有多少比特币暴露在量子攻击风险下？

每个分桶都单独发布数量与价值，包括那些让标题数字显得更小的分桶。若合并成一条线，会掩盖一个事实：88.4% 的暴露价值是中本聪时代的 P2PK。

数量与价值刻意讲两个相反的故事：Taproot 占全部输出的三分之一，占暴露价值的 11.3%；P2PK 按数量是舍入误差，按价值是暴露总量的 88.7%。

暴露与休眠是两个不同的坐标轴，我们绝不相加。这个表回答的诚实问题是：在暴露的价值中，有多少位于自各截止点以来从未移动过的输出里？

此处的休眠指该未花费输出本身创建于截止区块之前且从未被花费。年龄按区块计（每年 52,560 块）。

因为它们回答的是不同的问题。本表不发布第十一个估计值，而是给现有数字当裁判：定义、日期、单位，以及该数字是独立测量还是另一行的衍生品。

我们的 1,933,214 与 Glassnode 的 192万（2025）是同一结构性定义在不同快照上的测量；差距来自时间与方法细节，不是分歧。600-700万 一族加入了地址复用敞口，那是另一个更宽松的定义，而且从 UTXO 快照在结构上根本无法计算。

与本页相关的两条主线上实际发生了什么：比特币迁移路径（后量子输出类型）与已被证明的量子能力。有日期、有来源的事实；我们不预测 Q-day。

只有当一手来源发布时，行才会变化。暴露是输出类型的属性；时间线条目描述的是能力，而非预测。

各网络针对量子签名风险实际交付了什么，每行附一手来源。公告与研究论文不算；只有已部署或已合并的产物才算。

人工整理并注明日期；仅当一手来源发布时才更改某行。未出现在表中意味着我们未找到已交付的产物，而非该链没有计划。

该测量是我们自有节点 UTXO 快照（Bitcoin Core dumptxoutset，v2 格式）的纯函数。没有任何第三方 API 参与。分类器公开它应用的每一条规则，因为可复现性本身就是这个产品。

一个静态输出被视为暴露，当且仅当其 scriptPubKey 含有椭圆曲线点而非哈希摘要。哈希锁定家族（P2PKH、P2SH、P2WPKH、P2WSH）只在花费时暴露公钥；那条复用坐标轴是另一种测量，不包含在本页。

有些报道称 Taproot 在花费前隐藏公钥；这是不正确的。输出公钥按构造就在链上，共识直接对它验证 Schnorr 签名，不可花费的内部密钥也改变不了这一点。三个严肃的公开方法论（Glassnode、Google Quantum AI、Project Eleven）都将 P2TR 计为结构性暴露，我们也是。

量子硬件背景（用于把握尺度，不是倒计时）：secp256k1 的权威资源估计是 Babbush 等人 arXiv 2603.28846（2026）：在其快时钟工作假设下，10^-3 错误率约需不到 50 万物理量子比特。这样的机器尚不存在；进展更适合用阈值模型而非量子比特数来解读。

精确分类规则（dump 脚本尺寸码）

• 码 0 → P2PKH（20 字节哈希）· 未暴露
• 码 1 → P2SH（20 字节哈希）· 未暴露
• 码 2,3 → P2PK 压缩公钥 · x 坐标在 secp256k1 曲线上则暴露，否则不可花费
• 码 4,5 → P2PK 未压缩公钥（存储 x）· 在曲线上则暴露，否则不可花费
• 码 ≥6 → 原始脚本：OP_1 <32B> = Taproot，lift_x 成功才计为暴露 · OP_0 <20B/32B> = P2WPKH/P2WSH，未暴露 · OP_M <公钥组> OP_N OP_CHECKMULTISIG = 裸多签，至少 M 个在曲线上才计为暴露 · OP_2..OP_16 <2-40B> = witness v2+，单列序列 · 曲线上的 33/65 字节公钥紧跟 OP_CHECKSIG = 计为暴露并记录 · 其余 = 未分类，价值照常公布，绝不丢弃

溯源

每一行都携带 base_height、base_hash、txoutset_hash、coins_written 与分类器版本。写入任何一行之前先跑验收门：文件精确解析到末尾、输出数与文件头一致、总价值与发行计划偏差小于 0.01%、以及让“静默归零”失败模式不可能发生的 P2PK 区间检查。节点处于初始同步或落后自身区块头时拒绝快照。

base_height 968923 · base_hash 000000000000000000007c079a786a9d7c214407ec7a91cfad59e0c2e08fff5b · txoutset_hash 57c6cc88666544c1c8bb2e7a4dbdcdbe054f3522daca2c4d12bb206a3e2025ef · coins 165,240,665 · qclass_v1_20260813

这个测量不能告诉你什么

• 不包含地址复用敞口（哈希锁定地址因历史花费而暴露的公钥）。那是另一个更宽松的定义，是大多数 600-700万 数字的来源，而且从 UTXO 快照在结构上无法计算。
• 不预测具备密码学威胁能力的量子计算机何时（或是否）出现。我们不发布倒计时，也不发布概率。
• 无法把任何具体的链上移动归因为攻击：量子推导出的花费与持有者的花费在字节上完全相同。
• 早期 P2PK 中的约 170万 BTC 不是“中本聪的仓位”：Patoshi 模式的归因估计在 70万 到 110万 BTC 之间，且本身存在争议。