Coinbase 提出保护比特币免受量子威胁的方案

Coinbase 敦促比特币开发者开始为量子计算威胁做好准备，并在 10 月 13 日的一份技术论文中警告称，升级这种加密货币的安全性可能需要数年时间。

Coinbase 于周二发布了其建议，概述了比特币如何逐步采用抗量子数字签名，同时保护现有钱包和机构持仓。该公司表示其托管着约 5% 的全部现有 BTC，并呼吁采用灵活的交易设计、更强的钱包保护，以及一个不依赖于解决所有关于旧币争议的迁移过程。

Coinbase 警告称比特币量子安全升级可能需要数年时间

在其 10 月 13 日的论文中，Coinbase 解释说，比特币向抗量子安全性的转变不仅仅涉及引入一种新的数字签名算法。开发者必须考虑交易费用、网络容量、钱包兼容性以及比特币节点独立验证交易的能力。

该公司警告称，共识变更和钱包迁移通常需要数年的规划和协调。它鼓励开发者在一台强大到足以破解比特币现有加密签名的量子计算机被研究人员展示出来之前就开始准备。

比特币目前依赖椭圆曲线密码学，包括 ECDSA 和 Schnorr 签名，来授权交易。一台足够强大的量子计算机理论上可以从已暴露的公钥中推导出私钥，从而使攻击者能够在未经授权的情况下花费资金。

该提案并未声称这种机器目前已经存在，也未声称比特币的加密保护已被破解。Coinbase 将这一威胁描述为一种未来的可能性，需要在所需技术变得可用之前做好准备。

该公司已经开始为其自身的托管系统做好后量子安全准备。其工作包括与比特币研究人员进行讨论、为开源项目做出工程贡献，以及参与比特币安全联盟。

此前Coinbase 对比特币量子风险的研究呼吁在实际的量子攻击者出现之前就开始迁移规划。该公司的独立顾问委员会支持开发保护性技术，同时将有关无法访问或被遗弃资金的决定留给比特币的治理流程。

Coinbase 10 月发布的文件通过确定钱包、交易格式和机构托管的技术要求，推进了这一讨论。该公司强调，其建议仍然是对持续开发过程的贡献，而不是对比特币未来安全设计的最终决定。

Coinbase 支持 BIP-360 和灵活的比特币钱包

在提出的技术方案中，Coinbase 认为 BIP-360 和 P2TRv2 是值得考虑用于比特币过渡的设计。两者都试图提供灵活的交易结构，以容纳新的数字签名系统。

BIP-360 引入了 Pay-to-Merkle-Root，即 P2MR，这是一种基于比特币现有 Taproot 架构提出的交易输出类型。该设计移除了 Taproot 的密钥路径花费选项，因为该选项会暴露公钥，而公钥可能容易受到足够强大的量子计算机的攻击。

官方 BIP-360 规范将 P2MR 描述为一项拟议的软分叉变更，旨在防范涉及公钥的长期暴露攻击。它并未独立引入后量子签名算法，也无法阻止所有可能的量子攻击。该提案仍处于草案状态。

Coinbase 提出，灵活的输出设计可以让开发者引入或替换加密算法，而无需每次都重新设计比特币的交易结构。这种灵活性需要为交易验证、花费权限和签名识别制定明确的规则。

该公司特别建议，在相关标准可用后，研究包括 ML-DSA、SLH-DSA 和 FN-DSA 在内的后量子签名算法。它还将 SHRINCS 这一拟议的紧凑型基于哈希的签名设计列为另一个需要进一步评估的候选方案。

根据 Coinbase 的说法，开发者在选择方案之前，应评估签名大小、处理速度、交易费用和硬件兼容性。在发生大规模迁移时，更大的签名可能会增加区块空间需求并提高交易成本。

此前在比特币量子测试网上的 BIP-360 测试展示了实验性的 P2MR 交易。3 月，BTQ Technologies 报告称其测试网络已支持地址创建、资金注入、签名和交易确认。该实现并不代表 BIP-360 已在比特币主网上激活。

比特币钱包可能同时支持新旧签名

就迁移本身而言，Coinbase 建议评估一种分阶段系统，允许比特币用户在旧签名被停用之前采用更强的保护措施。

一种可能的方法涉及具有两种替代花费方式的混合钱包。用户可以通过现有的 ECDSA 或 Schnorr 签名授权交易，同时一个单独的后量子密钥将提供另一条花费路径。

Coinbase 将这种安排描述为一种潜在的 1-of-2 构造。该设计可以让用户在不等待开发者敲定未来管理旧比特币签名政策的每一个细节的情况下，朝着抗量子安全性迈进。

该公司提议为早期采用者评估仅限后量子的输出，以及旨在减少交易期间公钥暴露的机制。未来对向旧地址类型付款可能施加的限制将需要单独考虑。

机构托管带来了进一步的要求。Coinbase 表示，新的签名系统应保持与多方计算（MPC）兼容，这是一种允许若干参与方或系统参与加密签名的安全技术。

Coinbase 对有状态签名算法表示特别担忧，这类算法要求系统在多次签名操作之间跟踪信息。重复使用签名状态可能会造成安全弱点，包括潜在的签名伪造。

根据该论文，大型托管机构在多个服务器和地点运行签名基础设施。如果记录丢失、重复或恢复不当，在这些系统之间协调有状态签名可能会带来运营困难。

该公司建议，如果比特币最终支持有状态后量子算法，应保留无状态签名选项。开发者应向钱包提供商提供明确说明，以管理签名状态并在失败后安全恢复。

此前Coinbase 在后量子托管方面的工作研究了机构如何在比特币开发者选定最终标准之前为不同的加密系统做好准备。9 月的讨论包括涉及可编程硬件安全模块的潜在替代方案。

Coinbase 敦促就丢失的比特币展开单独辩论

另一个未解决的问题涉及存放在旧钱包中、可能永远不会迁移到抗量子地址的比特币。

Coinbase 指出了几个需要关注的类别，包括公钥已公开暴露的钱包、休眠持仓、丢失私钥以及与该加密货币最早年份相关的比特币。

其中一些代币可能仍处于合法所有权之下，而另一些则可能永久无法访问。该公司表示，未来的迁移政策需要考虑，在针对旧式签名的限制生效后，此类资金是否能够转移。

该论文讨论了可能的恢复方法，涉及钱包种子信息、密码学证明和交易承诺。Coinbase 警告称，任何恢复机制都必须能够抵御仅能访问已暴露公钥的攻击者。

这一问题已出现在不同的比特币开发提案中。BIP-361，标题为《后量子迁移与旧式签名日落》，提议在后量子输出系统可用后逐步限制旧式签名。其草案描述了一个分阶段迁移方案，随后对旧式交易实施更严格的规则。

BIP-361 仍是一项提案，尚未被激活。其作者概述了一个可能的时间表，包括初始过渡期以及随后对旧式花费的限制，而恢复安排仍有待进一步研究。

Coinbase 建议将此类决策的讨论与后量子签名的技术开发分开进行。该公司表示，关于无法访问资金的争议不应妨碍对活跃钱包保护措施的研究工作。

该论文指出了进一步的测试需求，涉及交易验证、硬件钱包、费用成本、区块传播以及转移可能易受攻击的比特币持仓所需的时间。Coinbase 呼吁建立一个可复现的评估流程，在真实的网络条件下比较替代签名系统。

其10月13日发布的文件并未为比特币用户设定迁移截止日期，也未认可某一特定的最终签名算法，或宣布拟议的激活日期。该公司表示，其下一步工作将继续通过与研究人员、开发者和开源贡献者的讨论来推进。