⚛️ quantum physics

A Note on Publicly Verifiable Quantum Money with Low Quantum Computational Resources

本文提出了一种仅需极低量子计算资源、基于一次性存储器和共轭编码硬件假设的公开可验证量子货币协议，该方案利用量子不可克隆原理防止双重支付，并支持数字签名功能。

原作者： Fabrizio Genovese, Lev Stambler

发布于 2026-03-16

📖 1 分钟阅读🧠 深度阅读

原作者： Fabrizio Genovese, Lev Stambler

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种**“量子钞票”的新方案。想象一下，未来的货币不再是纸做的，也不是存在手机里的数字代码，而是一种“一次性的量子光点”**。

为了让你轻松理解，我们可以把这项技术想象成一种**“带有魔法锁的盲盒”**。

1. 核心问题：为什么我们需要这种钞票？

传统的电子货币（比如比特币）需要全网记账（区块链），大家得一起商量才能确认谁有钱，这很慢且耗电。
而传统的“量子钞票”（几十年前就有人提出）有个大毛病：只有发行银行能验钞。你拿着钞票去商店，商店得打电话问银行：“嘿，这张是真的吗？”这就像你每次买东西都得让银行经理亲自到场，太麻烦了。

这篇论文的目标是：让任何人都能验钞，而且不需要超级计算机，只需要普通的量子设备（就像现在的量子密钥分发设备那样简单）。

2. 核心道具：魔法盲盒（一次性存储器 OTM）

这是整个方案的灵魂。想象你有一个**“魔法盲盒”**（文中称为 OTM，一次性存储器）：

盒子里藏着两个秘密数字（比如 A 和 B）。
规则是： 你只能打开盒子，要么看到 A，要么看到 B。
魔法在于： 一旦你选择了看 A，B 就永远消失了，而且你无法同时知道两个。这是由量子力学的“不可克隆定理”保证的——就像你不能把一张纸上的字复印两份，同时保留原件一样。

3. 钞票长什么样？

这张“量子钞票”由两部分组成：

一串魔法盲盒（OTM）： 里面藏着很多对秘密数字。
一张“防伪标签”： 上面印着这些秘密数字的“哈希值”（可以理解为数字指纹），并且由银行（发行方）盖了章。

关键点： 盲盒里的秘密数字是不可见的，只有标签上的指纹是公开的。

4. 怎么验钞？（切蛋糕法）

当你拿着这张钞票去商店时，店员不需要打电话给银行，也不需要把整张钞票拆开（那样钱就废了）。他们使用一种**“切蛋糕”**（Cut-and-Choose）的策略：

随机抽查： 店员从你的一堆盲盒里，随机挑出几个（比如 10 个）。
打开验证： 店员打开这几个盲盒，看看里面的数字。
核对指纹： 店员把打开的数字算出“指纹”，和钞票上印的公开指纹对比。
- 如果对得上：说明这几个盲盒是真的。
- 如果对不上：说明这是假钞，直接报警。
保留剩余： 那些没被打开的盲盒，依然完好无损，你可以把钞票带走，下次还能用。

为什么这样安全？

防假： 造假者不知道盲盒里藏的是 A 还是 B。如果他猜错了，打开后数字对不上，立刻被识破。
防花两次（双花）： 如果你把这张钞票花给张三，张三随机挑了几个盲盒打开验证。当你想把它再花给李四时，那些已经被打开过的盲盒就废了（因为里面的秘密已经泄露了）。李四再随机挑的时候，大概率会挑到那些“废掉”的盲盒，或者发现剩下的盲盒不够用了，从而拒绝接收。
防克隆： 因为盲盒里的量子状态不能复制，你无法把这张钞票变成两张一模一样的。

5. 这个方案的亮点

门槛低： 不需要那种能算复杂数学题的“超级量子电脑”。只需要能发射和测量单个光子（像现在的量子通信设备）就足够了。
公开验钞： 任何拥有基本量子设备的人都能验，不需要银行授权。
有限次使用： 就像纸币用久了会磨损一样，这张量子钞票每被验证一次，就会消耗掉一部分“盲盒”。当盲盒用光了，你就得去银行把它“兑换”成一张新的（就像把旧纸币换回银行换新钞）。

6. 还能用来做什么？（数字签名）

这篇论文还提到，这种技术可以变成**“一次性签名笔”**。

想象你有一支魔法笔，只能签一次名。
你可以用它来签署一份合同，证明“我在这一刻拥有这笔钱并同意交易”。
一旦签了，这支笔就废了，你无法再用它签第二份合同（防止赖账或重复承诺）。
这在赌博、投票、或者证明某时刻拥有资产等场景非常有用。

总结

这就好比发行了一种**“带魔法锁的限量版盲盒钞票”**。

银行负责发盲盒。
商家通过随机开箱来验证真伪。
量子力学保证了没人能复制盲盒，也没人能同时知道两个秘密。
虽然每次验证都会消耗一点盲盒（就像纸币会磨损），但它不需要复杂的区块链网络，也不需要超级计算机，是未来**“离线、私密、点对点”**支付的一种极具潜力的方案。

目前，作者已经把这个概念写成了代码（GitHub 上有开源项目），虽然还需要等待量子互联网和更稳定的量子存储技术成熟，但这已经是一个迈向未来的重要一步。

这是一份关于论文《A Note on Publicly Verifiable Quantum Money with Low Quantum Computational Resources》（低量子计算资源下的可公开验证量子货币）的详细技术总结。

1. 研究背景与问题 (Problem)

量子货币的局限性：量子货币的概念最早由 Wiesner 于 1970 年提出，利用量子不可克隆性解决双花问题。然而，Wiesner 的方案是私钥方案，只有发行者（银行）能验证真伪，导致每次使用都需要联系发行者，缺乏实用性。
公钥量子货币的挑战：公钥量子货币允许任何人验证真伪，无需联系发行者，这是构建实用货币的关键。但现有的公钥方案通常依赖重度的量子计算能力（如复杂的量子电路或通用量子处理器），这在当前技术条件下难以实现。
核心痛点：如何设计一种可公开验证的量子货币方案，同时最小化参与者的量子计算需求，使其仅需现有的量子通信设备（如量子密钥分发 QKD 设备）即可运行？

2. 方法论 (Methodology)

该论文提出了一种基于一次性存储器 (One-Time Memories, OTMs)、共轭编码 (Conjugate Coding) 和抗前像哈希函数的混合方案。

2.1 核心组件

共轭编码 (Conjugate Coding)：
- 利用量子态在两个共轭基（如 Z 基和 X 基）下的测量特性。
- 如果不知道测量基（ $\theta$ ），接收方只能以一定概率（3/4）正确提取信息；如果知道基，则能完全恢复信息。
- 利用这一特性，结合硬件假设，构建 OTM。
一次性存储器 (OTMs)：
- 定义：一种密码学原语，允许发送方将两个秘密值 ( $s_0, s_1$ ) 编码进设备，接收方只能获取其中一个，无法同时获取两者。
- 实现：基于 Liu 等人的工作，利用共轭编码加上安全硬件假设（如可信执行环境 TEEs，例如 Intel SGX 或 ARM TrustZone）。
- 机制：OTM 内部存储了随机比特串 $b$ 和基选择 $\theta$ 。接收方测量量子态后，OTM 硬件验证测量结果是否与 $b$ 匹配，若匹配则输出对应的秘密值。
哈希函数与签名：
- 使用抗前像哈希函数 $H$ 和数字签名。哈希值作为“标签”，预像（Pre-image）作为不可伪造的凭证。

2.2 方案流程

铸造 (Minting)：
- 发行方（Mint）生成 $\zeta$ 对哈希预像 $(\kappa_{0,i}, \kappa_{1,i})$ 。
- 计算哈希值 $H(\kappa_{b,i})$ 并签名。
- 为每一对预像生成一个 OTM 实例，其中包含编码了 $\kappa_{0,i}$ 和 $\kappa_{1,i}$ 的量子态。
- 货币由 $\zeta$ 个 OTM 量子态、对应的哈希签名以及已公开的预像集合组成。
验证 (Verification) - 切割与选择 (Cut-and-Choose)：
- 验证者随机选择 $\xi$ 个未使用的 OTM 进行“挑战”。
- 验证者随机选择测量基（0 或 1），测量对应的量子态，从 OTM 中获取预像 $\kappa$ 。
- 验证者检查获取的 $\kappa$ 的哈希值是否与公开签名的哈希值匹配。
- 消耗性：验证过程会消耗被选中的 OTM（它们被打开并验证），剩余的 OTM 保留用于未来验证。
转移 (Transfer)：
- 发送方将经典数据（哈希、签名、已公开的预像）和剩余的 OTM 量子态发送给接收方。
- 由于量子不可克隆定理，发送方无法保留 OTM 的副本，从而防止双花。

3. 关键贡献 (Key Contributions)

低资源要求的公钥量子货币：
- 该方案不需要通用量子计算机（QPU）。参与者仅需具备制备、传输和测量单量子比特的能力（即在两个共轭基下操作），这与现有的量子密钥分发（QKD）技术完全兼容。
可公开验证性：
- 任何持有公钥的第三方均可验证货币真伪，无需联系发行方。
有限次验证机制：
- 方案支持有限次数（ $N \approx \zeta/\xi$ ）的验证。每次验证消耗部分 OTM。当 OTM 耗尽时，货币需退回发行方兑换新币（类似于磨损纸币的兑换）。
向量子数字签名令牌 (QTDS) 的扩展：
- 方案可自然扩展为量子令牌，允许持有者对单条消息（或比特）进行签名。
- 签名过程消耗令牌，防止重复签名（双签），适用于投票、赌注或资金承诺等场景。
安全性证明：
- 证明了方案的不可伪造性依赖于 OTM 的模拟安全性（Simulation-security）和哈希函数的抗前像性。
- 即使攻击者试图将一张货币复制成两张，由于 OTM 的“一次使用”特性和哈希预像的不可预测性，攻击者无法通过验证的概率随验证次数呈指数级下降。

4. 结果与性能 (Results)

安全性：对于任何多项式时间的量子 adversary，伪造成功概率是安全参数的可忽略函数（Negligible）。
资源消耗：
- 量子资源消耗与最大验证次数 $N$ 呈线性增长。
- 不需要复杂的量子纠缠或大规模量子电路。
实现：作者已提供了一个基于 Rust 的概念验证库（otm_billz），并在 GitHub 上开源。
硬件依赖：依赖于安全硬件（TEE）来构建 OTM。虽然 TEE 存在侧信道漏洞，但方案具有优雅降级特性：单个硬件令牌被攻破仅影响其保护的货币，不会破坏整个系统。

5. 意义与局限性 (Significance & Limitations)

意义

近未来应用：该方案被视为量子互联网基础设施（如量子网络、长寿命量子存储）成熟后的近期可行应用。
去中心化与隐私：相比区块链，量子货币无需共识协议，具有天然的点对点（P2P）特性和隐私性（无需经济激励系统）。
技术门槛降低：将量子货币从“理论上的通用量子计算”拉回到“现有的量子通信硬件”范畴，大大加速了落地可能性。

局限性与未来工作

传输前验证 (Pre-transfer Verification)：目前接收方在接收量子态之前无法完全验证其真伪（只能验证经典部分）。如何在不占有量子态的情况下验证是主要挑战。
无限验证性：当前方案是有限次验证的。如何实现无限次验证且保持低资源需求是一个开放问题。
硬件假设：目前依赖可信硬件（TEE）。研究如何在更弱的假设下（如仅依赖受限的量子计算能力）构建 OTM 是未来的方向。
资源扩展：目前的资源消耗是线性的，探索亚线性（Sub-linear）增长的方案是优化方向。

总结

这篇论文提出了一种务实的、可公开验证的量子货币方案。它巧妙地结合了共轭编码的物理特性、安全硬件的辅助以及哈希函数的密码学强度，在极低的量子计算需求下实现了防双花和公钥验证。尽管受限于当前的硬件信任和有限的验证次数，但它为量子货币从理论走向基于现有量子通信基础设施的实际应用提供了重要的技术路径。