比特币面临的量子计算风险，不只是更换密码学算法的问题。加密投资人尼克·卡特在10月13日接受卢克·马丁采访时提出一种极端情景：如果未来出现能够破解比特币密钥的量子计算机，攻击者可能恢复休眠比特币的私钥，并在约10个区块内集中广播一批转账。早期比特币同时发生移动，可能首先冲击市场对网络所有权和结算规则的信心。
约604万枚比特币存在公钥暴露
Glassnode在5月20日的分析中估计，约604万枚比特币、相当于当时已发行供应量的30.2%，已经处于公钥暴露状态。这个统计口径既包括过去花费过比特币或重复使用地址、导致公钥可见的活跃资产，也包括P2PK等结构上直接暴露公钥的早期输出，以及部分Taproot相关输出。
量子攻击的核心假设是，足够强大的量子计算机可以利用肖尔算法从公开的公钥推导私钥，随后生成看似有效的花费授权。谷歌公开研究曾对未来发动此类攻击所需的计算资源进行建模，但目前仍没有证据表明其已经实现了比特币密钥恢复。换言之，量子密钥攻击仍是未来风险，而不是已经发生的网络事件。
不过，区块空间可能允许攻击者在短时间内处理大规模转移。假设有5万笔早期输出，每笔持有50枚比特币，总量达到250万枚，按照比特币开发者文档中的P2PK输入示例，这些输入约需570万字节，即在不计交易额外开销前约占2280万重量单位。按照区块权重规则，10个区块合计上限为4000万重量单位。如果将交易拆分，并把每批交易控制在Bitcoin Core约40万重量单位的标准限制内，理论上可以在10个区块的总容量内完成转移。
10个区块不等于确定完成转移
实际交易能否进入区块，还取决于手续费、网络拥堵程度和矿工的打包选择。比特币平均约每10分钟产生一个区块，因此10个区块通常约需100分钟，但实际时间会出现明显波动。不同输出的脚本类型、花费条件和接收输出数量，也会改变一次批量转移所需的区块空间。
量子攻击如果发生，转移的是已经存在的比特币控制权，并不会增加新的发行量。可见的大规模转账可能在出售发生前就引发持有人不安，随后是否形成更大范围的市场波动，则取决于交易所的应对、可用流动性和市场参与者对转账来源的判断。公钥已经暴露、持有人长期不活动、私钥永久丢失，以及某些早期资产是否属于中本聪，并不是同一个问题。
安全研究员詹姆森·洛普在5月21日的分析中估计，约260万枚已经暴露公钥的比特币可能无法迁移。他使用持有人长期不活动和已知实体标签等信息作为判断代理，但这一估算并不等同于能够确认这些资产一定无法被合法持有人转移。
防护升级可能影响合法持有人
保留现有花费规则，意味着只要有人能够提供有效私钥，就仍可以花费相关资产，包括未来被攻击者恢复出来的私钥。若网络限制旧式签名，无法及时迁移资产或无法满足新型救援条件的合法持有人，可能因此失去访问权。这正是量子防护方案面临的主要权衡：提高未迁移资产的安全性，也可能压缩部分真实持有人的补救空间。
目前的BIP-360草案提出Pay-to-Merkle-Root输出类型，试图移除Taproot中可能暴露密钥的花费路径，并在公钥保持隐藏时降低长期暴露风险。BIP-361提出分阶段处理方案，包括在激活约3年后限制新的易受攻击接收目标，并在之后约两年通过救援条件进一步收紧旧式签名的使用。谷歌自身的密码学迁移时间表则把2029年设为预防性迁移目标，两者并非同一套比特币共识规则。
部分救援思路依赖采用强化派生的钱包父级秘密。攻击者即使恢复某一笔具体花费密钥，通常也无法取得额外的父级秘密。但对于直接使用P2PK的输出，相关草案作者仍将这类所有权证明视为未解决问题。
多种方案仍处于提案阶段
丹·罗宾逊在5月1日提出的PACT概念，探索利用隐私时间戳证明地址控制权。未来规则如果承认这类证据，持有人需要在量子密钥恢复成为现实前完成准备，并保存相应证明；其实际保护效果还取决于验证规则能否标准化并被生态系统采用。
2月发布的Hourglass V2草案则提出更直接的限流思路：每个区块最多处理一笔P2PK花费，并限制每个区块的净花费量不超过1枚比特币。限流可以放慢潜在攻击者的资金外流速度，但合法持有人也会受到同样约束，且资产规模较大的迁移可能需要更长时间。
这些方案目前都属于研究或提案，尚未成为比特币网络的统一规则。按照BIP流程，相关改动最终需要通过软件实现、节点运行和整个生态系统的接受。卡特提出的情景最终把争议集中到一个所有权判断上：当普通签名无法区分原始持有人与量子攻击者时，比特币网络应承认哪些控制权证明，以及无法提前迁移的合法持有人应如何获得救援。