Christine Kim 详解比特币(BTC)抗量子四方案路线图

Bitcoin的量子防御正在成形

Bitcoin(BTC)开发者正把多年来零散的研究整合成一套针对量子计算风险的协同应对方案。研究员Christine D. Kim于2026年9月14日在X上发布的评估报告显示,她将四条并行的努力——BIP-360、SHRINCS、Lifeboat和DropKick——梳理为这张网络潜在量子安全路线图的组成部分。威胁模型的核心是具备密码学相关能力的量子计算机(CRQC):一台强大到能从区块链上已经公开的公钥反推出私钥、并抢在真正的持币者之前发起欺诈性转账的机器。目前尚无任何已知设备能做到这一点,但长期沉睡的币背后,公钥始终处于永久可见状态,这正是上述提案所针对的敞口。

@christine_dkim · X 帖子

X平台上的评估原文.

在 X 上查看

BIP-360是一项仍处于草案阶段的软分叉提案,引入名为Pay-to-Merkle-Root(P2MR)的新输出类型。将资金转入P2MR输出的用户可以把公钥一直藏到花费的那一刻,并持有多条花费路径——这是一种预防性设计,消除了Bitcoin (BTC)现行模式中固有的长期敞口:在现行模式下,花费时公钥必然暴露。这类向后兼容升级在网络上有先例,最早可追溯到Segregated Witness(SegWit)。由Blockstream研究员开发的SHRINCS是配套的签名层:一种基于SHA-256的哈希后量子签名方案——SHA-256正是保障Bitcoin工作量证明挖矿的同一函数——不引入任何新的数学假设。据该草案的贡献者介绍,其公钥长度为48字节,最小签名为548字节,无状态方案为5,777字节——比同类的哈希后量子设计大约小一个数量级,且验证速度更快。不过SHRINCS仍处于实验阶段,其规范尚未通过独立的安全审查。四项提案目前没有一项在网络上生效——每项都停留在草案或研究阶段,评估报告本身也明确指出了这一点。

Lifeboat与DropKick瞄准已暴露的币

更棘手的问题在于从不迁移的长期HODL群体。如果CRQC在持币者把币从旧地址格式中转出之前就出现,攻击者从暴露的公钥反推出私钥后,便可抢先完成提取并夺走这些资金。两个救援协议瞄准的正是这一群体:其一是Lifeboat,出自Tadge Dryja——这位研究员以参与Lightning Network和Utreexo的工作而广为人知;其二是DropKick,出自Bitcoin Core贡献者conduition,其开发工作由Brink开发基金资助。两者都建立在承诺-揭示(commit-reveal)构造之上:用户在链上证明自己在任何攻击者之前就掌握特定的地址信息,从而为一笔救援交易确立优先权。

在这份评估发布前数周,Dryja曾在纽约的一场Bitdevs开发者聚会上介绍Lifeboat,并已给出更深一层的设计:在链上证明CRQC的存在,并借此自动触发一次软分叉。conduition于2026年8月末发布了SHRINCS的BIP草案——比Lifeboat的展示仅晚一天——而据支撑这份分析的开发者访谈,他刻意让DropKick的激活机制保持悬而未决。待解的问题不断累积:SHRINCS的安全证明尚未完成,测试向量不足,也还没有第三方对其规范进行审查。其签名体积约为今日Schnorr签名的10倍,且在密钥重用或无状态回退的情况下会进一步膨胀;conduition正在研究能把多个签名压缩为单一证明的聚合技术,借鉴了Ethereum开发者的研究成果。一旦CRQC真正出现,那些无法动用的“丢失”Bitcoin (BTC)将如何处置,同样没有答案。两个救援协议目前都被归为建议而非已落地的代码,在共识规则改变之前,用户得不到任何实际保障。需要实时盯盘的读者可在Gate查看现货与期货的实时价格。

是草案,而非已部署代码

与路线图同时浮出水面还有一组有实操意义的测试数据:Blockstream于2026年8月公布的结果显示,基于哈希的后量子签名可以在Jade、Trezor、Ledger和BitBox02等硬件钱包上生成。这一演示的意义在于,SHRINCS的设计初衷就是控制签名体积的膨胀——多数现有的抗量子方案产生的数据远超今日的Schnorr签名,这会更快吃满区块空间、压低交易吞吐量并推高手续费。同一份材料还把BIP-360描述为结构上与Taproot相似,但有一处关键差异:直接用公钥花费的路径被移除,取而代之的是一个代表交易条件的Merkle根。值得注意的是,BIP-360本身并不能让Bitcoin完全抗量子;它针对的是公钥的长期暴露,而在交易广播到确认之间的短暂窗口内发生的更快攻击,仍然需要抗量子的签名方案来应对。

（截至 14:43 UTC） (截至UTC时间14:43)作为核心信息源,9月14日的X帖子的分量恰恰在于其明确的告诫:BIP-360、SHRINCS、Lifeboat或DropKick目前均未在Bitcoin网络上激活,且尚无任何已知CRQC能破解其密码学。截至9月15日,COINOTAG的判断是:这件事的意义在于架构层面而非即时层面——CRQC到来之前做预防,到来之后做补救,每一层都刻意保持独立。真正的门槛是软分叉共识,而那些悬而未决的成本问题——大签名占用的区块空间、SHRINCS的安全审查、丢失币的处理方式——将决定这条路线图究竟是停留在纸面,还是走向落地。