持有全部比特币5%的Coinbase：量子防御应从现在开始

如果有人造出一台足够快的量子计算机，能破解你的比特币钱包安全并抽走你的币，会怎样？ 这是许多人关心的问题，因为一些预测认为，这种量子机器虽然今天尚不存在，但可能几年内就会到来。 在纳斯达克上市的加密货币交易所Coinbase（COIN，股价181.88美元，市场已收盘）为其客户——包括银行、资产管理公司和对冲基金——持有当前全部已存在比特币的约5%。该公司在一篇新博客文章中分享了对这一问题的看法，阐述了它认为比特币需要如何做，才能抵御“潜在的未来”量子威胁。 其第一点是现在就开始准备，而不是等风险到来，并将丢失比特币的问题单独处理。 要理解该交易所的建议，有必要先了解比特币的“锁”如何运作，以及量子计算机如何破解它们。 把比特币钱包想象成一个顶部有狭长投信口的邮箱，钥匙只由所有者保管。任何人都可以往里投信的可见投信口，就是钱包的公钥。相较之下，私钥是打开箱子的实体钥匙。私钥严格掌握在所有者手中，对外界不可见，并保障钱包中的比特币安全。 当用户发送比特币时，其钱包使用私钥生成数字签名，这是一种防篡改的“印章”。网络会用用户的公钥进行校验；如果匹配，交易便获批准。 比特币区块链使用两种方法——ECDSA和Schnorr——来创建和验证这些数字签名。它们目前极其安全，因为当前计算机的算力不足以破解这些技术背后的数学难题，也无法从数字签名或公钥反推出用户私钥。 根据谷歌研究人员的说法，一台足够强大的量子计算机可能在2029年前出现，而它恰恰可以做到这一点：从公钥反推出私钥，并掏空持有者的比特币钱包。 研究人员将具备这种能力的机器称为“密码学相关量子计算机”（CRQC）。 提出的解决方案是后量子密码学（PQ）。通俗地说，就是能够抵御量子攻击的新签名方法。 Coinbase认为，仅仅选择一种新的安全方法还不够。他们相信，要完成保护比特币免受量子计算机攻击的升级，必须同时保障旧资金和新资金的安全，适应比特币有限的数据空间，并让普通计算机继续运行网络。该方案还必须适用于大型加密平台和普通用户，同时为那些可能永远不会移动的旧币提供清晰的处理计划。 此类努力需要立即开始，主要因为比特币的去中心化设计虽然常被赞为优于中心化机构的优势，却也让实施变更变得困难。 正如该交易所所说，“比特币共识变更和生态系统迁移可能需要数年。”因此，相关工作需要“远在任何CRQC公告之前”就开始。 比特币开发者已经在考虑构建量子防御的提案。 将“容器”与签名分离：简而言之，比特币的设计应使其交易格式能够支持新的后量子签名类型，而无需重建整个系统。这样，随着时间推移，添加、替换或组合抗量子签名会更容易。Coinbase表示，P2MR（BIP-360）和P2TRv2这两项提案似乎提供了这种灵活性。 分阶段保护：Coinbase支持一种做法，即让活跃钱包在比特币最终确定旧签名类型规则之前，就开始使用抗量子或混合签名。一种可能的过渡方案是“二选一”设置：同一笔比特币既可以用传统ECDSA或Schnorr密钥花费，也可以用后量子密钥花费。这将让用户能更早保护资金，而不必强迫所有人立即切换，也避免突然失去访问权限的风险。 状态的使用：一些后量子签名方案需要钱包在每次签名后跟踪称为“状态”的信息。这些方案使用许多一次性签名密钥，钱包必须记住哪些已经使用过，以确保永不重复使用。如果钱包从旧备份恢复或未能保存该记录，可能意外重复使用密钥。这可能让攻击者伪造有效签名。有状态签名可以更小、更快，但更容易被误用。Coinbase认为，如果比特币支持它们，也应支持不需要这种记录保存的无状态选项。这将为用户和钱包开发者提供更安全的选择，并降低资金损失或交易被伪造的风险。 稳健实现：Coinbase希望评估过程高度重视这样的软件：跨平台可靠运行、在各处一致验证签名、避免通过时序泄露机密信息、使用清晰设置，并且即使签名时使用的随机数生成器失效也仍然安全。这将使抗量子比特币钱包更可靠，并降低漏洞、黑客攻击或资金损失的风险。 对MPC友好：对Coinbase及其许多客户而言，后量子方案必须与多方计算（MPC）良好配合。若实施得当，MPC有助于防止私钥被盗，并为系统持续遭受攻击的大型组织增加重要安全层。这将使交易所、托管机构和大型企业更容易保护比特币，而不必依赖单个人或设备持有密钥。 为迁移较晚的钱包保留路径：如果比特币最终限制或终止ECDSA和Schnorr花费，一些人可能仍有资金留在旧钱包格式中。Coinbase认为，考虑这些用户日后是否以及如何能将资金转移到量子安全输出，会很有用。正确方法及其取舍仍是未决问题。这有助于防止部分用户因未及时升级而被锁在自己的比特币之外。相关讨论可以与添加后量子签名支持的技术工作并行、但分开进行，因此不必拖累后者。 最后，并非所有人都会及时升级到后量子方案，尤其是长期休眠的钱包。其中一些属于已经丢失密钥的人。还有一些比特币存放在公钥已暴露的旧地址类型中。 Coinbase担心，有人可能悄悄造出量子机器，并“在公众知晓之前”就开始从这些钱包中抽走比特币。 该交易所没有就如何处理这些币选边站，但表示相关辩论应单独处理，以免拖延对其他人的保护。它强调，任何“救援”方案都应是量子安全的，否则盗贼可能利用救援方法本身。