IonQ将Shor算法攻击secp256k1降至19,397个离子、每次尝试26天

2026年9月8日——IonQ发表了一则70页资源估算周二得出结论，一台拥有19,397个物理量子比特的捕获离子量子计算机，建立在该公司的行走猫建筑，每次尝试约25.7天即可计算出SECP256K1曲线上的256位椭圆曲线离散对数。

该公司在其网站上发布了该论文，附带新闻稿同一天，它推出了Superion 256平台，并在纽约证券交易所举办了2026年投资者日活动。

这份题为“的报纸在容错的捕获离子量子计算机上，26天内计算256位椭圆曲线离散对数，计算机拥有20,000个量子比特“，日期为9月3日，列出了14位作者，均位于IonQ，Thomas Häner、Felix Tripier和Jacob Young同样被列为主要作者，Michael Naehrig、Martin Roetteler、Nicolas Delfosse和John Gamble为共同作者。secp256k1是比特币和以太坊交易签名下的曲线，作者们对其进行了攻击肖尔算法.这些图表是针对该曲线的。致谢声明指出，生成式人工智能工具协助代码和图形生成、校对探索和校对，且作者本人撰写了该手稿。截至发表时，该论文尚未在arXiv上发表。

从逻辑层面看，作者写道他们减少了安德烈·施罗滕洛赫的托福利计数2026年6月，secp256k1电路从约5800万到3900万，逻辑量子比特为1457，而Schrottenloher的为1462，采用了修改后的原位乘法和专门针对曲线伪梅森素数的模平方器。

他们还推导出了一个已验证的全算法成功概率下界，该下界考虑了近似引入的相位和算术误差，取代了早期估计中使用的启发式论证。

在物理层面，作者将算法的每个组件编译为符合修改版Walking Cat设备的测量计划，统计了75,251,329个测量层，40,420,330次托福利状态注入和369,882,166次其他逻辑测量。

在托福利注入的29.5毫秒时长中对每层充电，得到25.7天的运行时间，作者将其描述为上限。组件间的路由一旦合并到算术组件中，占总量的5%。

该设备包含69个内存块，属于[[102， 22， 9]]量子LDPC代码四个CCZ魔态工厂，每个319个量子比特，24个移动猫态丛对，12个贝尔态束，四个保留给克利福德帧清除的块，以及一个34离子加载储量器。

作者移除了原有的信标量子比特行走猫设计通过取代其量子比特丢失模型，该模型将每个内存块的102个数据量子比特（即每个块207离子）从三倍减少到两倍，并用三个本地储存离子。

估算假设每门的两个量子比特门误差为$10^{-4}$，单量子比特误差为$10^{-5}$，离子损失为$10^{-7}$，泄漏为每离子200微秒操作周期$10^{-5}$。

内存代码的逻辑错误率是通过物理误差率在$5 \乘以10^{-4}$ 到$2 \乘以10^{-3}$的模拟推算得出的。将内存、工厂、测量和储槽故障合并，运行因逻辑原因失败的概率为26%。

作者根据Martin Ekerå的启发式后处理估计，端到端单次尝试成功概率为63.3%，使用Michele Mosca严格的下限估计为40.7%。他们写道，五台相同的设备并行运行将使至少一次尝试成功的概率提升至99.3%。

作者写道，之前针对同一问题的困离子估计需要120万到940万个物理量子比特。谷歌量子人工智能2026年3月估计将攻击目标设定在少于50万个超导量子比特，运行时间为18至23分钟，误差率为$10^{-3}$，2026年3月的一篇论文来自造形与加州理工学院几天后对P-256曲线对26,000个中性原子进行类似攻击。

IonQ首席执行官Niccolo de Masi在新闻稿中表示，他在2025年已指出Q日视野正从2030年代转向2020年代，公司有望在2027年开发出容错的1万物理量子比特系统。

IonQ量子计算总裁Chris Ballance表示，这篇论文证明了而非假设了完整计算成功概率的下界。IonQ量子应用研发副总裁兼合著者Martin Roetteler表示，曾经需要数百万物理量子比特的计算，如今已在公司规划中装配到2万量子比特的机器上。

IonQ表示，在发布前已与美国政府和行业合作伙伴共享了预先副本，并表示其暂时不公开具体电路，这与近期类似研究的做法相符（不过，最近隐瞒信息的方式并没有奏效).公司表示，此次暴露涉及认证和完整性，而非机密性，ML-DSA（晶体-二硫化锂）和SLH-DSA（SPHINCS+）不受此类结果影响。

IonQ的已发布的路线图计划在2027年实现10,000个物理量子比特，2028年实现20,000个，逻辑量子比特为1,600个。公司2025年6月路线图公告将2028年系统描述为两块相互连接的芯片，当前路线图表列出了2029年的光子互联。

在单独发行公司周二表示，其Superion 256系统是一个256个量子比特的平台，采用其SkyWater子公司制造的芯片上电子量子比特控制，2027年可通过客户交付下订购，后续的Superion 10K预计将在2027年实验室环境中达到容错能力，2028年投入商业化。

IonQ当前的商用一代Tempo是100量子比特级系统，路线图2026年范围为100至256个物理量子比特。IonQ股价在当天上涨约7%，数小时内，关于量子计算机26天内破坏比特币的头条，估计在贸易和金融媒体上流传。

我的分析

到了下午中段，这则新闻有了头条新闻，但那并不是报纸的标题。量子内幕将26天的数字当作一台能突破比特币曲线的机器来计算。Investing.comAI辅助项目破解了“比特币加密”，StockTitan转载该新闻稿，称其为未来量子计算机破解比特币签名码。

量子时代精神标题中问“26天内击破比特币？”，告诉读者该计算非理论，并将2030年代提出的威胁推迟。论文还称该论文为同行评审;没有相关期刊或综述记录，IonQ在其网站上发布，且我查时不在arXiv上。

每次重印都引用IonQ的说法，硬件与2028年左右的路线图相符，到了晚上，我收件箱里的问题是比特币是否会在2028年崩溃。论文是这样说的。

一台拥有19,397个离子的机器，无人建造，每次尝试恢复一个secp256k1密钥需要25.7天，成功率为41%或63%，具体取决于论文的两种估计，且以IonQ在两个离子上展示的误差率计算。

IonQ 2028年路线图条目承诺逻辑误差低于$10^{-7}$，但未说明该数字具体指什么;该设计中的内存块建模为每周期10美元^{-11}$，工厂每州低于$10^{-9}$。

IonQ 承诺该线路提供$10^{-7}$，但未承诺$10^{-11}$，因此在路线图中，公司未承诺该设计的要求。今天任何链条都没有损坏。

2017年，Martin Roetteler、Michael Naehrig、Krysta Svore 和 Kristin Lauter 发表了参考成本对256位椭圆曲线进行量子攻击：2330个逻辑量子比特和大约$1.3乘以10^{11}$的托福利门，且不特定机器上。

九年后，Roetteler和Naehrig与Thomas Häner合作，来自2020年续作签署一份在一家硬件公司发表论文的文件，该文件定价同样攻击的1457个逻辑量子比特和3900万托福利斯，运行时间为19397离子的命名机器，运行时间为数天。

我从那时起就一直争论我对为什么ECC是最容易的量子靶的分析曲线在分解后被忽视，一旦有人关注，成本会迅速下降。这股热潮在三月到来。

这是我读过的第一篇论文，将一种模式的攻击价格精确到单个离子。

一台IonQ尚未制造的2万离子机器，每次对抗secp256k1大约需要一个月，如果模型中的每个数字都正确，每个密钥的错误率则更长。模型中的错误率与IonQ实验室在两个离子身上显示的差值。

ECC攻击的算法层面现在仅接近我六月描述的数据寄存器底线，而剩下的大部分不确定性都集中在IonQ表示将在2028年发货的硬件上。

我会分开拿报纸和新闻稿。

这份报纸为拥挤的一年增添了什么

ECDLP-256文献自三月以来每月发表一篇论文。谷歌的Babbush等人将逻辑成本降低至1200或1450个量子比特，具体取决于门极预算，并将电路保留在零知识证明后面，该证明我三月时已经补课了.施罗滕洛厄公开发布的匹配电路6月。

罗等人已达成835个逻辑量子比特7月，其宽度以门计算的确定性电路。该ecdsa.fail排行榜自此在公开场合不断刷这些常数。Schrottenloher和Luo的结果是逻辑级数、量子比特和Toffolis，没有任何机器连接。

谷歌将一台表面编码超导机附加到其数字上，精确到物理量子比特计数和运行时间，并且Cain 等人在 Oratomic在他们所谓的合理假设下附着中性原子。

六月时，我描述了ECC攻击两条曲线，这是一项算法要求，趋向于2坐标寄存器底层，约为500个逻辑量子比特，且硬件能力仍在攀升，且CRQC它们在交叉的那一刻就存在了。

本文稍微移动了第一条曲线，即5800万到3900万的托福利切割，宽度几乎不变，然后做了其他曲线未做的事：它为被困离子在各个测量层级进行机械处理。

“完全编译”在这里有明确含义。每个加法器、乘法器和查找都被降低为一个逻辑测量计划，Walking Cat设备可以按原计划执行，跨区块路由合并到组件中，而非事后估算。

计量共计7525万个测量层，4040万次托福利状态注入和3.699亿个其他逻辑测量，若干测量在排程允许的地方共享同一层。编译电路始终执行条件相位比较器，计数包括初始表格查找。

他们使用的相位定位查找效率也较低。论文附录中称，这三项注入比逻辑托福利计数3900万次高出4040万次。测量下的物理门、传输和读出来自架构的时序模型，而非枚举的脉冲序列。

早期估计对托福利斯充满电荷，其余部分抽象化，作者指出了遗漏内容。吉德尼加法器的一半成本是基于测量的临时AND未计算，托福利计数从未察觉到。

综合征提取时间来自电路本身，内存代码需27个操作周期，而之前估计任何代码均假设为平毫秒。传输、损耗、泄漏和离子重新加载均包含模型。

在该模型中，作者偏向悲观：每一层均作为完整的托福利注入充电，内存故障绑定将所有69个内存块视为26天内的数据存储，但实际上并非如此。

为了达到那个目标，建筑必须发生变化。通用的行走猫设计我在四月写了报告按作者自己的算术计算，解决这个问题至少需要411天。其T态工厂产生的态以7美元乘以10^{-8}$的逻辑误差率产生，对于一个七特斯拉托福利分解将消耗的2.73亿个T态来说，噪声过大，每次注入的成本约为40毫秒。

secp256k1装置用两能级替代了这一点魔幻状态工厂该系统直接以新的[[66， 4， 10]]代码生成CCZ态，错误率低于$10^{-9}$。每个工厂每个接受状态大约需要111毫秒，因此四个工厂合计约每28毫秒供应一次，早于消耗它们的29.5毫秒注入。

该装置增加了深度一注入电路、对不相交算符的并行cat态测量，以及Webster和Delfosse逻辑CliNR方案的流水线版本七月报纸这需要四个额外的代码块，而每个内存块需要两个，总共138个。

托福利时间从910毫秒降至29.5毫秒，提升了31倍，且全部来自架构而非电路。作者将工厂命名为“东沉积”，这是布莱恩·伊斯汀2013年托福利状态蒸馏协议与坎贝尔和霍华德“合成”的拼接，并指出非正式名称“东模”可能出现在关于该论文的粉丝歌曲中。

十四位作者将这个笑话写进了一份70页的资源估算。

论文声称这是基于量子LDPC代码构建的首个用于捕获离子的ECDLP架构。新闻稿声称这是首个完整、端到端容错的资源估计，用于运行Shor算法。

Craig Gidney的2025年5月 RSA-2048论文编译为带有魔态培养的表面代码操作，以及Webster等人的尖顶建筑对RSA-2048的QLDPC编码在10万个量子比特上做了同样的处理。

两者都没有按包含运输的编译计划对每个Clifford和测量进行充电，基于这一狭窄读数，IonQ可以声称在会计深度上是第一。论文自己的句子是有说服力的。

2万个量子比特的数字也并非新领域。Cain等人在三月份几天内将中性原子底线定为10000个，P-256攻击为26000个原子。

假设账本

论文中的每个数字都源自一个简短的输入列表。

两量子比特门错误为$10^{-4}$。引用为2025年10月结果来自牛津离子学（现为IonQ），Amy Hughes及其同事测量了两个离子之间电子控制门极（无基态冷却）的8.4美元乘以10^{-5}$。

单量子比特误差为$10^{-5}$。离子损失设定为每个操作周期门误差的千分之一，泄漏为十分之一，比例沿用自《行走猫》论文。操作周期为200微秒，传输步长为其二十分之一。

损耗模型在两篇论文之间发生了变化。在四月的论文中，失去的离子在两孔合并时会喷射出伙伴离子。这里的阱足够深，可以保持加热离子的位置随机。

作者标记为仍为简化：他们写道，物理环境更为细致，留待后续研究。内存代码的逻辑错误率为$9.34 \乘以10^{-12}$每次提取周期，但未模拟为$10^{-4}$。

直接模拟需要太多拍摄，因此作者对物理误差率从$5 \乘以10^{-4}$到$2 \乘以10^{-3}$的数据进行$p^5$的拟合，并从拟合中读取值。

根据拟合，最低模拟点接近$6 × 乘以10^{-8}$，因此设计在比最低直接模拟点低约四个数量级，且未在任何硬件上测量到任何误差率的Q102块。

这是文献中的标准做法，也是26%的来源。

内存故障是这26%中最大的一项，占23.3%。我用论文自己的拟合曲线运行，物理错误率稍低。在$1.5 \乘以10^{-4}$时，同样的保守界限使单纯内存故障率达到89%。

在$2 \乘以10^{-4}$时，论文自己的保守界限实际上使失败率达到100%。作者用自己的话说同样的话，界限是保守的，更高的码距或调谐解码器可以降低界限;更高的距离消耗量子比特，而19,397个量子比特不包括在内。

因此，19,397是模型$10^{-4}$的两个量子比特误差时的计数，单量子比特的损耗和泄漏率与之相关，在设备中持续26天。26%的总数还将五个失效机制相乘，仿佛它们是独立的;26天内的相关误差和漂移不在该算术中。

十月的测量是两个离子。这是大规模的门槛以下运营，能力在我的框架中得分最高，论文则完全停留在四月论文中。

200微秒循环是将7500万层转化为26天的唯一数值。一个周期慢两倍是51天。论文引用的$8.4 \乘以10^{-5}$门在其实验部分的斜坡时序上运行超过200微秒，因此该周期假设门比其错误率引用的门快。

我不知道当传输、冷却和读数都进入环路后，一个2万离子超离子循环需要多长时间。IonQ之外的人也不知道。

每次尝试为二十六天

25.7天是一次运行，论文模型在启发式估计中成功率为63.3%，在严格模型中成功率为40.7%。这两个数字都是算法成功率乘以论文硬件模型允许的73.5%存活率，因此严格模型依赖于与启发式模型相同的假定错误率。

因此，启发式计算下，单个密钥的预期时间约为41天，绑定模式最多约63天。论文的替代方案是五个设备并联运行，约97,000离子，启发式数据的一次尝试时钟时间内有99.3%的概率，严格算法的92.7%概率。

这些框架中的任何一种都有所支持。发布的项目符号列表确实写着每次尝试。其开头句子，也就是头条新闻引用的，说该机器预计将在不到26天内突破secp256k1，而IonQ在X上的帖子进一步以“一旦开发”和“预计能够做到”来对冲。

社交团队对此有所保留;但电报副本则没有。

将三台机器并排放置。谷歌的设计使用少于50万个超导量子比特，误差率为$10^{-3}$，完成时间为18至23分钟，或根据电路不同，触发状态为9至12分钟。

Oratomic设计在数天内使用26,000个原子生成P-256。IonQ使用19,397个离子，价格为$10^{-4}$，耗时数周。以谷歌50万个量子比特上限的量子比特日计，IonQ设计体积是其60至80倍，约为25分之一的量子比特。

谷歌的作者将该领域分为快时钟和慢时钟架构，并写道他们不指望慢时钟机（包括离子阱）来实现分钟级攻击。IonQ的设计正是从这个意义上说的慢时钟机，其数据与描述相符。

今年六月我写道，精简攻击电路会使相同的计算折叠更窄更长，折叠过程将负担转移到连续运行以及实时解码，这两项能力距离演示还很远。

这种设计就是这种折叠，专为一个门控慢且量子比特少的平台执行。

每把密钥26天的时间也改变了谁被暴露。分钟尺度的超导估计使得内存池攻击变得可思议，即在交易揭示公钥的那一刻到区块确认的那一刻之间偷窃密钥。

一台需要一个月每个密钥的机器，无法在十分钟区块间隔内做到这一点。它能做的是针对任何公开半部分已可见数周的secp256k1密钥：比特币的公钥支付输出、Taproot输出、任何先前消费暴露密钥的地址，以及所有发送过交易的外部以太坊账户。

谷歌的论文显示，支付公钥总额超过170万BTC，Taproot输出则是设计上暴露了经过调整的公钥。证书授权根、代码签名和固件密钥以及SSH主机密钥大多不使用secp256k1。

同样的数学原理也将它们暴露在各自的曲线上;另一条曲线的唯一架构层级估计，Cain等人对P-256的估计，远远没有达到这个深度。这是先信，后锻造（TNFL）我最初描述的暴露是今天签字，明天锻造2018年，IonQ的发布在签名类别上做到了正确：完整性而非机密性，可前进利用，而非针对记录流量。

它阻止了一步。区块链或证书上的公钥今天被采集，伪造日期则在后期。曲线上的离散日志求解器从以下录制的密钥交换在这条曲线上，它恢复签名密钥的速度一样快，所以保密性方面不是零;只是这不是本文的应用。

在数字资产方面，我保持诉讼资格分析哪些输出被暴露，以及原因。

该数值还有一个限制。3900万托福利斯使用secp256k1素数的形状，$2^{256} – 2^{32} – 977$，用于模方和约简。Schrottenloher的通用素域电路在相同1462量子比特宽度下成本为8400万托福利，而secp256k1为5800万，IonQ运行时间为61%的原位乘法和约三分之一的表格查找，均可随该算术扩展。

P-256是网络PKI和大部分TLS密钥协议中ECDSA背后的NIST曲线，其素数形状不同，本文未提供估算。最接近的是Cain等人在深度的P-256估计;关于 Ed25519，我一无所知。

一个关于“256位椭圆曲线签名”的标题只涵盖了 secp256k1。

幻灯片上的机器和纸上的机器

路线图2028年的条目为20,000个物理量子比特和1,600个逻辑量子比特。当IonQ该路线图于2025年6月公布，它将2028年系统描述为两个互联的10,000量子比特芯片;当前表格列出了2029年的光子互连，路线图页面表示IonQ通过连接较小系统而非构建单片系统来扩展。

Superion 10K是该设备路线图上最接近的产品，2027年实验室已实现容错能力，2028年在Ballance账户上实现商业化，IonQ尚未说明哪款产品将运行该计算。

论文中的装置是一个连续的网格。它将69个内存块和四个清帧块打包成一个9×9的阵列，顶部边缘有四个工厂，右侧有一个加载储量库，cat态在10微秒传输步长时在块间行走。

“光子”一词在论文中仅出现一次，出现在2014年的引文中。该模型没有模块间边界。如果2028年的机器是模块化的，正如IonQ的路线图语言所说，那么cat态和逻辑量子比特必须穿越连接模块的部分。

论文中没有任何说明交叉，尤其是光子链路，不是10微秒的传输步骤。我希望IonQ能说明模块如何连接以及交叉的成本。工程规模与制造性SkyWater和电子量子比特控制可能改变被困离子的故事，同时这篇论文也没有说什么。

没有人展示过的东西清单简短而具体。 IonQ 已在离子上运行 qLDPC 代码：6 月，在没有传输的 40 个钡离子的固定链上，它达到盈亏平衡具有最多 30 个物理量子位的 5 个 qLDPC 代码，其中最好的逻辑错误率每个周期每个逻辑量子位接近 1%，并且检测到的泄漏被后选择掉。本设计中的 Q102 模块的建模价格为每个周期 $9.34 \times 10^{-12}$（包含传输）。 June 的测量和 Q102 型号在代码和数量上都有所不同，从表面上看，它们之间的距离仍然是 9 个数量级，没有任何 Q102 级别的模块可以运行。 Quantinuum 的 Helios 拥有 98 个离子，是我所知道的正在运行的最大的 QCCD 设备。 $8.4 \times 10^{-5}$ 门是在两个离子上测量的，并且尚未由任何人发布数千个离子的包含传输的错误率。 26 天的运行需要在整个周期内实时解码 69 个内存块，再加上 12 个工厂块和 4 个保持编码状态的帧清除块，每秒从储存库重新加载大约 10 个离子。 4 月份的论文报道了滑动窗口解码器中 Q102 的平均解码和反应时间低于 1 毫秒，而提取周期为 5.4 毫秒；本文并没有在新的损失模型下重复该练习，一次在每个区块上进行 26 天。反对我的 CRQC量子能力框架，这是我见过的最强大的公开条目完整的容错算法集成在任何形式上，并且在低于阈值的缩放上，用演示的术语来说，它没有任何改变，解码器性能、连续运行或可制造性。仅在算法集成上得分；该论文没有报告其他功能的硬件结果。

投资者日和两条战线

新闻稿称该论文具有历史意义，是世界上首篇，并表示该机器预计将突破secp256k1。德马西表示，他在2025年就已指出Q日正逐步进入2020年代，企业和美国政府现在达成共识，并指出白宫在量子安全上的行动，第14412号行政命令6月22日的订单未明示，该命令设定了迁移截止日期和无问答日日期。

同一天早上，IonQ推出了Superion，在SkyWater收购后将2026年收入指导提升至4.5亿美元至4.6亿美元之间，并宣布与Congruity360签订818万美元的量子安全合同。

从这个语境中得出两种错误解读，我在本站对此都持反驳意见。那个Q-FUD解读是比特币在2028年被破坏。否认者读法是这是股票促销，可以忽略。

在我看来，这篇论文是对硬件平台上Shor运行最为谨慎的公开账目。新闻稿是投资者日的包装。它将一个设计的每次尝试成功率估计为41%到63%，物理错误率在两个离子上演示，写作“预期会破解”。

这两半同时成立，想要其中一部分而非另一半的读者肯定有误。

我已经读够了离子Q了解厂家风格的发布，这篇是很好的样本。这篇论文是历史性的，曾两次。该估计是全球首篇标题，也是首篇完整报道。

IonQ的方法更优越，公司处于独特位置。副标题称Q日时间线加速，而对于不存在的机器进行资源估计是无法实现的。Ballance的引言向读者保证，研究期间没有任何已部署的数字资产或加密平台受到影响，这对所有论文都适用。

相比之下，论文在结果部分写着“每次尝试”，结论中写着“我们预计未来工作会改进”。公司自家解说比大问题的发布要好，后者加粗表示没有机器能执行该攻击，而小问题则更差。

其常见问题解答描述了一个系统，其“测量错误纠正周期为29.5毫秒”。论文中，29.5毫秒是估计的注入间隔，5.4毫秒是提取周期，但两者均未被测量。

论文还说该方法直接推广到RSA-2048和TLS中的曲线，论文中没有提供任何数据。我以前经历过这个问题。五月第一季度财报电话会议中“挑战RSA-2048所需的逻辑量子比特计数”到2028或2028年，到了我的收件箱时已变成了Q-Day-by-2028，并且我写了这段空白期.四月，IonQ的博客称《行走猫》论文为公司构建容错时代的蓝图，而报纸自己的Shor演示则是对任意笔记本电脑即时整数的周期性测定汇编。

IonQ的论文谨慎，其新闻稿则不然，行业报道转载了电报稿件。

我最强烈反对的是封装部分，而被保留的电路。IonQ引用了类似近期工作的做法，那就是谷歌的。那秘密持续了63天施罗滕洛赫随后发表了独立制造的电路，成本匹配，吉德尼在他的博客上写道公开发布会更好。

在论文中所有数字中，3900万是不需要IonQ硬件验证的。它也是目前IonQ外部无人能重运行的，因为生成该流水线的编译流水线是内部的，电路被保留。

该ecdsa.fail验证器检查了整个估计所基于的点加法原语。IonQ应发布或提交电路。

我会怎么处理这个号码

对于CISO来说，论文改变了一个测序决策。签名在许多迁移计划中被排在最后，联邦方案也包括;通常的理由是信任根是最慢替换的东西，因此截止日期被设定在最后。

谷歌和Oratomic三月的论文都将256位曲线攻击的定价远低于RSA-2048攻击，基于他们自身的硬件假设，本文增加了陷阱离子编译，以及广泛部署的非RSA签名方案ECDSA和EdDSA，运行在曲线上。

ML-DSA（晶体-二硫化晶）和SLH-DSA（SPHINCS+）分别是标准化;CISO剩余的工作包括库存管理、更换交货时间和信任锚点。证书授权根源、固件签名密钥和代码签名基础设施的替换尾部以年计。

启动它们。

该截止日期已经定好了.第14412号行政命令指示指导机构在2030年底前将其高价值和高影响力系统的关键机构移至PQC，国家安全系统除外，数字签名则至2031年底，并指示FAR理事会提出规定，将受保护承包商期限至2030年12月31日。

NSACNSA 2.0自2027年1月1日起，要求其算法用于新的国家安全系统采购，并要求在2031年底前完成，以及其当前常见问题解答将固件信任根作为最紧迫的案例，因为它们的验证码在系统生命周期内被锁定。

对于这些系统，批准的签名选项包括ML-DSA-87，以及用于固件和软件签名的有状态哈希LMS和XMSS;SLH-DSA未被批准用于国家安全用途。

董事会负责资助义务，而这些日期在IonQ发布前就已确定。论文删除了将签名留到最后的借口。

有五件事能告诉我账本是否会结账：

由建造先前估算的人员（包括Gidney、Schrottenloher和Ekerå）对电路和工厂索赔进行独立审查。arXiv上的帖子会有帮助;但这不是评审本身。
Q102级qLDPC内存块在捕获离子硬件上，具有传输能力，以每周期逻辑错误率实现，接近作者假设的$10^{-11}$。
Superion 10K原型机在数千离子下检测门控和传输错误率，报告丢失和泄漏，解码器同时跟踪每个区块。
同深度P-256的汇总估算。
IonQ发布secp256k1的点加电路，或通过ecdsa.fail验证者。

2017年，这种攻击的成本是一个公式。2026年则是一个带有假设账本的楼层图。我会将该账本，而非量子比特计数，与从现在到2028年间所有IonQ硬件论文进行核对。

本文最初发表于后量子——量子计算、量子安全、质量控制.

参与讨论