作者：Omkar Godbole

编译：深潮 TechFlow

深潮导读：量子风险正在从"远期尾部风险"变成机构托管方的现实议程。作为替银行、资管和对冲基金托管约 5% 比特币的上市公司，Coinbase 首次系统给出立场：先上灵活的抗量子签名、分阶段迁移、兼容 MPC 托管，并把最具争议的"沉睡币/丢失币怎么处理"剥离出去，避免拖累整体升级。这份清单基本就是机构资金眼中比特币量子迁移的路线图。

如果有人造出了一台足够快的量子计算机，能够破解你比特币钱包的安全防护并把你的币吸走，那该怎么办？

这是所有人都在关心的问题，因为一些预测认为，这样的量子机器虽然今天还不存在，但可能在几年内出现。

纳斯达克上市加密交易所 Coinbase（COIN）目前为包括银行、资产管理公司和对冲基金在内的客户托管着约占全部现存比特币 5% 的比特币。它在一篇新的博客文章中分享了自己对这个问题的看法，阐述了它认为比特币需要做些什么，才能在面对"潜在的未来"量子威胁时保持安全。

它的第一个观点是：现在就开始准备，不要等风险到来，并且把丢失币的问题单独处理。

要理解这家交易所的建议，先了解比特币的"锁"如何运作、以及量子计算机如何能打破它们，会很有帮助。

锁与钥匙

可以把比特币钱包想象成一个邮箱：顶部有一条窄窄的横向投信口，钥匙只由主人持有。这个可见的投信口——任何人都可以把信投进去——就是钱包的公钥。相比之下，私钥就是打开邮箱的那把实体钥匙。私钥严格掌握在主人手中，外界看不到，它保障着钱包里比特币的安全。

当用户发送比特币时，钱包会用私钥生成一个数字签名，相当于一枚防篡改的印章。网络会用用户的公钥来核验它；如果匹配，交易就被批准。

比特币区块链使用两种方法来生成和验证这些数字签名，分别叫 ECDSA 和 Schnorr。目前它们极其安全，因为现有计算机的算力还不足以破解这些技术背后的数学，也无法从用户的数字签名或公钥反推出其私钥。

量子风险登场

一台足够强大的量子计算机——据谷歌研究人员称，这样的机器可能在 2029 年出现——恰恰能做到这一点：从公钥反推出私钥，并清空持有者的比特币钱包。

研究人员把具备这种能力的机器称为"密码学相关量子计算机"，即 CRQC。

提出的解决方案是后量子（PQ）密码学。用大白话说，就是能抵御量子攻击的新签名方法。

在 Coinbase 看来，仅仅选一种新的安全方法是不够的。他们认为，一次完整的、保护比特币免受量子计算机威胁的升级，必须同时保护旧资金和新资金，能塞进比特币有限的数据空间，并让普通计算机继续运行网络。它还必须同时适用于大型加密平台和普通用户，并对那些可能永远不会移动的老币给出清晰的方案。

Coinbase 希望现在就行动

这类工作需要立即启动，很大程度上是因为比特币的去中心化设计——它常被誉为相对中心化机构的优势——也让实施变更变得困难。

正如这家交易所所说："比特币共识变更和生态迁移可能需要数年时间。"这就是为什么工作需要"远早于任何 CRQC 公告"就开始。

比特币开发者已经在考虑构建量子防御的提案。

Coinbase 提出的措施

将"容器"与签名分离

简单来说，比特币的设计应当让其交易格式能够支持新的后量子签名类型，而无需重建整个系统。这将使随时间推移添加、替换或组合抗量子签名变得更容易。Coinbase 表示，P2MR（BIP-360）和 P2TRv2 这两项提案似乎能提供这种灵活性。

分阶段保护

Coinbase 支持这样一种方案：在比特币最终确定旧签名类型的规则之前，就让活跃钱包开始使用抗量子签名或混合签名。一种可能的过渡方式是"二选一"（1-of-2）设置：同一笔比特币既可以用传统的 ECDSA 或 Schnorr 密钥花费，也可以用后量子密钥花费。这将让用户更早地保护资金，而不必强迫所有人同时切换，也不会冒突然无法访问资金的风险。

"状态"的使用

一些后量子签名方案要求钱包在每次签名后记录一些信息，称为"状态"。这些方案使用许多一次性签名密钥，钱包必须记住哪些已经用过，以确保永不重复使用。如果钱包从旧备份恢复，或者没能保存这条记录，就可能意外重复使用某个密钥。

这可能让攻击者伪造出有效签名。有状态签名可以更小、更快，但更容易被误用。Coinbase 认为，如果比特币支持有状态签名，也应同时支持不需要这种记录的无状态选项。这将为用户和钱包开发者提供更安全的选择，并降低资金丢失或交易被伪造的风险。

稳健的实现

Coinbase 希望评估过程高度重视这样的软件：能在各平台上可靠运行、在任何地方都一致地验证签名、避免通过时序泄露秘密信息、使用清晰的参数设置，并且即使签名时使用的随机数生成器失效也依然安全。这将使抗量子比特币钱包更加可靠，并降低出现漏洞、被黑或资金丢失的风险。

对 MPC 友好

对 Coinbase 及其许多客户而言，后量子方案必须能很好地与多方计算（MPC）配合。只要实施得当，MPC 有助于防止私钥被盗，并为持续面临系统攻击的大型机构增加一层重要的安全保障。这将让交易所、托管机构和大型企业更容易保护比特币，而无需依赖单个人或单台设备来持有密钥。

为迟迁移的钱包留一条路

如果比特币最终限制或终止 ECDSA 和 Schnorr 花费，一些人可能仍有资金留在旧的钱包格式中。Coinbase 认为，值得考虑这些用户是否、以及如何能在之后把资金转移到量子安全的输出中。正确的做法及其取舍仍是悬而未决的问题。这将有助于防止一些用户因未能及时升级而被锁在自己的比特币之外。这一讨论可以与添加后量子签名支持的技术工作同时、分开进行，因此不需要拖延那项工作。

被遗忘的币

最后，并不是每个人都会及时升级到后量子方案，尤其是那些长期沉睡的钱包。其中一些属于已经丢失密钥的人。还有一些比特币存放在已暴露公钥的旧地址类型中。

Coinbase 担心，有人可能悄悄造出一台量子机器，并在"公众知情之前"就开始从这些钱包中吸走币。

这家交易所没有就如何处理这些币表态，但表示这场辩论应单独进行，以免拖延对其他人的保护。它强调，任何救援方案都必须是量子安全的，否则窃贼可能利用救援方法本身。