为什么比特币钱包制造商迈向抗量子安全的道路如此艰难

目录

• 你可能会想知道
• 主要主题
• 重点见解表
• 后续……

你可能会想知道

• 为什么更小、效率更高的后量子签名，可能给比特币用户带来新的风险？
• 为什么比特币要具备抗量子能力，可能不仅需要更改比特币网络，也需要改动硬件钱包？

主要主题

比特币托管一直要求用户和开发者管理安全风险。Trezor 等硬件钱包旨在让私钥保持离线，但量子计算的前景带来的挑战，不仅限于保护这些密钥。钱包制造商正在考虑用户将如何创建交易、设备如何验证其软件，以及如何让复杂的安全规则在日常使用中易于管理。

后量子比特币签名的领先候选方案之一是 SHRINCS，由 Blockstream 研究总监 Jonas Nick 和密码学家 Mikhail Kudinov 于去年年底提出。它采用复合式哈希方法，并支持两种签名：有状态和无状态。两者在大小、效率以及保护资金所需的操作上，各有不同取舍。

无状态签名可以安全地重复使用，因此从追踪哪些签名密钥已经用过的角度来看，较容易管理。它的主要缺点是体积较大。较大的签名可能会影响交易手续费、签名速度和其他效率指标。相比之下，有状态签名较小、效率较高，但需要严格追踪钱包的签名状态。

SHRINCS 的有状态部分依赖一次性签名树。这些密钥的设计用途有限。如果同一把密钥使用超过一次，便可能暴露足以让他人伪造用户签名、并可能窃取资金的密码学信息。危险不仅在于这项技术不熟悉，更在于状态追踪出错会直接造成安全后果。

这项要求意味着钱包软件必须仔细记录已使用的签名额度，并防止意外重复使用。开发者也需要考虑较少见的情况，例如恢复钱包、更换设备，或使用与同一组恢复助记词关联的多台设备。记录的状态与实际签名记录之间任何差异，都可能造成漏洞。

Trezor 首席技术官 Tomáš Sušánka 表示，这不只是密码学问题，也同样是用户体验问题。如果提供的功能必须依赖用户理解并维持精确状态才能安全运行，钱包可能就是把太多责任转嫁给用户。正如他所说：“你是在给他们一个犯错的机会。”他认为，钱包开发者应该以确保安全的方式打造这项功能，而不是期待普通用户正确处理每一项技术细节。

Trezor 正在考虑的一种做法，是将体积较大、速度较慢的无状态签名设为默认选项。效率较高但风险较大的有状态选项，则可放在高级设置中，而非作为普通选项呈现。这种设计会优先考虑大多数用户的安全与简便，同时保留选项，供愿意了解并管理额外要求的用户使用。

核心设计挑战并非单独挑选速度最快的签名，而是确保最方便的选项也不容易被误用。默认设置会影响大量钱包的安全性，而高级选项则能让重视效率且了解其使用条件的用户保有灵活性。

SHRINCS 的潜在优势之一，在于其保守的密码学基础：它依赖与 SHA-256 相同的密码学假设。然而，即使对这些假设有信心，也无法消除实际实现有状态签名时的疑虑。Sušánka 表示自己对此感到犹豫，因为维护状态可能成为负担，尤其是用户期待钱包能在不同设备上稳定运行。

例如，用户可能有两台使用相同恢复助记词的 Trezor 设备。如果两台设备都能签署交易，就必须同步签名记录，以避免重复使用一次性密钥。要可靠地共享并更新这些状态并不容易。钱包制造商必须考虑设备能否互相通信、发生故障后如何恢复状态，以及用户从备份恢复钱包时应如何处理。

同时，效率上的差异也很重要。Sušánka 指出，有状态签名的体积小了 10 倍。这种缩减可能对交易数据和系统效率带来显著影响。因此，直接排除有状态签名，就等于放弃一项重要优势。这是在较小的签名，以及维护其状态所需的操作与安全要求之间做取舍。

量子安全准备的范围也超越比特币交易所使用的签名格式。许多硬件钱包在设备专属的安全功能上，仍依赖易受量子攻击的密码学技术，包括固件验证和设备验证。即使比特币采用后量子交易签名，若设备的软件或身份验证仍易受攻击，就无法充分防范量子时代的威胁。

若要称硬件钱包已做好量子安全准备，其自身的安全机制也必须采用后量子密码学。这包括确认固件是否真实，以及建立对设备本身的信任。Trezor 已开始出货支持钱包验证流程中后量子密码学的产品，例如 Trezor Safe 7。这项支持是设备安全的重要一步，但仅凭它并不能让比特币交易具备量子安全性。

使用这类设备创建的交易，只有在比特币本身采用并启用后量子防护后，才会具备量子安全性。这一区别很重要：功能完善的钱包无法自行改变网络规则，而网络升级也无法自动替换每台设备内易受攻击的安全功能。要协调这些层面，开发者、钱包制造商和用户都必须为逐步转型做好准备。

Sušánka 提醒开发者，不要等太久才为用户提供迁移选项。让可能多达数百万名用户改用新的安全做法需要时间。钱包软件、设备、恢复流程和用户教育都必须支持这项转型。如果技术上理想的解决方案缺乏实际可行的迁移途径，就很难大规模采用。

转型应该多严格，也需要做出选择。限制所有功能，或坚持每位用户都采取毫不妥协的做法，可能会拖慢进展。另一方面，如果只追求便利，却不说明安全条件，用户可能会暴露于风险之中。挑战在于做出合理折中，同时清楚说明每种选项的后果。

实际上，为后量子比特币做好准备是共同责任。研究人员必须评估候选签名方案；协议开发者必须研讨网络层面的更改；钱包制造商必须设计可靠的签名与恢复体验；设备制造商则必须更新验证和固件防护。用户也需要明确信息，了解何时必须升级，以及如何迁移而不失去资金访问权。

因此，围绕 SHRINCS 的讨论反映出安全工程的一项更广泛启示：强大的密码学工具只是安全系统的一部分。工具如何实现、选择哪些默认值、设备如何处理故障，以及用户能否遵循预期流程，都会影响现实世界中的安全性。平衡的设计必须同时考虑技术强度与人类行为。

重点见解表

后续……

比特币迈向抗量子安全的道路，将取决于多个相互关联领域的进展。研究人员和开发者需要评估后量子签名方案、测试其性能，并找出如何在不给用户带来不可接受风险的情况下引入这些方案。协议层面的规划应配合钱包设计，让安全的操作方式成为最容易采取的方式。

硬件安全也值得同等重视。未来的工作应探讨如何运用后量子密码学保护固件更新、设备验证和恢复流程，同时确保这些机制在日常使用中仍然可靠。支持后量子验证的产品是有益的准备，但必须将其价值视为更广泛系统转型的一部分。

迁移研究也应聚焦于真实情况：用户可能有多台设备、使用备份，或在设置钱包多年后才需要恢复。如何管理签名状态、更换设备，以及在发生错误时如何应对，都需要清晰的流程，才能降低风险。最持久可靠的做法，将结合稳健的密码学、审慎的默认设置、可靠的恢复机制，以及易于理解的指南。

归根结底，量子安全准备不是单个公司或一次软件更新就能启动的开关，而是一项长期协调工作，涉及研究、网络开发、硬件、钱包界面和用户教育。共同探索这些领域，有助于比特币生态系统采用更强的防护，同时不忽视决定安全性能否在日常生活中发挥作用的实际细节。