托管5%比特币(BTC)的Coinbase提出分阶段抗量子迁移方案

Coinbase 10月13日发布抗量子技术文件

托管了全网现存比特币(BTC)约5%的Coinbase,在10月13日(星期二)发布了一份技术文件,呼吁比特币开发者从现在起就着手应对量子计算的威胁,公司预计这一迁移过程可能需要数年时间。完整建议已公布在该交易所的官方博客上,核心诉求包括:灵活的交易设计、更强的钱包保护,以及一套不依赖于先解决所有旧币争议就能推进的迁移流程。这份文件发布之际,比特币价格走势仍是市场关注的焦点,而Coinbase则把量子风险定位为一个工程与协调问题。比特币目前依赖椭圆曲线密码学授权交易,具体使用ECDSA和Schnorr两种签名算法。理论上,算力足够强大的量子计算机可以从已暴露的公钥中推算出私钥,让攻击者在未经授权的情况下动走资金。需要说明的是,Coinbase的文件并未断言这样的机器已经存在,也没有声称比特币网络的防线已被攻破,它只是把这一威胁当作一项未来可能落地的技术,要求在它到来之前完成准备。提案的核心是二选一结构的混合钱包:用户继续用现有的ECDSA或Schnorr签名授权交易,同时由一把独立的抗量子私钥提供另一条花费路径。这样的设计能让持币人逐步转向抗量子安全,而不必等开发者把旧签名政策的每一个细节都敲定。交易所方面还建议采用足够灵活的输出设计,使新的签名体系可以接入,而不必反复改动比特币的交易结构,同时加强对钱包和机构托管环节的防护。其约5%的托管份额分布在跨服务器、跨地点的冷钱包基础设施中,这一现实也直接决定了文件在机构层面的要求。Coinbase把这份文件定位为对正在进行的开发流程的一项贡献,而非对比特币安全设计的最终裁决。

BIP-360与灵活输出路径

在值得研究的设计中,Coinbase点名了BIP-360和P2TRv2。BIP-360引入了Pay-to-Merkle-Root(P2MR),这是一种从比特币现有Taproot架构衍生出的交易输出类型提案,它取消了会暴露公钥的密钥路径花费方式,而公钥正是未来量子机器可能瞄准的靶点。其官方草案规范将P2MR描述为一次拟议的软分叉改动,针对的是涉及公钥的长期暴露类攻击;它本身并不引入抗量子签名算法,目前仍处于草案状态,未在主网激活。Coinbase建议,待相关标准就绪后,研究ML-DSA、SLH-DSA和FN-DSA等抗量子签名算法,并点名SHRINCS这种紧凑的基于哈希的设计为另一个有待评估的候选方案。开发者在取舍时需要权衡签名大小、处理速度、交易费用和硬件兼容性,因为更大的签名会抬高区块空间需求和迁移成本。BTQ Technologies此前已在测试网络上演示了实验性的P2MR交易,覆盖地址创建、注资、签名和确认四个环节,但那项工作并不代表主链激活。在迁移路径上,Coinbase提出了一套分阶段方案,结合HD钱包结构和混合花费方式,让用户在旧签名被停用之前先行升级到更强的保护。交易所表示,新的签名体系应保持与多方计算(MPC)的兼容性,并特别警示了有状态算法的风险:这类算法会跨签名操作追踪信息,当大型托管方在众多服务器之间协同签名时,会带来伪造风险。从企业层面的战略比特币储备到交易所的托管席位,任何财库级别的持币方都面对同样的有状态签名限制。文件还单独划出了一块难题:那些可能永远无法迁移的旧钱包币,包括休眠持仓、丢失的私钥,以及比特币网络最早几年产生的币。相关草案BIP-361,标题为《后量子迁移与旧签名日落》,提议逐步收紧旧签名,同样尚未激活。Coinbase敦促,围绕无法取回资金的争议应放到比特币开发流程之外单独讨论,以免纠纷阻塞对活跃钱包的保护。

5%的托管数字没有覆盖的部分

我们的判断是:这份方案里的两份承重文件都是暂定性质的,而文件自身给出的数字也划定了它的边界。Coinbase的5%只统计其托管中的持仓,但它所描述的迁移问题,蔓延到这个数字看不见的更广人群。休眠持仓、丢失的私钥和最早年代的币,可能仍在合法所有者名下,也可能已永久无法取回。Coinbase提出,任何找回机制,无论建立在钱包种子信息、密码学证明还是交易承诺之上,都必须对只掌握一把已暴露公钥的攻击者保持安全。BIP-360草案本身也写明,P2MR既不引入抗量子算法,也无法防范所有可能的攻击。机构需求并没有因此停下:相关行情显示,富达的比特币基金单日吸走了1.098亿美元ETF净流入中的94%,而Coinbase溢价指数近期则再度转为负值。Coinbase没有设定迁移截止日期,也没有为最终的签名算法背书,两者都留给了开放的社区开发流程。