銀行搶進抗量子轉帳試點：鏈上密碼學保衛戰，比你想像中更早開打

最近有條新聞，在我看來比標題低調得多：一批銀行正式加入抗量子加密貨幣轉帳試點，實際測試 後量子錢包 與鏈上轉移流程，而阿布達比、不丹與馬爾他的監管機構則以觀察員身分先進場見習。把時間軸拉開來看，NIST 已於 2024 年敲定首批後量子密碼標準、量子硬體年年跳級、各國金融主管機關陸續把「Q 日」寫進風險報告——這次試點等於是金融業頭一回把抗量子從研討會簡報拉進真實的交易管道。對整個鏈上世界而言，這代表遷移的倒數計時正式啟動。

痛點不在未來，而在「已被存下的過去」

很多人對量子威脅的第一反應是：「量子電腦又不是明天就量產，急什麼？」這種直覺恰恰漏掉了重點。現行比特幣與以太坊都靠 ECDSA（橢圓曲線數位簽章）守門，一旦規模夠大的量子電腦出現，Shor 演算法就能從公開金鑰反推出私鑰。麻煩的是，你根本不需要等到那一天——鏈上的每一筆交易都是公開紀錄，攻擊者大可先把資料整包存下來，等硬體到位再回頭算帳。

這就是資安圈講的「先收割、後解密」（Harvest Now, Decrypt Later）：今天暴露在公鏈上的公鑰，就是十年後可能被打開的保險箱。尤其早期比特幣大量使用直接暴露公鑰的 P2PK 格式，連中本聰時代的沉睡幣都在射程範圍內。

所以真正讓銀行睡不著的，不是「量子電腦哪天問世」，而是託管資產的生命週期動輒數十年。一家銀行今天幫客戶保管數位資產，它必須回答的問題是：這套金庫架構到了 2035 年還安不安全？試點計畫正是在替這個問題找答案。

技術規格差多少？一張表看懂

比較面向	現行主流：ECDSA 橢圓曲線簽章	新世代：後量子簽章（如 ML-DSA）
安全性根基	橢圓曲線離散對數難題	模格（Lattice）等數學難題
面對量子攻擊	Shor 演算法理論上可直接破解	目前沒有已知的有效量子攻擊法
金鑰／簽章大小	公鑰約 33 位元組、簽章約 64 位元組	公鑰與簽章動輒數千位元組起跳
對鏈上成本的影響	極精簡，多年實戰優化	交易明顯變肥，牽動手續費與吞吐量
生態成熟度	十年以上驗證，工具鏈完整	標準剛落地，錢包與節點支援仍在建置

表格的最後兩行，才是這次試點真正要磨的地方。後量子演算法在紙上很漂亮，但簽章一口氣胖了三十倍以上，放到區塊空間有限的公鏈上，手續費、區塊容量、節點同步壓力全都要重新算一遍。這也是為什麼業界普遍押注混合簽章（hybrid signature）：同一筆交易同時附上傳統與後量子兩種簽章，任何一邊被攻破都還有另一層防護，代價則是交易變得更肥。

為什麼是銀行？又為什麼是不丹？

銀行端的動機很好理解：機構資金進場的速度越快，「長期安全」就越從加分題變成必考題。託管業務、代幣化債券、跨境結算，這些銀行想吃的市場全都要求金庫架構經得起十年以上的檢驗。誰先把抗量子流程跑順，誰就能在下一波合規競標裡拿出別人沒有的履歷。

監管端的名單反而更有意思：

參與方	角色定位	各自盤中的利益
參與銀行	試點執行者	驗證抗量子託管與結算流程，累積合規範本
阿布達比	初期觀察員	金融自由區想搶先制定前瞻數位資產規則，吸引機構落腳
不丹	初期觀察員	主權級比特幣持倉需要長期安全的評估依據
馬爾他	初期觀察員	想重拾「區塊鏈之島」的政策話語權

不丹的出現其實最有故事。這個小國透過國營投資機構以水力發電長期挖礦，手上握有的比特幣是用主權財富的規格在看待，鏈上資產的安全週期對他們來說不是抽象議題，而是國家資產負債表的問題。至於馬爾他，幾年前喊出「區塊鏈之島」後聲量一度沉寂，這種試點正好是重返牌桌的低成本門票。

接下來一兩年，我會盯這幾件事

1. 混合簽章會成為過渡期的主流答案。純後量子鏈的遷移成本太高，交易所與錢包業者大概率先採「雙簽章」折衷方案，讓使用者幾乎無感地完成升級。
2. 觀察員會逐步轉正。阿布達比與不丹這類初期觀察的角色，往往是一段監管沙盒的前奏；一旦試點數據出爐、指引跟著落地，參與深度只會往上加。
3. 沉睡幣的處理會浮上檯面。早期暴露公鑰的比特幣該不該由協議層出手保護，社群勢必再吵一輪，而這場辯論會逼整個產業正面回答「遷移的成本到底誰買單」。
4. 手續費結構重新洗牌。若抗量子交易普遍變大，Layer 2 與交易聚合方案的價值主張會更突出，主鏈的角色可能進一步往結算層收斂。

我的看法是，這次試點最大的意義不在技術本身，而在於它把一個原本只存在於密碼學家茶餘飯後的話題，正式搬上了銀行董事會與監管機關的議程。當保守到近乎龜毛的金融機構都願意動起來，這件事的緊迫程度，已經不需要任何人多做解釋了。

延伸思考與常見問題