量子聯盟估 640 萬枚 BTC 公鑰曝光：距離真正威脅多遠？台灣自託管檢查指南

前言：公鑰曝光是風險條件，不是失竊通知

看到「數百萬枚比特幣公鑰已曝光」，很容易以為私鑰外洩，甚至有人正在搬走資產。這兩件事差得很遠。公鑰本來就是驗證簽章所需的資訊；問題在於，未來若出現足夠強大的容錯量子電腦，今天安全的公私鑰關係可能被破解。

依 CoinDesk 2026 年 10 月 16 日報導 ，九家加密公司在前一天宣布成立量子聯盟（Quantum Alliance）。聯盟估計約 640 萬枚 BTC 的公鑰已曝光，其中約 110 萬枚 被認為與中本聰有關。同一報導也明確記載聯盟的界線：目前沒有任何現存量子電腦，能透過這種方式竊取這些比特幣。

所以，這篇文章要回答的是資產如何盤點、升級如何準備，以及治理要付出什麼代價。對台灣持有者而言，最實際的起點是辨認自己的地址與金鑰使用方式，並防範借用「抗量子」名義的詐騙。量子新聞不能直接推導出買進、賣出或更換幣種的結論。

量子聯盟是什麼？640 萬枚又代表什麼？

依上述 CoinDesk 在 2026 年 10 月 16 日的報導，聯盟的工作方向是建立共同安全測試與遷移指引，涵蓋比特幣、以太坊等網路。報導點名資安公司 Hacken、Cardano 創辦人 Charles Hoskinson 的 Midnight Foundation、抗量子 Layer 1 公鏈 Quantus，以及 Postquant Labs。

KuCoin 2026 年 10 月 16 日轉述 BlockBeats 的快訊 同樣說明共有九家業者，但本次可讀版本只逐一列出上述四家，因此本文不把未出現在該版本的名字寫成已由這則快訊確認的完整名單。

聯盟能做的是讓業者使用較一致的測試條件，解釋什麼叫「抗量子」、如何驗證，以及跨系統遷移需要哪些配套。它不是比特幣的管理機關，也沒有自行凍結鏈上資產或替全網啟用升級的權力。一份標準發布後，仍要有人實作、審查、測試與採用。

數量也必須照來源解讀。CoinDesk 與 KuCoin 在 2026 年 10 月 16 日記載的聯盟口徑是「約 640 萬枚、約占供應量 30.2%」。這是來源並列的估算，本文不把兩者視為可直接驗算的精確比例，也不擅自替來源補上供應量分母。中本聰約 110 萬枚的歸屬同樣是估計，不能當成經本人確認的帳戶清單。

另一份資料，Glassnode 2026 年 5 月 20 日研究 ，把暴露區分為約 192 萬枚 BTC 的結構性暴露與約 412 萬枚 BTC 的操作性暴露。前者與輸出本身揭露公鑰的設計有關，後者涉及地址重用等操作方式。Google 等研究者的 2026 年 3 月 30 日論文 則估計約 690 萬枚 BTC 處於其分析定義的暴露範圍。

這些數字出自不同時點、資料範圍與分類方法，不能相加，也不能用其中一組覆蓋另一組。它們更不是比特幣協議發布的「官方受害統計」。真正需要盤點的是，哪些尚未花費的輸出，其可用來授權支出的公鑰已經能被攻擊者取得。

為什麼公鑰曝光值得注意？先分清簽章與雜湊

比特幣的錢不是存在硬體錢包裡，而是以未花費交易輸出，也就是 UTXO，記錄在鏈上。錢包管理金鑰，並在支出時產生符合條件的簽章。節點驗證簽章成立，才接受資產移轉。

傳統比特幣輸出常用 ECDSA；Taproot 使用 Schnorr。兩者都建立在 secp256k1 橢圓曲線上，不能把今天所有比特幣交易一概稱為 ECDSA。依 BIP-360 草案，本次查閱日為 2026 年 10 月 17 日 ，相關量子威脅的核心是離散對數問題：從私鑰算出公鑰很容易，但使用古典電腦從公鑰反推私鑰，在現有安全參數下並不可行。

Shor 演算法改變的是這個計算難度。假使有足夠強大、錯誤率足夠低的量子電腦，就能以多項式時間求解相關問題，從已知公鑰恢復私鑰，再製造一筆驗證通過的假冒支出。攻擊者不必先取得你的硬體錢包，也不必知道助記詞。這正是「硬體裝置從未連網」仍不能單獨解決鏈上量子風險的原因。

但別把簽章破解與 SHA-256 混成同一件事。依上述 Google 等研究者 2026 年 3 月論文的分析，Grover 演算法對搜尋問題提供的是平方級加速，與 Shor 對橢圓曲線問題的影響不同。雜湊仍被視為較能抵抗量子攻擊的基礎，不能因為簽章有潛在弱點，就推論所有雜湊保護都會同時失效。本文聚焦的資產竊取路徑，是公鑰到私鑰的恢復；這也不等於量子運算對所有區塊鏈系統都只有一種可能影響。

長曝光：攻擊者可以先選目標，持續計算

依 BIP-360 的定義，長曝光攻擊針對已在鏈上或其他管道揭露的公鑰資訊。早期 P2PK 輸出直接放入公鑰；Taproot 輸出也公開一把輸出公鑰；重用已支出過的地址，則可能讓同一把已公開金鑰繼續保護尚未花費的資產。

這裡的「長」是指攻擊者不必趕在某一筆交易確認前完成破解。只要資產仍受那把金鑰控制，就可持續嘗試。不是所有歷史上花費過的輸出還有錢可偷：已經花完的 UTXO 不會再被花一次；真正受影響的是仍沿用相同金鑰或相關支出條件的其他未花費輸出。

短曝光：交易廣播後，搶在確認前完成

若公鑰先前被雜湊承諾隱藏，花費交易通常會在廣播時揭露它。短曝光攻擊就要利用交易尚在記憶池、尚未確認的期間，反推出私鑰並送出競爭支出。

Google 等研究者在 2026 年 3 月論文採用比特幣平均約 10 分鐘的區塊間隔來建模。平均值不等於每筆交易都有固定倒數時間：下一個區塊可能更早出現，交易也可能因費率或壅塞等待更久。因此，「只要破解要超過十分鐘就永遠安全」並不成立；反過來，也不能把理論破解速度當成現有攻擊能力。

哪些地址需要優先盤點？前綴只能做初步辨識

下表依 2026 年 10 月 17 日查閱的 BIP-360 長曝光分類 整理。「未直接暴露」只描述公鑰尚未被揭露的情況，並非完整抗量子保證。

相同的 bc1q 前綴可能對應不同類型，不能只看前幾個字元就完成稽核。多簽也不會自動變成後量子安全：若授權條件仍依賴可被破解的橢圓曲線金鑰，必須連同腳本與簽章門檻檢視。

另一個容易漏掉的出口是 xpub，也就是延伸公鑰，以及錢包描述檔。BIP-360 明確提醒，這些資料也會揭露與量子風險相關的公鑰資訊。xpub 在現行模型中通常不能直接簽署交易，但能推導所涵蓋分支的公鑰與地址。把它匯入記帳、追蹤或第三方服務，不等於交出助記詞，卻也不是沒有資安與隱私成本。

BIP-360 解決哪一段？為何還需要後量子簽章？

截至 2026 年 10 月 17 日查閱，BIP-360 狀態仍為 Draft，作者為 Hunter Beast、Ethan Heilman、Isabel Foxen Duke。它提出 Pay-to-Merkle-Root，簡稱 P2MR：保留腳本樹與 tapscript 的用途，移除 Taproot 的 key path spend，讓輸出承諾腳本樹的 Merkle root，而不是保留可直接沿金鑰路徑花費的結構。

這是把長期公開的攻擊入口縮小，沒有宣稱一次解決所有量子攻擊。當花費路徑仍揭露傳統簽章公鑰，短曝光問題仍要處理。因此，輸出格式改良與後量子簽章是相互銜接的工作，不能只看到新地址前綴就認定升級完成。

既有 P2WSH 等格式已能在未揭露腳本時避免部分長曝光問題，但不支援 tapscript。BIP-360 作者認為，tapscript 的擴充機制可能是實際整合後量子簽章操作碼的重要路徑；這是提案的工程理由，不是數學上宣稱所有後量子方案只能走唯一道路。

候選技術之一是以雜湊為基礎的 SLH-DSA，源自 SPHINCS+。NIST 在 2024 年 8 月 13 日發布的 FIPS 205 已將其標準化。密碼標準存在，不代表比特幣已經採用；還要處理簽章大小、驗證成本、交易容量、軟體實作與共識升級。使用者目前應追蹤正式提案與錢包支援公告，不要自行把資產送往未啟用的實驗格式。

破解資源下降，不代表 Q-day 已有日期

Google Research 2026 年 3 月 31 日說明 提出兩組電路估算：一組使用少於約 1,200 個邏輯量子位元、9,000 萬個 Toffoli 閘；另一組使用少於約 1,450 個邏輯量子位元、7,000 萬個 Toffoli 閘。在其超導硬體與容錯假設下，物理量子位元需求可低於 50 萬個，相較先前估計約降低 20 倍。

「邏輯量子位元」是經錯誤校正保護的計算單位，「物理量子位元」是實際硬體資源，不能混著比較。機器有多少位元，必須連同錯誤率、校正負擔、閘操作速度與可執行深度來看。估算更省資源，仍不等於已有一部能跑完攻擊的機器。

Google 等研究者 2026 年 3 月論文進一步討論，與曲線固定參數相關的部分計算可以先準備；在特定快速架構假設下，得知目標公鑰後的時間約為 9 分鐘。論文的理想化模型估計，搶在交易確認前完成的機率略低於 41%。這個百分比描述假設中攻擊的成功窗口，不是今天錢包有四成機率失竊，也不是預言四成交易會出問題。

CoinDesk 2026 年 9 月 10 日報導 又指出，研究團隊把 Shor 演算法中一個關鍵計算步驟的資源指標較先前基準降低超過 50%。這需要精確閱讀：關鍵步驟進步，不能直接換算為整套攻擊硬體需求或完成時間都減半。

時間表仍有公開分歧。依 CoinDesk 2026 年 10 月 16 日的聯盟報導，Postquant Labs 技術長 Richard Carback 認為 2028 年是現實的可能時間；The Vault 的 Bryn Bennett 則強調日期無人知道，機構該問的是，威脅若提早出現，自己能否及時遷移。這兩種說法不是共同預測。

Galaxy Research 的 Will Owens 在 2026 年 3 月 19 日研究 也指出，外界時間估計從數十年到 12 至 24 個月都有，並無共識。其觀察是開發者自 2025 年底以來加快提出應對方案。對讀者較有用的觀察指標，是可驗證的容錯硬體進展、提案成熟度與遷移支援，而不是替某一年設置恐慌倒數。

凍結還是遷移：保護資產，也可能改變財產權規則

依 CoinDesk 2026 年 10 月 16 日報導，幣安創辦人趙長鵬曾建議，如果被認為屬於中本聰的約 110 萬枚 BTC 持續未動，應考慮在量子威脅實現前凍結。支持這種方向的人想避免攻擊者取得沉睡資產；反對者則認為，持有者沒有行動，不等於社群有權剝奪他的花費能力。

這個分歧不能用「資安一定優先」草率處理。鏈上不動可能是遺失金鑰，也可能是長期儲存，外界不能僅憑沉睡就證明資產無主。若節點開始拒絕原本有效的簽章，改變的是網路接受什麼授權的規則，涉及財產權、可預測性與中立性。

BIP-361：Post Quantum Migration and Legacy Signature Sunset 提供另一個討論框架。截至 2026 年 10 月 17 日查閱，它仍是草案，由 Jameson Lopp 與另外五位作者共同提出，依賴未來後量子輸出與救援機制的配套。方向是先限制新增資產進入脆弱格式，再限制舊 ECDSA／Schnorr 支出，並研究以零知識證明等方式協助錯過遷移的所有者取回資產。

草案設想不等於已有可供所有人使用的恢復功能，更不等於全網通過了啟用日期。Trezor 說明頁，查閱於 2026 年 10 月 17 日 將它描述為 Lopp 希望不必動用的情境備案，並指出尚無啟用時間表。失去金鑰的人能否滿足未來證明條件，也不能預先保證。

在聯盟成員的爭論中，Carback 偏向遷移；Bennett 強調託管機構照顧客戶資產，無權替所有被遺棄的幣作決定，凍結必須由比特幣網路治理處理。他也提醒，降低量子風險的同時，可能建立改變財產權與中立性的先例。無論選哪一條路，都需要開發者、礦工、錢包、交易所、託管商與使用者協調，無法由聯盟一紙公告完成。

託管機構與錢包商在準備什麼？

依 CoinDesk 2026 年 10 月 14 日報導 ，當時替客戶保管全網約 5% 比特幣的 Coinbase 主張現在開始準備，包括可彈性調整的地址與簽章設計、抗量子備用金鑰，以及分階段導入。這是準備方向，不是宣告現行帳戶已全面抗量子。

Coinbase 也主張把遷移技術與遺失、無人認領資產的處置分開討論。這個拆分有實務意義：測試新簽章、錢包互通與復原流程，可以先累積成果；最有爭議的財產權問題，則需要另外形成共識，避免所有準備工作一起停擺。

成本不限於密碼學。新簽章可能更大，占用更多區塊空間，影響手續費與吞吐量；機構還要調整多方授權、備份、稽核與緊急復原。若所有人等到最後才搬遷，就會同時爭用有限的鏈上容量。這是提早設計流程的理由，不能被包裝成要求使用者立即交易的話術。

硬體端也要看清防護範圍。Trezor 的 Safe 7 官方說明，查閱於 2026 年 10 月 17 日 ，把產品稱為首款「量子就緒」硬體錢包；這是廠商自述。它同時承認，完整保護仍需要區塊鏈升級。裝置內部功能、韌體驗證與鏈上簽章，是不同層次的安全問題，購買一個標示不能改寫比特幣現有共識規則。本文提及品牌僅為說明其公開說法，不構成產品推薦。

台灣持有者的實務檢查清單

先確認持有方式與適用監理環境

台灣讀者常見兩種持有方式：由國內 VASP 代管，或自行使用硬體錢包管理金鑰。前者要核對實際服務法人、官方資格與資產保管條款；後者要自行管理金鑰備份、地址使用與復原能力。不要把交易所帳面餘額當成自己已掌握鏈上金鑰，也不要以為有硬體錢包就省掉所有操作風險。

依 crypto.news 2026 年 7 月 1 日報導 ，台灣《虛擬資產服務法》已於 2026 年 6 月 30 日三讀通過，監理內容包括資安、客戶資產分離保管、內控與財務報告等要求。報導日期與三讀日期應分開寫，過渡安排與登記、許可資格也不能混為一談。

金管會 2026 年 8 月 4 日新聞稿 談的是洗錢防制辦法修正預告與轉帳規則，屬於監理背景，並不是量子安全規範。上述資料沒有替個別量子遷移情境分配責任，也不能據此宣稱台灣已有量子專條或主管機關替特定錢包提供安全保證。

自託管：把抽象新聞變成可核對的紀錄

1. 盤點仍有資產的輸出。 在可信錢包的本機介面確認類型、餘額與交易歷史。優先標記 P2PK、Taproot，以及使用過已公開金鑰的地址。不要把助記詞上傳到任何「量子風險掃描器」。
2. 查地址重用。 看自己是否一直貼同一個收款地址，或從某地址支出後又持續向它收款。依 Glassnode 2026 年 5 月 20 日分類，約 412 萬枚 BTC 屬操作性暴露，這類問題與日常管理方式直接相關；該數字不是所有台灣錢包的風險比例。
3. 查 xpub 與描述檔的分享紀錄。 列出曾匯入哪些追蹤工具、會計服務或第三方錢包，並辨認分享範圍。刪除服務上的資料，不能保證已揭露公鑰從未被留存；先保留盤點紀錄，避免反覆擴大分享。
4. 停止地址重用，區分用途。 長期儲存、日常支出與公開收款可分開管理。新地址應由自己可信的錢包產生，並在硬體裝置上核對；分用途有助於管理，但若同一份廣泛涵蓋的 xpub 已外流，單純換分支名稱不會消除既有曝光。
5. 有計畫地降低長曝光。 若長期冷藏資產仍由已曝光金鑰控制，可規劃移往尚未揭露公鑰、以雜湊承諾保護的新地址，例如正確使用的新 P2WPKH。新 Taproot 地址本身仍會公開輸出公鑰，不能只以「全新」判斷。移轉前確認備份、格式支援與費用，先以小額驗證流程，再處理較大額資產。
6. 保留移轉與復原紀錄。 記下交易識別碼、地址用途、錢包版本與備份位置管理方式，將敏感備份離線保管。不要把助記詞寫進一般雲端筆記，也不要把恢復流程交給陌生客服代辦。

這些做法能改善地址與金鑰管理，不能取代未來後量子簽章升級。移轉本身也會揭露舊公鑰，因此應在威脅具備實際能力之前完成有序準備，而不是等到新聞宣稱緊急狀態才盲目操作。現在沒有因為量子新聞而恐慌拋售的技術依據；涉及資產搬移時，先控制誤轉、備份失效與釣魚這些已存在的風險。

反詐與查核管道：量子升級不能要求你交出助記詞

Trezor 的量子安全說明頁在本次查閱時明確提醒：目前沒有量子電腦能偷走你的比特幣，聲稱必須「緊急做抗量子升級」的郵件應視為詐騙。對台灣使用者而言，這條原則同樣適用於冒名交易所、錢包商、客服或社群管理員的訊息。

要求你在網頁輸入助記詞、提供私鑰，或把幣轉到對方給的「新量子安全地址」，都是危險訊號。「錢包格式遷移」這個名稱不會讓要求變合理。真正的收款地址由你控制的錢包產生；真正的備份不需要交給客服驗證。

涉及協議升級或大規模遷移，應自行開啟錢包商、交易所的官方網站與官方 App 核對公告。即使收到看似官方的簡訊或私訊，也不以裡面的連結作操作入口。可疑訊息可撥 165 反詐騙專線，或使用內政部警政署 165 全民防騙網 查證與通報；保留對話、網址與交易紀錄，避免繼續付款。

業者身分與公會公告可先至中華民國虛擬通貨商業同業公會 核對，再依官方連結查主管機關登記資訊。公會會員資格與主管機關資格不是同一個判斷；境外平台有繁體中文介面，也不代表取得台灣登記。持有較多自託管資產的讀者，值得定期追蹤 BIP-360 與所用錢包的正式公告，而不是社群轉傳的「限時保護」連結。

平台資訊與風險揭露

**幣安警示：**幣安為境外平台品牌；本文未經即時官方名單確認其實際服務法人已取得台灣洗錢防制登記。使用者必須核對服務法人、所在地、適用條款及官方資格，不可將品牌知名度視為台灣核准證明。

**Bybit 警示：**依台灣虛擬通貨公會 2026 年 6 月 11 日刊載、通報單位為證期局證券商管理組的警示 ，Bybit 未完成台灣洗錢防制登記，不得於我國境內提供虛擬資產服務或向國人進行廣告等招攬業務行為。該警示並建議民眾拒絕相關境內服務，避免匯款至其提供的帳戶。

以下沿用本站平台資訊區塊。合約與槓桿可能造成重大損失；資訊呈現不構成開戶、入金或交易建議，也不是量子風險的解決方案。

幣安 Binance 平台資訊：請先閱讀上方幣安警示及服務法人條款。

Bybit 平台資訊：請先閱讀上方 Bybit 警示及服務法人條款。

再次提醒，平台名稱與介面語言不能替代服務法人資格查核。請先閱讀上述境外平台與 Bybit 警示；勿因量子安全話題接受開戶、入金或槓桿交易招攬。

結語：先盤點曝光，讓遷移建立在可驗證的準備上

量子聯盟的成立，讓測試標準、遷移能力與財產權爭議更具體。現有量子電腦仍無法執行本文所述的私鑰恢復攻擊；未來什麼時候跨過門檻，研究者也沒有共同日期。

台灣持有者現在能做的，是知道資產由誰控制、哪些公鑰已曝光、哪些地址被重用，以及自己能否安全完成備份與移轉。協議開發者需要時間審查新規則，機構需要時間協調流程，個人也需要把錢包使用習慣整理好。把這些準備做實，比追逐一個「Q-day 年份」更有幫助。

**免責聲明：**本文為截至 2026 年 10 月 17 日的市場研究與一般技術教育資訊，不構成投資建議、報酬保證或任何幣種、交易平台、錢包產品的推薦。加密資產具有價格波動、交易對手與技術風險；自託管另有金鑰遺失、備份失效、誤轉及詐騙風險。鏈上交易通常不可撤回，任何操作前都應先確認自己理解授權內容與復原方式。