谈了半年的量子威胁，思路基本都是“怎么拦”——冻结暴露的旧地址、赶紧换抗量子签名。@projecteleven 这次换了个问法，我觉得更接近现实：假设量子已经能伪造你的签名了，你怎么证明币还是你的、把它挪走？

他们放出一个零知识证明的原型。原理是：你不亮私钥，只证明你知道钱包派生树里、你那个地址“上一层”的密钥，并且它能推出这个地址。等于用 HD 钱包的派生路径当身份证，量子伪造不了这一层。
一次证明生成 243 毫秒、验证 40 毫秒，跑在一台 M5 MacBook Air 上，4 个 CPU 核，连 GPU 都不用。比之前那个要 14.6 秒还得靠 GPU 的方案快了约 16 倍。等于把“量子后自救”从实验室搬到了笔记本。
但有个硬伤，恰恰卡在最值钱的地方：它救不了中本聪那约 110 万枚。因为旧的 P2PK 地址生在 HD 钱包出现之前，压根没有“上一层派生密钥”可证，公钥又早就裸在链上。这套方法对它们=无解。
而且官方说得很实在：早期原型、没审计，现在还不能在任何真链上恢复资产。