撰文：David Christopher，Bankless

编译：Saoirse，Foresight News

10 月 21 日，Brian Armstrong 对外分享了 Coinbase 为抵御量子计算机攻击、强化比特币安全的最新思路。

相关筹备工作始于今年 1 月：Coinbase 设立独立量子顾问委员会，委员会成员包括 Scott Aaronson、Dan Boneh、Justin Drake 等密码学研究者。同年 7 月，Coinbase 联合贝莱德、富达、Strategy 等机构共同成立比特币安全联盟，承诺在未来三年内投入 1500 万美元，用于比特币安全领域的研究。 如今 Coinbase 完整阐述了构建抗量子比特币的整套构想，涵盖新型地址、签名方案以及存量资产迁移方案。

设计可迭代升级的底层方案

Coinbase 的核心理念：把存储比特币的地址容器，和解锁资产的签名机制进行解耦。地址容器用于存放比特币，签名机制则是资产的解锁方式。

目前没人能预判，长期来看哪一种抗量子签名方案兼具最高安全性与实用性。因此 Coinbase 希望设计一类地址，能够兼容多种签名算法；后续更换密码学方案时，无需对整套地址体系重新开发。

Coinbase 提出两个备选技术路线：BIP-360（P2MR），该升级草案将引入新型比特币地址，降低量子攻击的暴露风险；另一套方案是 P2TRv2，这套地址架构可支持抗量子签名。

两套方案都能满足 Coinbase 追求的灵活性，但单独使用都算不上完整解决方案。尤其是 BIP-360，仍需配套额外升级，才能支持抗量子签名。

Coinbase 还提出混合地址构想：用户既可沿用现有签名，也可使用抗量子签名来花费同一笔资金。 但该方案存在短板：只要旧签名方式仍可使用，这笔资金就依旧面临量子攻击威胁。混合地址只能作为过渡手段，并非长久之计。

遴选适配的签名算法

在确定地址设计要具备灵活性这一核心原则后，下一个关键问题：比特币应当选用哪一种抗量子签名算法。

Coinbase 列出四项候选方案：

• ML-DSA：基于格密码、已完成标准化，综合表现均衡；缺点是签名数据体积较大。
• SLH-DSA：同样已标准化，依托成熟哈希函数构建；签名尺寸比 ML-DSA 更大。
• FN-DSA（Falcon）：签名体积更小，但安全落地实现难度高，尚未完成标准化。
• SHRINCS：专为比特币设计的实验性方案，签名体积较小，但对密钥管理的要求十分严苛。

Coinbase 提议比特币评估的 4 种抗量子签名候选算法：基于格的 ML-DSA、FN-DSA (Falcon)，基于哈希的 SLH-DSA、SHRINCS，各自在签名大小、实现难度、是否有 NIST 标准上各有优劣。

方案取舍中最大矛盾来自签名大小。抗量子签名的数据体量远大于比特币当前使用的签名，会占用更多区块空间，可能降低网络交易吞吐量，推高交易手续费。

因此 Coinbase 建议，从安全性、使用成本、处理速度、硬件钱包兼容性、高危比特币资产迁移周期等多个维度，评估不同方案。

另一项需要考量的因素是密钥管理模式。

有状态签名：要求用户记录每一把签名密钥的使用记录。如果从旧钱包备份恢复后，不慎重复使用密钥，攻击者就能够伪造签名、盗取资产。 既然存在风险，为何还要考虑？优势在于效率。有状态签名的体积可以做得更小，有望维持较低手续费，但风险随之增加。所以 Coinbase 建议比特币同时支持无状态签名，无需跟踪密钥使用状态。

除此之外，Coinbase 希望签名方案能够适配机构托管服务商。不少机构托管业务采用多方签名架构，私钥会拆分存储在多台服务器上。部分格密码方案更适配这类架构，兼容性也是重要评估指标。

当然，Coinbase 自身存在商业层面的考量。作为比特币规模最大的托管机构之一，它希望升级方案能够兼容自身的安全基础设施。但机构持有大量比特币，它们的需求对整个比特币生态而言同样不可忽视。

分阶段推进资产迁移

选定签名方案之外，Coinbase 的目标是制定清晰的路线图，引导比特币资产逐步迁移至抗量子地址。

方案规划了五个潜在实施阶段：

1. 早期试用阶段：允许用户自愿将资产转移至抗量子地址。
2. 混合地址阶段：启用混合地址，同时兼容传统签名与抗量子签名，实现平稳渐进过渡。
3. 安全迁移阶段：探索转账时隐藏公钥的技术手段，缩小量子攻击的暴露面。
4. 新规则落地阶段：逐步限制向存在安全隐患的旧地址转账，最终禁止从旧地址发起资产花费。
5. 最终收尾阶段：制定旧地址内剩余资产的处置规则，可选方式包括设置迁移截止时间、资产冻结、限制交易额度或是搭建资产恢复机制。

Coinbase 提出的比特币迁移至抗量子地址的 5 个阶段备选方案：从用户自愿升级、混合地址过渡、隐藏公钥降低风险，到逐步限制旧地址，最后决定遗留旧地址资产的处置方式。

Coinbase 并未敲定任何最终方案。现阶段首要工作是评估各类方案的可行性，包括未升级钱包与节点的兼容表现，再据此确定最终方案。

单独处理休眠与丢失的比特币

接下来是最具争议的议题：长期静置不动的比特币该如何处置？

数百万枚比特币存放在公钥已经泄露的旧地址，其中包含中本聪挖出的区块奖励。一部分属于长期持有者，另一部分可能已经永久丢失。

这类资产是量子攻击的重点目标。如果有人秘密研发出高性能量子计算机，就可能在整个行业察觉风险之前盗取这些比特币。

Coinbase 既不主张直接冻结或强制回收，也不建议放任不管。相反，它提议将休眠币争议与签名升级两件事分开讨论，避免围绕休眠比特币的分歧拖累全体用户的量子安全升级进程。

如果要搭建资产恢复机制，Coinbase 提出两项硬性前提：

• 机制本身必须具备抗量子特性：攻击者仅凭泄露的公钥，无法借助这套恢复机制窃取资产。
• 必须覆盖各类极端场景：针对持有者丢失恢复凭证、系统高负载、用户错过截止期限等情况，都要有应对预案。

总而言之，Coinbase 将这份提案视为公开研讨的参考材料，而非最终落地蓝图。没有任何一家企业或开发者能够单方面决定比特币的发展方向，在整个生态达成共识的难度，甚至超过密码学技术本身的研发。