你一直冷却到想要的温度。假设是 10 毫开尔文，这可能只是我拳头大小的东西。

这就是你放置芯片的地方。好的，芯片是实际量子比特所在的地方。所以这就是真正发生作用的地方。然后你看到的另一件事是很多电线，对吧？因为，你知道，归根结底，我们需要告诉这些量子比特该做什么，对吧？它们应该执行什么操作来影响它们的振幅，来创建我们想要的这种干涉图样。所有这些控制都是由经典计算机完成的。

所以你有很多普通的经典计算硬件。你经常会有一些研究生或博士后坐在 Linux 盒子或 Mac 或其他什么东西上，他们只是编写代码，这些代码将控制微控制器，微控制器将向稀释制冷机、芯片发送命令，以告诉量子比特该做什么。

好的，所有这些经典电子设备，这就是你看到的另一件事。现在，如果我们谈论的是不同类型的量子计算硬件，例如离子阱或中性原子或光子量子比特，那么你将看到不同的东西，对吧？但在某种意义上，就像……

这些图片看起来很有趣，对吧？但所有真正发生的事情都发生在我们从未直接看到的空间中。这就是我们所说的希尔伯特空间，对吧？可能的量子态的抽象空间，你知道，由这些不同的振幅描述。

所以，你知道，当我访问实验室并与实验人员交谈时，就像，你知道，我们有你展示的那些看起来很酷的东西作为非常酷的背景，但然后我们最终通常会在白板上讨论量子态。这太疯狂、太酷、太令人兴奋了，这些倒置的结婚蛋糕冰箱让我们能够利用大自然的草稿纸，你说的很多话

对我来说太迷人了，这表明这里还有很多东西需要学习。在谈话的这一点上，我认为我们已经完成了大卫和瑞安的问题。我们想介绍贾斯汀·德雷克。我认为在谈话的这一点上，很多人已经了解了量子计算机是什么，它们能做什么。现在我们想知道它们如何影响我们的密码学，因为我们创造的整个加密货币行业的基石是部分经济学

和大量密码学。因此，如果我们说量子计算机破坏了 RSA，破坏了一些基本假设，我们需要知道需要多少台冰箱以及何时需要，例如在什么时间点，400 万个不安全的比特币可能会被“黑客攻击”。无论如何，让我介绍贾斯汀加入谈话。贾斯汀，我不知道你想做什么，但请随意接管谈话的其余部分，并与斯科特讨论这些话题。- 绝对的。所以斯科特，听起来

你知道，一切都在按计划进行。我们已经有了这些理论预测，这些预测正在随着工程技术而实现。非常著名的是，几个月前，你在你的博客文章中写下了这样一句话，说你预计

在接下来的 10 年内，我们应该拥有一台有用的容错量子计算机，或者我们将学习一些根本性的新东西，也许是关于物理学如何运作的一些根本性的东西。我应该澄清一下，有用并不一定意味着，你知道，黑客攻击比特币或破坏 RSA，对吧？你知道，我认为在我们看到这一点之前，我们将看到量子模拟，这些模拟可以告诉我们关于自然界的一些有趣的新事物。

就像那样，如果我们至少在未来十年内没有看到这一点，我会非常失望。而破坏 RSA 的部分，我不知道。我不知道这需要多长时间。所以今天早上，非常巧合的是，我遇到了史蒂夫·布莱尔利，他是 Riverlane 的创始人。这是一家位于剑桥的量子计算公司。他们做量子纠错。他告诉我，他认为破坏 ECDSA 需要……

100 亿美元的研发费用。这听起来合理吗？这听起来和任何人的猜测一样好。你知道，他可能比我更了解。是的，我的意思是，数量，你知道，我刚刚参加了一个名为“量子到商业”的会议，在 12 月，我在那里听到一个估计，说全球每年大约有 400 亿美元用于量子信息研究。

现在进行研究和开发，你知道，这很大程度上取决于你如何定义它，对吧，因为很多人，你知道，他们无论如何都会做一些事情，但你知道，他们已经将其重新定义为量子信息，因为它听起来很酷，对吧，但你知道，支出已经达到数十亿美元，我认为，大约十年前，它们已经超过了学术实验室主要依靠纯粹的规模来竞争的点。大学的一位教授可能能够筹集几百万美元。他们无法筹集数亿美元。我认为，目前数亿美元只是拥有最先进实验的门槛，例如谷歌、IBM 或

亚马逊或各种初创公司（如 Continuum、Quora 或 Psi Quantum）正在进行的实验。现在当你谈到扩展规模时，你知道，要破坏 ECDSA 或其他密码标准，对吧？所以，你知道，你谈论的是几千个逻辑量子比特。

只需运行你需要运行的肖尔算法的任何版本。但是现在每个逻辑量子比特都需要使用量子纠错码进行编码。这本身可能需要数百甚至数千个物理量子比特。

好的，所以你得到数千乘以数千，基本上。所以现在你谈论的是数百万，甚至可能是数亿个物理量子比特。好的，所以这些估计首先是由奥斯汀·福勒等人于 2008 年左右完成的。你知道，它们看起来非常可怕。

对。我的意思是，这取决于你如何看待它，对吧？再次，你知道，就像想想 1930 年代对以下问题的估计一样，如果你使用 U-235，那么核武器的临界质量是多少，对吧？一方面，这非常可怕。另一方面，它说，哦，如果我们仅仅这样做，那么我们就会拥有那个。

对吧？所以现在，你知道，让我们为了简单起见，谈谈超导量子比特，对吧？所以每个芯片，你知道，我认为最多可以存储几百个，也许几千个量子比特。好的？现在如果我需要数百万个量子比特，那么我正在谈论数百或数千个芯片。对。麻烦的是，这些稀释制冷机中的每一个，对，只冷却相当小的体积。对。

所以现在如果我需要很多很多超导芯片，那么我正在谈论很多很多稀释制冷机，它们的芯片都需要相互连接，必须通过某种量子通信网络连接。

所以现在我设想可能基本上用稀释冰箱来填充一栋建筑物，对吧？在它们之间建立整个量子网络。好的，这种事情还没有被证明。但是，你知道，如果你想使用超导量子比特构建一个可扩展的设备，那么看起来事情就需要这样发展。

为了节省时间，我可以问你一些快速的问题吗？好的。所以我想我好奇的一个问题是，当我们确实拥有一台可以破坏密码学的量子计算机时，它是否会破坏一种非常具体的密码学，例如 RSA 或特别是 BLS 签名或 ECDSA？或者它会成为一台通用的量子计算机，可以重新编程以破坏所有基于椭圆曲线的密码学？

哦，好的。所以，我的意思是，一旦你拥有一台能够破坏，比如说，椭圆曲线密码学的量子计算机，我强烈预期这将是一台可编程设备，然后你可以将其重新编程以破坏 RSA，破坏 Diffie-Hellman，例如，你知道，有……

所有警告，这取决于密钥大小，对于这些代码中的每一个，你究竟有多少量子比特以及你需要多少量子比特，但我预期那时它将成为一个完全可编程的设备。但是

重要的是要说，你知道，还有其他密码代码，最著名的是基于格的代码，例如，或者只是对称密钥密码学，你知道，像 DES、AES 这样的东西，我们不知道如何有效地破坏，即使使用量子计算机也是如此。对。

即使拥有量子计算机也只会产生适度的差异。所以这是一个非常关键的点。但是对于那些可以用量子计算机破坏的代码，例如那些基于阿贝尔群问题的代码，例如 RSA、Diffie-Hellman、椭圆曲线密码，我预计一旦你可以破坏其中一个，那么在很短的时间内你也可以破坏其他代码。好的，明白了。另一个……

我的问题是，一旦我们拥有这些计算机，破坏一个密钥需要多长时间？原因是，在以太坊中，我们有一百万个验证者。因此，如果破坏一个验证者需要一天时间，那么破坏所有验证者将需要一百万天。在比特币和以太坊账户的类似情况下，有数百万个账户。是的。

是的。就像我说的那样，对运行容错量子计算以破坏 RSA 或 Diffie-Hellman 所需时间的初步估计是，你知道，在有趣的密钥大小下，你知道，看起来相当可怕，对吧？你知道，它们涉及数百万个物理量子比特。

你知道，可能是数百或数千个稀释制冷机。而且，你知道，我看到的估计是，要破坏一个 2048 位密钥，你可能需要运行你的量子计算机一周，好吗？这是一个密钥。

对。但这当然，你知道，将来可能会改进。对。所以你可以想象，你知道，国家安全局正在建造这个东西，以便用于非常非常重要的目标。对。但是，你知道，你可以很容易地想象，在一段时间内，你知道，这个东西存在。

如果有人真的非常关心破坏一个特定的密钥，它就可以使用。但即使那样，人们也可能能够继续使用 RSA，因为破坏非常非常昂贵。

或者至少这取决于那些人是谁。任何需要军事级安全的人，在那时都应该切换到格密码学。但对于普通用户来说，RSA 可能仍然足够安全。但与计算中的大多数事情一样，你预计成本会随着时间的推移而下降。

特别是对于加密货币，我认为人们理解这一点很重要，即加密货币依赖密码学的主要有两个地方。其中一个是数字签名。

而现在的数字签名，在比特币和以太坊中，据我了解，都是基于椭圆曲线或其他量子可破坏的公钥密码代码。因此，如果你有一个量子计算机，如果它足够快，那么你就可以伪造签名，这样你就可以窃取人们的加密货币。好的。但是

但这必须相当快。即使在你拥有第一台真正大型的容错量子计算机之后，它们也可能不会立即足够快，以至于能够像你需要的那样快速地破坏签名。所以你可能会有一个宽限期，对吧？也许你有一个区间，你实际上仍然可以使用这些签名方案。

但是，你知道，那里需要说的另一件重要的事情是，我们已经知道其他可能抵抗量子攻击的签名方案，对吧？所以正如你非常清楚的那样，你知道，密码学界的人们一直在讨论，我们是否应该迁移到这些替代签名方案？你知道，这可能是一个困难的物流或工程问题。但是，你知道，以太坊已经证明它可以做到这一点合并。

它实际上可以在仍在使用时改变以太坊工作方式的基础。所以也许以太坊有能力做这样的事情。对于比特币来说，这可能更难。但这就是签名方案。对于像我这样的理论家来说，这是一个可以解决的问题。

对吧？因为，你知道，我们知道，你知道，你可以使用哪些可能具有量子安全性的签名方案，你知道，但升级它是一个很大的难题。对。

对。然后还有第二个重要的地方，在那里某种类型的密码学被用于加密货币。这是为了工作证明。对。以太坊不再基于此，但比特币和许多其他加密货币仍然基于此。对。工作证明基本上是，你知道，涉及哈希函数。对。

你必须找到某个哈希函数的原像才能挖掘新的加密货币。这些问题通常没有我之前谈到的那种阿贝尔群结构。我们甚至不知道，即使使用量子计算机，如何为这些挖掘问题获得指数级优势，这些问题是反转这个哈希函数以生成新的加密货币。好的。

好的，对于这些类型的任务，我们知道量子计算机如何使用不同的量子算法获得更适度的优势，该算法称为格罗弗算法。

与肖尔算法相比，格罗弗算法的应用范围要广泛得多。它确实适用于几乎任何涉及搜索巨大可能的解决方案列表的问题。它不需要任何阿贝尔群结构或奇特的周期性或任何类似的东西。但缺点是格罗弗算法只给你更适度的加速。

它不是指数级的加速。它基本上可以解决任何搜索问题，所需步骤大约是经典计算机所需步骤的平方根。

所以这显然是有一些东西的，但是，你知道，指数的平方根仍然是指数，对吧？例如，2 的 1000 次方的平方根是 2 的 500 次方，对吧？现在的问题是，如果你要运行一台带有所有纠错功能的量子计算机，对吧，这会带来巨大的开销，你知道，乐观地说，让我们假设一个百万倍的因素，你

知道，把它与不需要纠错的情况进行比较，对吧？所以现在假设你有一个有 n 个可能解的问题，比如你试图挖掘一些新的加密货币，并且，你知道，你有一个散列函数，它有 n 个可能的原像。好的，那么最好的情况是我们的量子计算机使用格罗弗算法将 n 减少到 n 的平方根，对吧？

但实际上，由于纠错，让我们假设我们将 n 替换为一百万倍的 n 的平方根。所以现在我们必须担心这个常数前因子。最终，量子计算机会成为一个净收益，但只有当一百万倍的 n 的平方根小于 n 时才会发生这种情况。这种情况什么时候发生？当 n 为一万亿时发生。

好的。所以基本上对于挖掘问题，你知道，你最终可能会看到格罗弗算法的优势，但是，你知道，这可能需要一段时间。即使你能够建造一台完全容错的量子计算机，你知道，它在挖掘加密货币方面仍然可能不会是一个优势，你知道，直到情况比现在好得多，对吧？而对于肖尔的因式分解算法，因为

优势是指数级的，你会更快地看到这种方式。好的，我觉得需要一个小脑来参与这个大型大脑的对话。贾斯汀，从加密的角度来看，你能总结一下什么会被破坏吗？斯科特正在描绘一个世界，一个未来的世界，不是立即的，在那里我们

可能拥有足够复杂的量子计算机来破坏加密中的一些东西。我想从实际的角度来看，比特币中会有什么被破坏？以太坊中会有什么被破坏？如果明天突然我们有了这样的量子计算机，用户会有什么感觉？是的，我认为斯科特提到的区块链有不同的层次。有应用层、共识层。在应用层中，最令人担忧的事情之一

是持有余额的账户可能会被破解，这意味着你可以从公钥推导出私钥来伪造消息、伪造签名，从而窃取资金。这意味着如果有一个以太坊账户，比如说，

里面有一亿美元，对吧？你会假设一个攻击者，一个量子计算机攻击者，会优先攻击高价值账户。他们不会来偷我价值 5 美元的 ETH，在我的某个 MetaMask 私钥中。他们会去抢大的。这理论上现在就可以在以太坊上做到，在比特币上也可以吗？是的，比特币和以太坊都使用相同的加密技术。它被称为 ECDSA。而且

我之所以问这个问题，即破解密钥所需的时间，是因为正如你所说，攻击者可能会先攻击大鱼，然后再攻击小鱼。

我问了同样的问题，这很有趣，我问我的朋友史蒂夫（来自 Riverlane），他说在他的估计中，这需要几秒钟。所以看起来专家们甚至无法就数量级达成一致。好吧，这在很大程度上取决于我们假设的架构，对吧？是离子阱吗？是超导量子比特吗？对，你知道，超导量子比特就像，你知道，门时间会快一千倍。

所以是的，根据你输入的数字，你可以得到截然不同的估计。我明白了，这很有道理。贾斯汀，这几乎感觉有点像关于 AGI 的 AI 对话，即飞速发展有多快。这就像，我们不知道所有的细节，不要打开另一个潘多拉魔盒，斯科特。我知道你也在这个领域。但是贾斯汀，如果账户可以在网上被黑客攻击，这似乎是一件非常重要的事情。

在比特币和以太坊上。这就像存在性级别的事情。我知道斯科特也在谈论工作量证明，这可能也容易受到这种情况的影响，但也许让我们先谈谈最重要的事情，那就是账户被黑客攻击。我的意思是，如果我们一夜之间拥有其中一台量子计算机，这会摧毁比特币

和以太坊，你对这种情况的反应是什么？我们是不是都完蛋了？因为当我谈到谷歌首席执行官推出 Willow 时，这基本上是最初的对话。有很多关于，好吧，比特币完蛋了。

你知道，除非它以某种方式进行硬分叉，并且因为比特币很难进行硬分叉，所以它可能容易受到这些类型的攻击。那么加密社区对此的反应是什么？我们该怎么办？我的意思是，我认为以太坊的反应是，我们使用所谓的账户抽象来允许持有余额的账户定义自己的签名方案，这可能是后量子安全的。所以今天的以太坊，无需任何硬分叉，就可以支持比特币。

后量子签名。这更多的是一个标准和一个采用过程，需要通过钱包来实现。

后量子签名的一个缺点是，它们往往比前量子签名大大约 10 倍，因此你必须支付 10 倍的 gas 才能将它们通过链上。好吧，这是一个巨大的缺点，对吧？以太坊呢？是的，所以我认为关于签名大小的一个积极方面是，我们可以让 Snarks 将后量子签名聚合到单个证明中，这可以是一个非常好的批量优化。

在比特币的情况下，不幸的是，没有真正的解决方案。你可以采取一些缓解措施。其中一个重要的措施是，你不要公开你的公钥。你所做的是公开公钥的哈希值，这样攻击者在没有公钥的情况下就无法找到私钥并攻击你的系统。而且

我们的想法是，你只在短时间内（也许只有几分钟，直到你的交易包含在区块中）公开你的公钥。如果斯科特确实是对的，破解单个密钥需要整整一周时间，那么任何正在进行的临时密钥实际上都是安全的。正如我所说，这一周肯定可以缩短，对吧？

我的意思是，你知道，一周内能做的事情，你知道，一年后也许，你知道，在未来的一年里可能确实可以在几秒钟内完成。是的，绝对的。因此，最终，比特币可能必须进行某种分叉才能保护自己。它必须引入一个新的签名方案。

但是即使它这样做了，还有一个问题，那就是丢失的硬币。中本聪有一百万枚硬币没有动过。不幸的是，中本聪的硬币很容易受到攻击，因为它使用了旧版本的比特币脚本，其中公钥确实会出现在链上。因此，任何人都可以继续挖掘这些硬币。我持有点乐观的态度，那就是

中本聪的一百万比特币在今天大约价值 1000 亿美元。如果比特币要与黄金达到平价，它将价值一万亿美元。这将基本上是一个非常有价值的社会赏金，基本上可以推动量子技术的发展。实际上我的朋友史蒂夫

今天早上，完全没有提示，他基本上问我关于中本聪的硬币的事情，因为他一直在考虑可能开始一家公司来做这件事。- 我认为这是否对社会有益，完全取决于谁得到这些硬币。- 斯科特，你认为那可能是谁？你认为那里最有可能的人是谁？民族国家、科技公司，你认为谁最先到达那里？

我的意思是，你知道，我们只能说谁现在在建造可扩展设备的竞赛中领先。而且，你知道，这主要由私营公司领导。你知道，在过去的十年里，人们主要谈论的是谷歌、IBM 做超导量子比特、Quantinuum，你知道，也许还有一些其他的，比如 IonQ、Rigetti、PsiQuantum 做光子量子比特。

然后在中国，我们对那里发生的事情了解较少，但政府肯定更多地参与其中。我只是想确保我理解比特币的状态。所以根据你所说的，贾斯汀，你所说的，斯科特，基本上比特币有一个升级路径。这需要一个硬分叉。我们都知道比特币的硬分叉有多困难。但是假设比特币可以……

进行某种硬分叉来实现量子安全的加密技术，那么就可以做到这一点。这将保护比特币的大部分价值，大部分现有的比特币。但是有一部分比特币，早期的比特币，包括中本聪的一百万枚，它被锁定在中本聪的钱包中，从早期开始就没有动过。但是

不包括这一点。我看到其他一些估计，比特币供应量在 100 万到 400 万之间。所以正如你所说，如果你将此推断到未来，我们可能在谈论数千亿美元或数万亿美元，而这无法升级。所以即使你对比特币进行了这种后量子加密升级，你也无法真正升级这 100 万到 400 万比特币的供应量。所以这是一个

问题。我知道比特币社区已经讨论过这个问题，这是我们在 12 月初看到的结果。你该怎么办？你烧掉比特币吗？你对它做其他事情吗？你以某种方式削减它吗？当然，这与比特币的宗教和比特币的教义背道而驰。

所以你所说的这几乎像是一个，不是赏金，而是对任何最快建造量子计算机的人的赏金，去抢走那些比特币。我们生活在一个多么奇怪的世界啊。我不敢相信这是现实。我所说的只是大致正确吗？我以前没有从这个角度考虑过这个问题。就像中本聪的比特币就像海盗的战利品一样，你知道，

被第一个建造量子计算机的人抢走，我想，如果他们的道德准则允许的话。好吧，但他们不必有道德，正如你之前指出的那样，斯科特。我的意思是，他们可能是邪恶的参与者。老实说，可能是朝鲜。我们今天在 Ipto 中有很多基于朝鲜的黑客攻击，但这是一种赏金激励。所以，斯科特，当你提到每年有 400 亿美元投入到量子计算机上的时候。好吧，这增加了经济价值。好吧，我认为这是针对所有量子技术，但是，你知道，无论人们如何定义它。但是是的，我的意思是，有很多政府已经，你知道，进行了大量的投资。美国

中国、新加坡、澳大利亚、英国、欧盟。但我认为，扩大规模的主要努力主要是私营公司，至少就我们所知，主要是在美国和加拿大，对吧？但是，你知道，当然这可能会改变。贾斯汀，让我听听你对比特币的看法。你认为这对比特币来说是存在性的吗？我的意思是，观察比特币社区已经十年左右了，你认为在这种情况下实际上会发生什么？是的。

我基本上看到了两种情况。情况一，比特币支持者非常非常纯粹，不想触碰比特币的供应，因为，你知道，这违反了某些人的财产权，包括中本聪。还有另一个，你知道，更微妙的方向，它涉及

冻结硬币，直到所有者能够提供对初始种子（生成公钥和私钥的种子短语）的知识证明。所以……

如果你有一个实体，例如中本聪，它从种子生成它们的地址，那么因为密钥派生过程使用散列函数，那么你实际上可以使用种子作为新的私钥，新的秘密。这是一个非常好的主意。我以前没听说过。

我甚至不知道它那个阶段散列函数的使用情况，这对这个想法至关重要。是的，完全正确。这不是我的主意。这是一个已经存在了几年的主意。但不幸的是，中本聪的硬币特别不适用。更有可能的是，他只是随机生成这些硬币，而不是从种子生成，因为 12 个单词……

我们今天拥有的种子标准早于中本聪。- 哦，哇。所以在那种情况下，即使有你的那种像计划 B 这样的解决方案，中本聪的那一百万枚硬币很可能只是，我想知道会发生什么，对吧？比特币社区会分叉吗？是不是会有量子比特币，然后是原始比特币，对吧？

再说一次，这不会在一夜之间发生，正如我们在播客的第一部分与斯科特一起发现的那样。但在某个时候，这就要来了。在某个时候，这是不可避免的。无论是在 2030 年，还是在 2050 年，我们只是不知道。但我猜时钟在滴答作响。贾斯汀，你会这么说吗？是的。一件非常好的事情是，并非所有中本聪的硬币都在同一个地址。

中本聪的硬币分散在许多地址上，每个地址有 50 个比特币，因为这是你在比特币早期挖掘区块时获得的比特币数量。所以那里有很多 50 个比特币的赏金，而不是一笔巨款。没错。所以你可以把它想象成量子发行，它可以延长比特币的安全寿命，因为我们都知道比特币有一个安全问题，那就是发行量会降到零。好吧，现在我们有了这个新的、新鲜的，

每天 50 个比特币，其中时间单位由这些量子计算机的运行速度决定。所以如果例如，破解一个中本聪地址需要一天时间，那么这可能是一件完全合理的事情，你只需要……

每天解锁 50 个比特币，这实际上可以将比特币区块链的安全寿命延长几年。等等，等等。再给我讲一遍。这如何确保比特币区块链的安全？所以假设它逐渐发生，我们在链上看到它，我们想，“哦，你知道，一台量子计算机刚刚拿走了 50 个比特币作为赏金，然后第二天我们看到同样的情况，第二天我们看到这种情况。”这如何确保比特币的安全？是的，比特币最终安全的方式是人们购买硬件并消耗大量能源。

为了做到这一点，他们需要得到报酬来支付硬件和电力费用。比特币的发行量正在下降。因此，除非费用以两个数量级大幅增长，我认为这不会发生，那么我们需要为比特币安全找到某种解决方案。

现在，这 50 个比特币基本上是一种激励，可以用来购买硬件，在这种情况下是量子硬件，并支付电力来为量子计算机供电。如果我们每天谈论的是 50 个比特币，那么这将把比特币的安全寿命延长几年。

太疯狂了。好的，这就是比特币的故事。以太坊呢？贾斯汀，以太坊是如何定位的？是的，实际上，正如斯科特提到的那样，比特币的故事并没有完全结束，因为工作量证明本身很可能会被破坏。哦，好吧，那么让我们先谈谈这个。比特币的工作量证明会发生什么？所以对于工作量证明，你知道，就像我说的那样，你最终可以从格罗弗算法中获得优势。

然后，如果假设世界上只有少数几个实体拥有可扩展的量子计算机，这将允许这些实体挖掘比其他所有人更多的比特币。现在，最终，如果你进入一个几乎每个人都能访问量子计算机的世界，那么有趣的事情就会发生，那就是工作量证明消失了。

它的难度会根据人们最近能够完成多少挖掘自动设置，对吧？所以所有会发生的事情是，原像必须满足一个越来越严格的条件。

而且，你知道，所以这基本上意味着工作量证明会自动地，无论如何，在比特币中，会自动变得更难，你知道，以弥补格罗弗算法。我们都会回到原点。我的意思是，我有一个稍微不同的看法。从长远来看，我同意你的观点。但是从经典到量子的转变可能会非常成问题。原因是在任何时候，我们都不希望一个单一实体拥有超过 50% 的哈希率。对。而且……

更有可能的是，会有一个先行者。即使是第二、第三、第四个行动者也可能与最佳行动者相比存在很大的差异。性能或能效的差异可能是 10 倍，甚至可能是数量级的差异。所以我预计，在接下来的几年里，将会有一个主导者，正如斯科特所说，这很可能是中国政府或……

或谷歌或亚马逊这样的公司。这有点吓人。所以斯科特指出的好消息是，更有可能的是，我们看到格罗弗破坏比特币挖掘的时间要晚于它破坏 ECDSA 的时间。哦，我明白了。是的。

这是一个更长远的未来，如果我这么说的话，可能是在 30 年的时间尺度上。贾斯汀，通过实施某种量子抗性的工作量证明算法，可以修复工作量证明吗？这很可能需要另一个硬分叉，并且就像在比特币中造成巨大的社会动荡一样？但这能发生吗？所以不幸的是，我认为答案是否定的。我认为……

斯科特，纠正我一下。我的意思是，有一些工作量证明任务会给你更多的量子抗性，对吧？对格罗弗算法的抵抗力更强。但事实是，当你谈到分叉时，对吧，你也可以谈论，好吧，你知道，一旦我们度过这个过渡期，那么，你知道，你只需要采用现有的工作量证明，然后让它变得适当困难。

我的意思是，我在文献中看到过，比如工作量证明，量子计算机只会给你 n 的三分之二次方优势，而不是 n 的平方根优势。还有空间证明，你知道，类型的协议，比如我知道 Bram Cohen，比如 Chia，对这些非常感兴趣，而且这些协议可能几乎不会看到量子优势。

据我所知。所以你可以考虑分叉到类似的东西，到空间证明。但是任何涉及仅仅通过散列函数的大量原像进行纯搜索的任务都应该容易受到格罗弗加速的影响。如果我们改变到另一种任务，

比如我想找到冲突，你知道，我想找到这个散列函数的两个输入映射到相同的输出。然后我可以找到这种类型的任务，其中量子计算机的优势小于平方根，或者只是 n 的三分之二，甚至 n 的四分之三或更小。所以我想强调一件非常酷的事情，那就是

量子实际上可能是比特币的最终游戏，这听起来完全疯狂。原因是，即使量子可能会破坏比特币的共识，比特币区块链，而不是 BTC 资产，

也存在量子货币的愿景，你甚至不需要共识。基本上，你拥有像现金一样的货币，我给你一块现金。整个世界都不必知道这件事。只有你和我必须知道这件事。它的工作方式是……

私钥本身就是量子对象。它们是一个私有的叠加态。当你用你的密钥签名消息时，你实际上是在销毁私钥，从而无法重复使用它。是的，更简单地说，量子力学中的一个基本事实被称为不可克隆定理。顾名思义，它说没有办法……

复制未知的量子态，对吧？所以如果我有一些处于叠加态的量子比特，我想制造新的量子比特，它们处于相同的叠加态，我做不到，对吧？你知道，我可以测量我的旧量子比特，但是测量不仅不会告诉我我需要的一切，它甚至会破坏我拥有的那一个副本。

因此，量子信息史上最古老的想法之一，可以追溯到 60 年代，就是你可以利用这个不可克隆定理来创建物理上不可克隆的缓存。

这是斯蒂芬·魏斯纳的想法。他提出了一种具有可证明安全性的方案来做到这一点，但它的缺点是，如果你想验证一张钞票是否真实，那么你必须把它带回发行它的银行。

对。所以大约在 2009 年，我重新燃起了人们对量子货币主题的兴趣。我想出了关于量子货币方案的一些建议，任何人都可以验证。对。不仅仅是银行。所以我们称之为公开可验证的量子货币。现在，我的一些和别人的最初建议后来被打破了。

好的，但现在我们有一些公开可验证的量子货币的建议，这些建议似乎是安全的，你知道，基于一些勉强被接受的密码学假设。你知道，我们可以做得更好，但是，你知道，基于诸如不可区分混淆之类的技术，你知道，如果这些技术以一种对量子计算机安全的的方式存在，对吧，那么你就可以构建这个……

公开可验证的量子货币。现在，主要缺点将是一个技术性问题。为了做到贾斯汀和我刚才谈论的事情，你不仅需要量子计算机，你还需要能够保持量子态的量子计算机，在任意时间内保存它们，就像你需要这笔钱的时间一样长。所以你需要保持你的量子态，保持它

它的叠加态。它的相干性持续数周、数月，你知道，等等，对吧？在许多方案中，你还需要能够发送这些状态，你知道，从发送者到接收者，这将需要一个量子通信网络，你知道，一个量子互联网，对吧？

但这些都是你可以在未来想象做的事情。现在，你的听众可能会觉得有趣的是，我第一次听说比特币是在 2010 年左右，2011 年，当时我正在网上做演讲。

关于我关于公开可验证的量子货币的新想法。然后人们会在演讲结束后走到我面前，他们会说，你知道，还有另一种方法可以获得不可克隆的电子现金。你知道，有这个比特币的东西。你真的应该看看。

对。所以我做了。我说，哦，好吧，好吧，当然你可以那样做。但是然后，你知道，你基本上需要，你知道，整个分布式过程在互联网上充当你的可信第三方。你需要这个区块链，它将无限增长。

对，随着事情的继续。所以，你知道，当然没有人真的想要那样，对吧？但是好吧，我必须在我的演讲中提到这件事，作为量子货币有一天可能比它更好的东西，对吧？而且，你知道，我从未想过要说，你知道，我应该购买这个比特币吗？我应该把我的毕生积蓄投资进去并持有它吗，对吧？

所以瑞安，为了结束你关于该怎么做以及影响的问题，我认为我们已经涵盖了比特币。在以太坊的情况下，我们也确实需要改变一件事，那就是共识层。所以今天，我们在信标链中使用的加密技术被称为 BLS 签名。它非常强大，因为你可以聚合签名，但不幸的是，它不是后量子安全的。好消息是我们有……

关于密码学的知识可以赋予我们相同的聚合属性，并且是后量子安全的。实际上，来自以太坊基金会研究人员和合作者的一篇论文将于本月发表。一旦我们完成了迁移，那么故事就结束了。关于工作量证明可能导致中心化的疑问不再存在了

所以在某种意义上，权益证明比工作量证明更能抵抗量子计算机，因为它是一个最终解决方案，而不是一个更不确定的解决方案。好的。所以总的来说，随着量子计算的出现，比特币发生了很多事情，这既体现在能够从个人账户中提取资金的能力上，也体现在工作量证明算法上。所以一些主要的……

升级可能即将到来。然而，最后，隧道尽头有一盏明灯，那就是量子货币。这是一个可以继续迭代和研究的概念。或者在此之前，只是量子抗性的常规加密货币也是隧道尽头的一盏明灯。

这将使以太坊有效地具有量子安全性。最后一个问题，贾斯汀，在以太坊中使用抗量子密码学部署有什么权衡吗？比如整个过程会变慢吗？这样做有什么缺点吗？主要的权衡是签名大约大了10倍。因此，共识参与者，他们正在进行证明或投票

为了尽可能多地获得证明者，我们希望消息尽可能小。

目前，在Beam链的背景下，该提案旨在使以太坊具有后量子安全性，我们正在降低设计中最危险的部分的风险，特别是后量子签名以及它们大约大10倍的事实。我们目前正在研究的事情之一是新的方法来分摊点对点网络中的带宽负载。

因此，我们将使用名为libp2p的库进行实验，并使用不同的架构对点对点网络进行略微不同的切分。但除此之外，验证成本、签名成本等等都非常好。贾斯汀，你个人认为我们多久需要为以太坊做这件事？鉴于估计，我知道这只是一个移动的目标。没有人真正知道。什么会让你感到舒服？所以，

我认为量子叙事是一个会在很多年里像陈年佳酿一样醇香的叙事。我不会说有什么特别的急事，事实上，这也是为什么最好正确地完成beam链的原因，这样我们就能得到一个经得起时间考验的解决方案，而不是仓促行事。

我希望在五年内拥有后量子密码学。部分原因，我最近学到的一件事是，ECDSA已被NIST弃用。我这里有一些日期。因此，在2030年，ECDSA将被弃用，并在2035年被禁止。所以我预计由此可能发生的是

如果我们没有提前进行这些升级，高度监管的机构可能会被禁止接触以太坊。是的，NIST举行了一场竞赛，以就后量子密码学的标准达成一致，这场竞赛大约从2017年持续到2022年。这最终形成了所谓的基于格的密码学。

你知道，基于学习错误的密码学是目前主要的抗量子替代方案。因此，NIST我认为已经在敦促人们开始这种转变。我最近了解到，像谷歌这样的公司显然已经在这么做了。

因此，向后量子密码学的过渡已经在某种程度上发生了。斯科特，贾斯汀，这太棒了。所以听起来我们并没有注定要失败，加密货币将能够从另一边摆脱困境，这将需要一些重大的升级。

而且这不会很快发生，能够破解我们密码学的巨大量子计算机，但这可能会发生。我想我们应该注意那些一次50个萨托希比特币开始离开账户的情况。如果我们开始看到这样的事情，那么也许我们会发出警报。斯科特，如果你觉得这种情况即将到来，请也发出警报。是的。

而且加密行业需要采取一些行动。请回来让我们知道。好的，好的。我的意思是，你看，当我被问到的时候，我会写博客谈论这些事情。但是，你知道，我想说的是，如果你想担心一些毁灭世界的事情，那就担心人工智能吧。哦，我的天哪。这是另一个话题。我本来想在这一集的结尾问你。量子计算机对密码学的威胁，感觉更像是千年虫问题，对吧？这是一个令人头疼的问题，但这是一个可以生存的问题。

这是一个很棒的背景。我们必须让你回来，问你你的PDoom，并深入探讨人工智能安全问题，但这不适合本播客。斯科特·阿隆森，非常感谢你加入我们。贾斯汀·德雷克，非常感谢你共同主持。这太棒了。谢谢。是的，谢谢。这很有趣。Bankless Nation，必须让你知道，当然，加密货币是有风险的。你可能会失去你投入的东西，特别是如果你的地址在未来几十年内不是量子安全的，但我们正在向西前进。这是前沿。这并不适合所有人，但我们很高兴你与我们一起踏上Bankless之旅。非常感谢。

Arbitrum门户网站是您进入以太坊生态系统的单一中心。Arbitrum拥有超过800个应用程序，为每个人提供了一些东西。深入DeFi的核心，先进的交易、贷款和抵押平台正在重新定义我们与金钱互动的方式。探索Arbitrum快速发展的游戏中心，从沉浸式角色扮演游戏、快节奏的奇幻MMO到休闲的运气战斗手机游戏。

通过Arbitrum广泛的桥梁和入口网络，轻松地在链之间移动资产并轻松访问生态系统。进入Arbitrum蓬勃发展的NFT和创作者空间，艺术家、收藏家和社交在这里汇聚，并在链上支持您最喜欢的流媒体。查找新的和热门的应用程序，并了解如何通过您最喜欢的项目的限时活动在Arbitrum生态系统中赚取奖励。用Arbitrum赋能您的未来。访问portal.arbitrum.io，了解您Web3之旅的下一步。

Uniswap Labs正在创造历史，这是有史以来最大的漏洞赏金，为在Uniswap v4中发现的关键漏洞提供1550万美元。这不仅仅是任何更新。Uniswap v4是由社区开发人员的数百个贡献构建的，并且已经进行了九次独立审计，使其成为部署在链上最严格审查的代码库之一。并且在Uniswap v2和v3中处理的累计交易量达2.4万亿美元，没有一次黑客攻击，对安全性和透明度的承诺是坚如磐石的。

现在，Uniswap Labs正在采取额外措施，通过1550万美元的漏洞赏金使v4尽可能安全。前往节目说明中的链接，深入参与Uniswap v4漏洞赏金。从资格和范围到奖励的所有细节都在那里。

嘿，Bankless Nation，这是一个简报。我们认为我们应该让贾斯汀·德雷克参与其中，这样他就可以从那一集进行总结，因为内容很多。内容很多。你知道，斯科特在某些领域深入研究，然后又回来了。无论如何，让我们开始总结其中的一些内容。贾斯汀，我们需要从量子计算机的基本知识中带走什么？你能为我们解释一下吗？是的。所以一个基本概念是存在两种类型的量子比特。有物理量子比特和逻辑量子比特。

如果我们想进行破解密码学的数字计算，我们需要这些更高级的逻辑量子比特。但是构成逻辑量子比特的构建块，也就是砖块，被称为物理量子比特。不幸的是，物理量子比特非常嘈杂，因此我们需要所谓的纠错。我们需要消除噪声，这样我们就可以得到纯信号，也就是二进制数字信号。

我认为我们对话的开头基本上是关于这个Willow突破的，在这个突破中，我们第一次拥有了

一个逻辑量子比特。我明白了。一个逻辑量子比特。因此，我们能够将101个物理量子比特放入晶格中，并基本上让这个纠错发生。这给了我们这个元构建块，也就是逻辑量子比特。然后，如果我们想真正破解密码学，我们需要

将数千、数万甚至数十万个这些逻辑量子比特组合在一起，形成所谓的可扩展、容错的量子计算机。好的，所以我有点明白了。当然，你知道这一点，你是一位以太坊研究员，但是以太坊或加密货币中的事情大体上就像基本的理论研究阶段，然后它们变成了工程挑战。

感觉我们现在正处于量子计算的这个阶段，我们一直处于这种理论研究阶段，但现在我们已经达到了一个门槛，哦，现在这只是一个工程和规模问题。而人类非常擅长这一点。这就是为什么斯科特一直回到这个问题上，我不知道它什么时候会发生。这取决于有多少资本。我只是想，好吧，资本很容易获得。是的，这是一个可以解决的问题。我的意思是，一旦有东西可以扩展，我们就知道资本会进来，然后我们会按下按钮，我们会扩展它。所以他谈到每年400亿美元。我想，呸。

400亿美元，那是什么？我的意思是，如果让民族国家参与进来。这很容易就变成数千亿美元。现在这只是一个扩展的问题。你用这两个比特来衡量规模，对吧？所以现在我们是1，但是当我们开始破解密码学时，我们会进入数百万个

量子比特，然后我们就可以开始破解密码学了。这大约是对的吗？是的，数百万个物理量子比特，以及数量级更少的逻辑量子比特，因为粗略地说，一个逻辑量子比特需要大约一百个物理量子比特。这里是否有类似摩尔定律的概念？比如我们可以将摩尔定律应用于量子计算吗？如果我们现在是1，也许几年后我们会达到10，再过几年后我们会达到100，然后不久之后它就会超过我们能够计算的范围。

是的，存在摩尔定律的等价物，而且我认为它比摩尔定律更快。我必须去查一下确切的数字。但原因之一是堆栈的多个层正在并行改进。物理量子比特，也就是所谓的保真度或错误率正在提高。

然后这会对我们进行纠错的方式产生复合效应。所以我们有这些新的表面码和各种其他奇特的数学方法，基本上允许你纠正和检测错误。然后在算法层面也有改进。对我来说，这非常类似于SNARKs。SNARKs是一段持续了几十年，始于30或40年前的旅程。

并且堆栈的各个层都有。有证明系统。有算术化。有你用来证明自身的硬件，它也随着摩尔定律而增长。然后还有你用来进行FFT和MSM的算法。

所有这些东西都会相互叠加。我的粗略估计是，你知道，SNARKs每年都会提高五倍。所以就像——这非常快。——摩尔定律被发挥到了极致。我想量子也会有类似的效果。——好的，所以我们基本上处于S曲线上。一个新的S曲线，一种量子计算类型的S曲线。我们还处于早期阶段，但你知道S曲线会做什么，对吧？它们是指数函数。好的，这就是量子计算机。让我们再谈谈，让我们再次解析一下。

我们刚才谈论的所有关于比特币的内容。所以量子计算机，假设它一夜之间就出现了。某个政府拥有数百万量子比特的量子计算机。比特币会发生什么？漏洞是什么？正确的，所以有，

两类算法会影响密码学。比特币非常不幸，因为这些都是量子计算机擅长处理的非常狭窄的问题，也就是破解椭圆曲线和在一个非常大的搜索空间中进行搜索。不幸的是，比特币同时具有椭圆曲线，在这种情况下，ECDSA用于存储余额，并且它在

特别是黄金nonce搜索，对吧？就像你的矿工们只是花费大量的能量来寻找这个黄金nonce。这是工作量证明部分。这是工作量证明部分。所以在某种意义上，比特币就像双重受损。双重受损，因为它使用工作量证明。而且，你知道，像账户一样，我知道在比特币世界中它们不是账户，但你基本上也可以访问私钥，因为它们也不是量子安全的。是的。账户余额，我应该说。是的。

正确。好消息是，比特币很可能必须依次解决它们。首先是ECDSA，然后是工作量证明问题。对于ECDSA，正如我们所讨论的，基本上有各种可能的结果。结果一是什么都没有改变，然后比特币有效地变成了这种奖励或发行，如果你想这么想的话，以保持链条的增长并激励工作量证明。

我们正在谈论量化它，大约是一到四百万左右的比特币供应？我们知道我们有来自Tatsushi的一百万枚硬币。我们知道，如果我们今天查看公钥已知的余额，那就是大约四百万枚硬币。但其中一些是活跃的，因为它们总是可以迁移到没有比特币的地址。

公钥公开。所以我们真正担心的是那些所有者已经死亡的丢失的硬币，例如。这可能是某个子集。当我们得知量子计算已经出现时，不会简单地移动的停滞硬币。正确。因此，一种可能的结果是，社区说，我们知道我们有量子计算机，所以我们需要做些什么。任何在10年内没有移动的硬币

例如，10年，将被完全销毁。这将包括中本聪的硬币。但我发现有趣的是，贾斯汀，即使是那个选择，我们正在谈论的事情，它不仅仅是一个技术选择，好吗？这是一个技术加社会选择，因为你必须对产权做一些不同的事情。它不再是不变的产权，对吧？我的意思是，如果我错了请纠正我，但没有办法做到这一点而不对这四百万枚比特币做些什么，这有点像丢失了，对吧？

而且在那里。就像你必须有一些政策需要社会共识，这在白皮书中本聪最初的言论中并不存在。你必须以某种方式做出这个决定。那么这又是如何影响的呢？

我认为我们需要看看地面上的具体数据。如果确实需要很长时间才能破解单个密钥，如果我们谈论的是几天或几周，那么实际上我认为我们很好。如果我的朋友史蒂夫是正确的，我们确实可以在几秒钟内破解密钥，那么有人就会破解所有密钥，然后一次性窃取数百万比特币。这将相当于DAO黑客事件。

由此，很大一部分硬币掌握在一个单一实体手中，这危及了比特币的存在风险。他们也可以这样做

回滚并基本上冻结同时移动的所有硬币。他们将如何做到这一点呢？让我们在这里做一个场景，因为没有人知道攻击者和他们将攻击高价值比特币地址的例子。他们不会一次做50个。他们会先做那些有数千比特币的地址。

显然。所以假设你在链上看到它，你不知道，有人看到它，我想，你甚至不知道它是否是黑客行为，它可能只是一个旧地址，也许已经移动了。但是你看到这种情况发生了。你不知道攻击者是否有能力花了数年时间来处理一个地址，或者只是在一秒钟内就完成了它，我想你必须看到下次发生这种情况时，你可以衡量他们能够做到这一点的速度有多快。但是，

模拟一下，就像你在DAO黑客事件中一样，想象一下你是比特币核心、比特币社区，你开始看到一些地址在移动，你认为它们可能是量子。接下来你做什么？是的，好消息是，为了冻结硬币，你只需要进行软分叉。所以基本上你必须审查交易。以前有效的交易现在不再有效。这就是软分叉的定义。

该软件可以由各种实体强制执行。它可以由运行节点的人强制执行。

但实际上它也可以由矿池强制执行。事实证明，两三个矿池控制着51%的哈希率。因此，矿池可以作为预防措施说，如果我们看到一枚中本聪硬币，我们就不把它包含在我们的区块中。我们会发一条推特说，嘿，警告，警告，中本聪还活着，或者我们有一个量子攻击者。请开始讨论是否

是否作为社区，我们想要软分叉以冻结中本聪的硬币。我觉得那时候有点晚了。但你也把这与DAO类型的场景等同起来，对吧？而众所周知，比特币支持者对以太坊的DAO场景非常严厉，因为他们说，你们正在侵犯产权。这是一个不可变的区块链。我们认为这就是比特币。有人必须做出这个软性的决定。比特币支持者非常有名地说，

你知道，你如何找到社会共识？没有社会共识。比特币社区中没有零层。那么这到底是如何运作的呢？你认为这会打破大脑，并打破整个系统吗？所以我们确实有先例。在比特币的早期，也许是2010年或2011年，有一个溢出错误。对。

作为通货膨胀错误。这基本上允许创建任意数量的比特币。这显然是对比特币的系统性风险，他们必须修复它。

我认为对于这里的量子挖掘来说，这可能也是类似的事情。但那是2011年。我不知道。2010年的回滚与后迈克尔·塞勒时代的比特币有意义的不同。当人们，甚至你贾斯汀，都建议了比特币的可能未来，包括权益证明和其他结果，例如包括EIP-155.9。

所有这些建议，其中许多都包括硬分叉。当我听到人们建议比特币硬分叉时，在我的脑海里，我立即说，好吧，这不可能发生。这根本做不到。特别是对产权做些什么的硬分叉。确切地说。或者比特币供应或地址或比特币社区所说的自2010年、2011年以来一直不变的东西，那个错误。嗯哼。

是的，很难说。我个人的论点是，比特币长期生存最干净的方式是让BTC资产与链条分离，并让资产在像以太坊这样的安全事物上上线。很难争取比特币支持者，我认为他们不会接受这一点。

我认为对于那些确实设定了比特币价值体系的核心比特币支持者来说，说将比特币与比特币分开是站不住脚的。我不认为比特币能够在几十年内生存下去。哦，我的上帝。所以我一直在试图弄清楚，对吧？所以像谷歌的柳树新闻一样，你知道，出来后，引起了巨大的反响，有些人，你知道，甚至说，好吧，你知道，比特币注定要失败。

感觉现实是，好吧，不是今天。当然，存在升级路径。这将需要很多年才能实现。但就像你刚才说的那样，从长远来看，这将需要某种大规模的社会分叉。而且，你知道，技术并不难。更像是我们如何处理这四百万比特币的产权？

以至于它可能无法生存。我们甚至没有谈论之后会发生的工作量证明问题。这只是量子计算机足够强大到开始攻击单个地址时的第一波。所以在某种程度上，这与一些造谣者和末日论者所宣称的一样重要。这只是在未来十年内不会发生。

三年，可能五年，但2030年代左右？下一个周期问题。是的，我的意思是，有效的市场应该能够立即对这个进行定价，但市场并不是超级有效。但你是对的，这是一个难题。要么你进行社会干预，在这种情况下，你危及了比特币的整个故事和货币溢价，这是它唯一拥有的东西，要么你不干预，

比特币就无法运作。从技术上讲，它总是会拥有一个实体，该实体将控制很大一部分硬币，例如两位数的百分比。

所以让我们来模拟一下他们决定不干预产权的场景，因为我们只是假设他们可能会对这四百万比特币做些什么。但似乎他们可能会说，不，我们只是让它保持原样。我们不碰那些比特币。事实上，可能会有多个分叉，比如一个比特币分叉说，不，我们将对这四百万比特币的财产做些什么。另一个分叉说，不，这是真正的比特币，比特币经典版。我们可能会出现这种情况。无论如何，这似乎是一条可行的路径，他们

实施后量子密码学。他们只是让这四百万比特币容易受到某种量子计算机攻击者的攻击。谁先到，谁就得到战利品。这有点像海底沉船的盗贼战利品，谁得到它就得到它。我的意思是，这也是可行的。你能模拟一下这个场景吗？这是一个现实的场景吗？在某些方面，这对我来说感觉更现实。但你怎么想？

有一种阴谋论说，中本聪实际上是国家安全局，这基本上是一个秘密的总体规划，美国政府将通过控制一百万比特币来保持经济上的主导地位。他们实际上拥有私钥。顺便说一句，

如果中本聪不想花他的硬币，为什么他不销毁它们呢？有一种非常非常简单的方法可以销毁它们。这将消除大量的FUD。也许他有一个计划，也许这个故事有一些依据。但我认为这个场景会以另一种方式上演，那就是中国政府，这是最有可能秘密建造量子计算机的实体……

基本上会有与阴谋论相同的总体规划，他们基本上说：“好吧，让我们建造这台量子计算机来获得一百万比特币，并在世界上保持经济上的主导地位。”

我想这是一种可能的结果，中国政府必须非常非常努力地运作社会层面，秘密地并且基本上隐藏他们成为控制这些硬币的新实体的事实。我们之前说过比特币有点双重受损。这就是第一条，你知道，他们受损的路径。人们可以，你知道，黑客攻击单个比特币账户和私钥。但第二条路径，一旦量子计算机足够强大到做到这一点，它们也足够强大到可以加速

像工作量证明挖掘一样。然后你回到节目中与斯科特来回交谈，你基本上说，你可以很容易地想象，只是一些群体，一些中心化行为者拥有第一台量子计算机，它只是超越了其他人。因此，你知道，没有平衡，我想，每个人都可以访问相同的技术。这就像一个超级强大的量子计算机的超级群体，它会造成破坏

在工作量证明上。所以谈谈这个场景。这是否意味着工作量证明注定要失败？所以在那种情况下，很可能会发生的是，在几年内，将会有一个实体控制着绝大多数的哈希率。所以这允许他们做的事情实际上是免费获得所有发行和所有费用，因为他们可以做

他们可以将难度设置为远高于所有经典矿工所能达到的难度。因此，所有经典矿工基本上都会关闭，但不会花费太多能量，因此不会将难度提高到如此之高以至于他们必须花费大量能量。所以他们基本上会……

收购了比特币网络，它将是他们的，他们不必花费太多来维护它并获得所有奖励。但是还有另一个更令人担忧的攻击，那就是

他们可以更改费用计划。现在，在竞争性矿工的动态中，你基本上拥有所谓的第一次价格拍卖，也就是说，愿意支付最高价格的交易会被包含在内，有时10美分就足以让你被包含在内。但是当你控制链条时，你对哪些交易进入拥有垄断权力。所以你可以有一个不是第一次价格拍卖的政策。你可以有一个最低费用。所以你可以说……

你知道，维萨风格，请支付你所有比特币的3%。所以每次迈克尔·塞勒想要移动他的比特币时，3%都会消失。或者，你知道，你可以采用苹果风格，说30%，这是我的分成。基本上，一旦你获得了比特币，赚钱就有两种方式。你可以尝试让它保持活力，并

只需榨取费用、发行量和少量手续费即可。或者你可以做更糟糕的事情，那就是试图摧毁比特币，并在永续合约市场上做空它。真正可怕的事情之一是，大约有 400 亿美元的未平仓 BTC 永续合约，这意味着作为攻击者，如果我想做空数百亿美元的规模，我完全可以做到，而且成本相对较低。

攻击比特币的成本很可能不会远低于这个数字。在工作量证明的背景下，它今天已经更低了。但如果你将自己投射到未来，将会发生的是，发行量相对于总供应量会下降。因此，相对于永续合约市场的发行量将会下降。但是

但是，如果你拥有这项技术和知识产权的垄断权力，这种量子知识产权，那么你可能需要花费，比如说，10 亿美元，你就能做空数千亿美元。因为可以推测，在 10 年后，比特币永续合约市场将达到数千亿美元，甚至数万亿美元。

万亿美元。但这些可怕的情况只有在某个参与者，你知道，获得这种量子超级 ASIC 的情况下才会发生。他们因此成为唯一能够生产它的人。如果一个不同的世界出现，所有国家都参与竞争，他们都一起进步，我们有更大的扩散，我

的量子超级 ASIC，那么我们难道不能以同样的方式保留工作量证明吗？只是所有东西在哈希能力方面都提高了几个数量级。但由于每个人都在一起升级，工作量证明算法仍然有效？-是的，理论上讲，如果我们都一起升级，那么它就能起作用。有一篇论文题为“关于量子挖矿的不安全性”

基本上，有一些极端情况，基本上，如果你感兴趣的话，算法的工作方式是，你开始你的问题，然后你做所谓的格罗弗迭代。当你进行迭代时，你不知道你是否会成功。然后在一定数量的迭代之后，你观察你的量子系统，看看你是否找到了一个黄金nonce。

量子挖矿中的理性策略是，当有人产生一个区块时，其他每个人都有动机去观察他们到目前为止所做的所有工作，看看他们是否也赢了。这将导致区块产生之间的高度相关性。所以基本上，会有很多叔块、孤块和重组，比今天多得多，因为区块产生的时间会有高度相关性。

现在，撇开这个细节不谈，我预计将会发生的是，我们不会同时升级。原因是

量子是一种极其先进的技术，需要数年，甚至数十年才能商品化。中本聪利用一台 CPU 一票的原则，就是商品化和线性的概念，对吧？你有两台 CPU，就有两票。你花两焦耳，就有两票，对吧？

我预计将会发生的是，我们将看到系统性能的巨大差异。微软可能会走超导路线，而其他团队可能会走离子阱路线。它们将具有完全不同的性能特征。即使有两个团队走同一条技术路线，一个团队的算法也可能比另一个团队好几个数量级。因此，我的预期是

最好的矿工和第二好的矿工之间的差距将是数量级的。今天，如果你有一个特殊的 ASIC，比如说比下一个最好的 ASIC 好三倍，你就能主导市场。因此，比特币挖矿非常容易受到这些相对性能差异的影响。我认为量子只会大幅放大，因为它还没有商品化。

好的，这就是比特币及其问题集，这似乎相当重要，相当广泛。现在将其与以太坊进行对比。以太坊似乎没有一个两难问题，所以它根本没有工作量证明问题。从这个角度来看，我们很好。仍然有一套密码学不是后量子安全的。

但是只要这件事不是明天发生，我们就可以通过硬分叉来解决这个问题。是的，以太坊在量子计算革命的另一边升级并安然无恙的前景如何？对，所以有四个不同的位置，我们……

可能会使用预量子密码学。信标链中的 BLS 签名。这是可控的，因为我们在未来五年内有一个可行的升级路径，这已经足够了。

然后我们有用于帐户的 ECDSA。这里的情况与比特币类似，只是我们有两个优势。优势一：我们有账户抽象，这意味着迁移到不同的签名方案的过程不需要分叉，并且可以从

今天开始。如果我们有一些大型持有人想要非常保守，他们可以从今天开始迁移过程。贾斯汀，这可以为以太坊上丢失的代币，比如说，被动代币升级吗？或者它是否需要一个活动地址，一个主动选择加入？是的，这里有一些观察结果。第一个是，我们没有以太坊上等同于中本聪的东西。我们没有一个人控制着 5% 的供应量在一个公开的地址上，并且被认为已经死亡。

然后我们拥有的第二个优势是，从第一天起，我们就有了这些地址，它们是公钥的哈希值，而不是公钥本身。所以，你知道，比特币的 4/2000 万，比特币的 20% 对于以太坊来说可能是一个非常非常小的数字，仅仅是因为从第一天起，我们就有了这种保护。所以，为了具体说明，

例如，如果你参与了以太坊……实际上，这是一个真实的故事。有些人参与了以太坊预售。他们拥有数千个以太币，但他们只是丢失了他们的密钥。这些是丢失的代币。

但因为你链上看到的只是地址的哈希值，而不是公钥，所以这些实际上不会暴露给量子计算机。好的，我想说的是以太坊需要进行的一套后量子升级。记住，对于比特币，

有一个技术方面，还有一个社会产权类型方面。以太坊是否有类似的问题？显然它有类似的技术问题，但它是否有一个产权组成部分，其中一定数量的以太币或代币或地址，我们实际上必须决定我们是否冻结，就像我们对它所做的那样？是的，存在类似的问题，但是

从数量的角度来看，它非常不同。我认为对于比特币来说，这将是两位数的百分比，而对于以太坊来说，我预计它将是单数百分比。所以在某种意义上，具有讽刺意味的是，以太坊人可能能够采取更纯粹的路径，即不进行社会干预，仅仅是因为总百分比要小得多。是 5% 的 ETH 吗？或者我们对有多少 ETH 和代币或地址无法升级有任何估计吗？

曾经有一项研究对 ETH 中所有丢失的代币进行了研究。我认为我们当时讨论的是大约几十万 ETH。所以数量非常少。

我认为其中一半实际上是 Parity 钱包黑客事件，它本身并没有暴露，因为它是一个合约，你无法移动代币，而不是一个暴露的普通地址。所以如果我要做一个估计，它基本上是 10 万个代币除以 10 万

1 亿的供应量，这将是 10 个基点，0.1%。这非常少。所以我认为，如果数量如此，如果数量大于这个数量，我不知道。但如果数量如此，即 10 个基点的数字，那么我想社区就会放任不管。可能吧。我认为这对 ETH 持有者和以太坊的产权来说是最好的选择，就像那样做一样。是的，没错。在以太坊中，你还可以做的一件很酷的事情是，你可以实现所谓的量子金丝雀。

因此，你可以拥有预量子密码学的所有效率，它小 10 倍。然后，当有人提供证据证明小型量子计算机确实存在时，足够小到可以证明它们确实是量子的，但不足以破坏密码学，那么任何人都可以在链上产生这些证据，并基本上触发金丝雀，以便小型合约具有不同的行为，例如迁移到后量子密码学。

所以这是一种拥有不可变智能合约的方法，你不需要治理来打开开关。它会自动发生，你将获得两全其美。在量子计算机存在的世界中，你获得了安全性，并且在等待量子计算机的同时，你获得了效率。

好的，但我打断了你的思路。我认为你当时更多的是在谈论技术方面容易受到攻击的内容以及通常需要哪些升级。所以，请完成你的想法。对。我们已经介绍了 BLS，我们已经介绍了 ECDSA，还有两个。一个是 Blob。它们使用一种叫做 KZG 的技术，这基本上是基于椭圆曲线的。这将不得不升级。

实际上，我认为这是一件好事。原因是我对今天的 Blob 本身并不十分满意，原因是各种技术原因。例如，它们非常大。它们不是可变大小的。因此，如果你想使用，比如说，仅仅 1 千字节的数据可用性，那么你必须使用整个 Blob。这意味着你必须进行 Blob 共享和 Blob 打包。这是一个复杂的整体。

我们现在有了，这还没有公开分享，我想现在分享一下，有一个叫做 Blob 抽象的想法，我们可以完全从开发人员那里抽象出 Blob 的概念。基本上，开发人员只需继续使用数据可用性，但在后端，有一个超级 Blob，它实际上是整个共识和执行块合在一起的，我们直接对它进行数据可用性采样。所以

这对 DevX 来说是一个巨大的改进。我们必须摆脱当前的 Blob，因为它们不是后常数安全的，这是一个很好的借口，可以推动这种新的改进的设计，称为 Blob 抽象。非常酷。这会在 BeamChain 中吗？

概念性设计，四到五年的时间范围？是的，我认为时间范围是这样，但它将是堆栈的不同层。以太坊有三层。我们有共识层、数据层执行。对，Beam 是共识。Beam 是共识，那将是数据。好的。然后还有第四个地方，预量子密码学可能会进入，那就是垂直树。所以今天我们实际上有所谓的 Patricia Merkle 树，

用于以太坊状态，这是后量子安全的。我们正在考虑做的是转向密码学，它不是后量子安全的，因为它给了我们这种效率优势，其中见证，Merkle 路径的等价物，基本上要小得多。但我们需要小心，对吧？因为……

如果我们进行垂直分叉，然后几年后，我们说，嘿，等等，我们现在需要再次升级才能成为后量子安全的，那就有点尴尬了。所以在以太坊基金会的研究中，至少我认为越来越多的，我想，也许“共识”这个词太强烈了，但从方向上来说，有

越来越多的兴趣直接采用二叉 Merkle 树，基本上是 Patricia Merkle 树的改进版本，其中哈希函数比我们今天使用的 Ketchak 更适合 SNARK。

所以如果你用像 Poseidon 这样的哈希函数替换 Ketchak，你就可以获得声乐树的所有效率优势，你将所有无状态的见证都压缩到一个 SNARK 中，并且你还可以获得后量子安全性。所以在我个人看来，

这可能是更长期的可行方法，它可以避免我们进行这种中间垂直分叉。好的，与比特币相比，以太坊有一些技术挑战，但感觉有一张路线图可以解决这个问题，我们可以在量子计算机真正成为现实之前做到这一点。所以我们说的是 5 到 7 年的时间范围，类似这样的时间。这是这里的一般想法吗？是的，没错。我们对所有事情都有计划。

好的，然后与比特币相比，当然，希望它没有像这样的社会问题，我们如何处理链上大量价值的产权，它可以绕过这个问题，因为我们没有 1 到 400 万比特币价值的以太币卡在这些无法被动升级为量子安全的地址中。所以它没有这个挑战。

我想在里氏震级或类似的东西上得到一个数量级，比如量子计算机将对这些网络造成的冲击。对我来说，感觉几乎就像，你知道，这是一个 4 级地震。就像你感觉到了以太坊。它是里氏震级 4 级，但它并没有导致建筑物倒塌。它并没有摧毁东西。但对于比特币来说，我觉得这在里氏震级上更高。我的意思是，对于这种动荡来说，我们可能达到了里氏震级 5、6 或 7 级。

这将导致比特币发生变化，因为比特币以前从未以这种方式进行硬分叉。而以太坊对此有某种历史。这似乎不像合并这样的升级那么困难，对吧？感觉它不那么困难，但你对这些网络各自的里氏震级影响的评估是什么？是的，我同意你的观点。我认为对以太坊的影响相对较小，因为我们可以进行所有这些升级，并且

另一方面，对于比特币来说，它与社会层的本质相悖。你可以选择。要么你升级并使自己面向未来，但随后你危及了你不会升级的社会契约，要么你不会升级，你可能会危及整个系统。所以……

比特币陷入了这个巨大的困境。它被困住了，有些东西必须被打破。另一方面，对于以太坊来说，它几乎符合以太坊的本质。这与这种渴望随着时间的推移而改进和变化有关。我用 Blob 提到了它。这是一个拥有更好设计的绝佳借口。但对于 Beam 链来说也是类似的情况。我们肯定知道我们必须改变。所以这是一个清理技术债务并从第一天起就正确地做事情的机会。

这将使我们有机会拥有一个系统，该系统可以持续几十年甚至几个世纪而无需触碰。具有讽刺意味的是，这是实现长期僵化的更好策略。认为区块链的第一个 alpha 版本，2009 年的比特币，是最终目标，这非常天真和不明智。

我认为更好的思考方式是，20 年的创新和研究都浓缩在一个像 Beam 链这样的链中，你知道，它可以被搁置并完全僵化。现在，因为这个问题可能在 2030 年代及以后五年以上，我认为这还没有被计入价格。我认为很多人没有考虑它。但当然，这是一个长期的事件，你知道，Make List 播客的听众应该考虑。当我们接近它时，

它可能会开始变成一场与市场的胆小鬼游戏，它将对市场不可见，然后它可能会在一个严重的事件中被计入市场价格，可能吧。我的意思是，我们可以看看量子比特在做什么，对吧？就像我们现在处于 1 个量子比特，你知道，一个物理和逻辑量子比特。所以，

当我们达到 1000 个量子比特时，这会计入价格吗？这会开始计入价格吗？或者 10 万个量子比特呢，对吧？那么我们就在紧要关头了，这会发生得有多快？也许我们开始看到对此的一些反应。当然，这是一个社会社区。因此，也许比特币核心团队会以各种不同的方式对这些攻击做出各种计划的回应，也许他们为此制定了计划，但这将很有趣。也许最后要触及这种综合剧集的最后一件事，贾斯汀，这对我来说真的很有帮助，因为斯科特那里有很多东西。

我认为 Bankless 的听众也会欣赏这一点。量子货币的概念。现在，这感觉就像，

不在此处。感觉它可能需要几十年，对吧？因为有很多前提条件。但它听起来几乎像可以比比特币更好的比特币，比以太坊更好的以太坊。我不确定我是否已经理解了这一点。老实说，我不确定任何人是否都理解了。甚至斯科特，他在 2009 年的最初提案显然已经超越了比特币的提案。

但显然我们现在没有这种能力。你如何为我们总结量子货币？所以它不是对以太坊的改进。原因是，你不能用量子货币进行智能合约。你唯一能做的是简单的支付。但它对比特币来说是一个改进，就像黄金一样，它不再需要被保护。就像黄金一样，你知道，它只是一块石头，你不需要通过费用或发行量来不断地保护它。

当你转向量子货币时，基本上每个人都拥有那块金子。如果他们想转移它，他们会签署一条消息，他们会通过互联网发送这条消息，他们会把它交给其他人，其他人就会神奇地拥有那块金子。但你不需要工作量证明。你甚至不需要权益证明。你不需要任何形式的共识。为什么？因为你使用的是自然的记事本？

没错。你使用的是自然的记事本，就像黄金是自然创造的分类账一样，它是在超新星中创造的，或者无论故事是什么，它都不需要被保护。

不幸的是，我认为将会发生的是，量子货币只有在格罗弗算法和肖尔算法之后才会变得实用。而且，你知道，比特币在第一次事件中消亡的概率为 X%，在另一次事件中消亡的概率为 Y%。

所以它可能永远没有机会看到自己变成量子货币。或者那个分类账可以被分叉成某种量子，就像基本上是所有东西的账户分类账，谁拥有比特币中的什么东西可以被分叉成未来版本的量子货币类型的分类账链。

有趣的是，从历史的角度来看，谈论比特币，比特币就是黄金，比特币就是黄金。如果比特币是白银，而实际上存在一种超级掠食者，一种量子货币黄金，它实际上是黄金呢？你知道我的意思吗？就像这可能会很快发生，至少从历史货币的角度来看，可能会在几十年内发生。就像我们不知道。比赛还没有结束。我们只是处于数字稀缺性和这些类型系统的第二个十年。所以也许我们还在等待黄金。

是的。现在，回到你的一个问题，那就是量子货币对以太坊有用吗？我实际上想稍微修改一下这个问题，因为有一种叫做一次性签名的技术，它与量子货币密切相关。这确实允许我们升级以太坊。它基本上允许我们……

拥有所谓的完美终结性。因为今天，我们拥有的是所谓的经济终结性，这意味着如果你是一个攻击者，可以以某种方式创建两个不一致的最终确定检查点，

我们保证至少三分之一的抵押 ETH 将被削减。所以大约有 1000 亿美元的 ETH 被抵押，所以最终确定性攻击将花费你至少 330 亿美元的 ETH，这太棒了。但比 330 亿美元更好的是无限美元，你甚至无法执行攻击，因为你拥有完美的终结性。

我们有攻击可能性的原因是所谓的抵赖，即你作为验证者，作为证明者，你可以投票给链 A，你也可以投票给不一致的链 B。但是使用一次性签名，其基本属性是你只能签署一条消息，然后私钥就会自毁。所以你可以投票给 A 或 B，但你永远不能同时投票给 A 和 B。

然后你基本上可以创建这些一次性签名的链，你每个纪元号只能签署一条消息。所以今天作为验证者，我每个纪元可以签署一条消息，如果我签署两条，我就会被削减。但是使用一次性签名，你实际上不可能用完全相同的纪元号签署两条消息。现在你可以用 TEEs 模拟这一点，实际上这是一种方法，作为个人矿工

如果你担心被削减，你可以将你的私钥放在一个 TE 中，它将进行双重签名保护，并有效地为你模拟一次性签名。但是如果你想以去信任的方式做到这一点并将其铭刻在共识中，你需要一个去信任的系统，而一次性签名是实现这一目标的潜在科幻未来路径。它还解决了以太坊的另一个问题。

这就是使用 LST 进行委托的想法。所以今天，基本上每个运营商都有不同的削减配置文件。我们拥有的最佳解决方案类似于 Lido，我们把几十个运营商放在一个熔炉中。然后我们给他们每个人一小部分股份，然后你抽象出来并将所有东西包装在一个 LST 中。但是一旦我们有了这些一次性签名，那么

因为运营商无法创建可削减的故障，所以你不再需要像今天这样信任他们。然后你不需要所有这些花哨的基础设施来创建 LST 和委托质押。它变得更加直接。如果我有 ETH，我想让其他人进行质押，但我不想信任他们，那么你可以这样做。最糟糕的情况是他们只是下线了，并且

但如果他们在比如说一天后下线，那么你只需更换运营商，并将你的资金发送给不同的运营商。一次性签名是否取决于我们解锁的量子比特数量？或者它们是一种与量子相关的并行开发的东西？它对量子计算本身的依赖程度有多大？

它高度依赖于量子计算。至少，你需要能够运行格罗弗算法。所以在我看来，这将在我们拥有格罗弗算法和肖尔算法之后发生。这将是第三代应用程序。哇。贾斯汀·德雷克，非常感谢你。我认为这对 Bankless 的听众来说非常有帮助。我们感谢你。谢谢你的邀请。谢谢。