IBM量子硬件破解了15位ECC密钥，但比特币开发者表示随机生成的位与结果一致

• Project Eleven于4月24日向研究员吉安卡洛·莱利颁发了1 BTC（78,000美元）奖金，以表彰其在IBM量子硬件上破解了15位椭圆曲线密码学密钥。
• 比特币开发者证实，在引入随机噪声的情况下，莱利的实验结果仍可复现，这表明量子计算相较于经典方法并无优势。
• 从15位到比特币使用的256位secp256k1之间仍存在2^241级的工程鸿沟，因此比特币的安全性目前依然完好无损。

Project Eleven向吉安卡洛·莱利颁发1 BTC以表彰其15位ECC量子破解，但软件开发者称其为随机噪声

Project Eleven将这一成就描述为搜索空间复杂度的512倍提升，相比工程师Steve Tippeconnic于2025年9月在IBM硬件上完成的6位ECC破解而言。CEO Alex Pruden将此成就视为证据，表明针对ECC的量子攻击不再需要国家实验室或专有硬件。

该奖金在颁发时价值约7.8万美元，旨在为1至25位密钥长度的ECC量子攻击提供可复现的公开测量数据。莱利的提交成果（包括完整代码和执行日志）已在GitHub上公开发布。

莱利在IBM量子云硬件上实现了肖尔算法的双寄存器变体，针对的是比特币secp256k1标准中使用的椭圆曲线形式。该电路运行于多个IBM Heron r2处理器上，包括ibm_torino和ibm_fez，并依赖于为噪声中间规模量子设备设计的技术。

比特币开发者和密码学家迅速驳斥了这一结果，认为量子硬件并未对结果产生实质性贡献。Project Eleven在X平台宣布这一里程碑的帖子现已附有“社区注释”的事实核查，指出用于恢复15位椭圆曲线密码学（ECC）密钥的方法依赖于对输出结果的经典验证——这些结果与随机噪声无法区分，实际上等同于经典猜测。

前比特币核心（Bitcoin Core）维护者乔纳斯·施内利（Jonas Schnelli）分析了莱利的提交内容，发现该IBM电路运行约98,000个门，每个门的保真度约为99.5%，其输出的统计结果与随机抛硬币的结果无法区分。

施内利仅使用纯随机比特，未涉及任何量子硬件，便用约20行Python代码复现了完整的密钥恢复过程。他的结论直截了当：量子计算机并未在经典随机性之上提供任何可检测的信号。 Coinkite创始人罗多尔福·诺瓦克坚称“十一号计划”正在误导公众，称其量子主张是“一场闹剧”。 他在X平台辩称“私钥在量子电路运行之前就已经通过经典方法破解了”，并指出该系统“并没有发现任何东西——它只是被告知了答案”，还补充说结果依赖于“经典验证过滤器”。诺瓦克总结道，虽然“比特币面临的量子威胁是真实存在的，但尚远”，但今天的演示不过是“披着量子外衣的经典计算”。

研究员尤瓦尔·亚当（Yuval Adam）通过将莱利的IBM量子后端替换为Linux的经典随机数生成器/dev/urandom并成功复原了目标密钥，从而独立验证了这一发现。该15位曲线仅包含32,767个可能的私钥，搜索空间如此之小，以至于经典验证器通过近似随机采样，以极高概率就能在候选密钥中找到与公钥匹配的私钥。

比特币支持者吉米·宋（Jimmy Song）将量子计算机描述为执行与 /dev/urandom 相同的功能。X平台账号TFTC在一篇广为流传的帖子中指出，迄今为止所有关于椭圆曲线密码学（ECC）的肖尔算法公开演示，都依赖于经典预计算——这种预计算实际上是在量子硬件运行前，将答案编码到电路中。

批评者还指出该奖金机制存在利益冲突。由Coinbase Ventures、Castle Island Ventures、Variant及Balaji Srinivasan支持的Project Eleven公司设立了该奖金，通过三位独立物理学家评审提交方案，发放奖金后，又发布新闻稿警告称，约690万枚存储在公钥已暴露的钱包中的BTC面临潜在长期风险。该公司销售后量子密码学工具。

Project Eleven 创始人回应批评

普鲁登（Pruden）在后续帖子中承认，此次结果并非“量子破译日”（Q-Day），且非量子安全（NISQ）时代的实验通常依赖于经典计算的辅助。他辩称，该演示仍代表了在通用公共硬件上取得的渐进且可复现的进展，而后量子密码学的迁移规划依然是合理的长期优先事项。Project Eleven的高管补充道：

“归根结底：这是在充满噪音的早期研究领域取得的渐进式进展——并非‘Q-Day’。这凸显了我们为何要追踪资源消耗的减少，以及后量子迁移规划对长期安全为何至关重要。持怀疑态度是健康的；但不断移动目标则不然。我很乐意讨论技术细节或分享代码库及评委的反馈。”

Lelli 的研究结果与比特币面临的实际威胁之间存在巨大差距。比特币采用的 secp256k1 曲线具备 256 位的安全强度。 从15位到256位的差距，意味着计算难度呈2的241次方级别的增长。即使是近期较为乐观的研究——包括谷歌2026年4月发表的一篇论文——也估计，破解256位椭圆曲线密码（ECC）需要少于50万个物理量子比特，而当前的量子硬件距离这一门槛还相差甚远。

这一事件凸显了量子计算报道中长期存在的矛盾：硬件的渐进式里程碑常能博得头条，但从玩具级演示到商用加密系统的距离，依然是工程学上难以逾越的鸿沟，且短期内尚无解决方案。比特币的安全模型正依赖于这一鸿沟，开发者表示该模型依然完好无损。