聊了半年量子威胁,思路基本都是"怎么拦"——冻结暴露的老地址、赶紧换抗量子签名。@projecteleven 这次换了个问法,我觉得更接近现实:假设量子已经能伪造你的签名了,你怎么证明币还是你的、把它挪走?

他们放出一个 zero-knowledge 证明的原型。原理是:你不亮私钥,只证明你知道钱包派生树里、你那个地址"上一层"的密钥,并且它能推出这个地址。等于用 HD 钱包的派生路径当身份证,量子伪造不了这一层。
一次证明生成 243 毫秒、验证 40 毫秒,跑在一台 M5 MacBook Air 上,4 个 CPU 核、连 GPU 都不用。比之前那个要 14.6 秒还得靠 GPU 的方案,快了约 16 倍。等于把"量子后自救"从实验室搬到了笔记本。
但有个硬伤,恰恰卡在最值钱的地方:它救不了中本聪那约 110 万枚。因为老的 P2PK 地址生在 HD 钱包出现之前,压根没有"上一层派生密钥"可证,公钥又早就裸在链上。这套方法对它们=无解。
而且官方说得很实在 :早期原型、没审计,现在还不能在任何真链上恢复资产。