SHA-256 参与比特币的挖矿与区块链接。2010 年，有人问它被破解后怎么办，中本聪分别谈了有预警的迁移，以及突然失效后的处置。
他当时怎样看待被破解的可能？
2010 年，中本聪区分了普通算力增长与破解方法的突破，并据此表达了对 SHA-256 的信心。以下是他当时的判断。
SHA-256 非常强。它不像 MD5 到 SHA1 那种渐进的一步。除非出现某种重大的突破性攻击，它可以用上几十年。
在我们有生之年，SHA256 不会被摩尔定律式的算力提升攻破。如果它会被攻破，那会是某种突破性的破解方法。能把破解 SHA256 所需的计算量降到可行范围的攻击，很可能也会顺带重创 SHA512。
逐渐暴露弱点：提前迁移，保护旧账
他的设想包含两个动作：约定启用新算法的区块高度，以及给旧区块保存新哈希。
如果哈希是逐渐失效的，我们可以有序地过渡到新哈希。软件可以被设定为在某个区块号之后开始使用新哈希。所有人都必须在那时之前升级。软件可以保存所有旧区块的新哈希，确保无法使用一个与旧哈希相同的不同区块。
突然被彻底攻破：先确认哪段历史可信
他设想先确认攻击发生前的诚实链，再换算法继续。原帖没有给出参与者如何达成这项共识的完整方案。
如果 SHA-256 被彻底攻破，我想我们可以就"麻烦开始之前哪条是诚实的区块链"达成共识，把它锁定，然后用新的哈希函数从那里继续。
补充：量子计算还会威胁付款签名
以下为本站补充的技术背景。SHA-256 哈希与付款签名承担不同任务，量子算法对它们的影响也不同。
对于哈希，Grover 算法理论上能加速搜索，例如根据一个哈希值寻找对应的输入。实际攻击还受到量子硬件与计算成本的约束；这种加速本身，不能等同于 SHA-256 已被实用攻破。
对于签名，比特币使用的 ECDSA 和 Schnorr 都基于椭圆曲线。足够强大的容错量子计算机，理论上可用 Shor 算法从已知公钥推算私钥，进而伪造花费签名。应对这类风险，还需考虑抗量子签名升级和已有资金的迁移，仅更换挖矿哈希无法解决。
读完这几段原话
中本聪设想过更换算法、延续账本，但实施需要提前准备与网络协调。量子计算带来的签名风险，还涉及谁有权花费现有资金，需要单独处理。