比特币抗量子安全：ZK-STARK聚合与区块扩容，你该了解什么？

最近，StarkWare 的联合创始人 Eli Ben-Sasson 公开表示，ZK-STARK 技术不仅能帮助比特币抵御量子计算的威胁，还可能成为推动比特币走向大规模使用的关键工具。这一看法也得到了 Blockstream 的创始人 Adam Back 的认可。

免费的交易所推荐：

• 欧易交易所 >>>进入官网<<< >>>官方下载<<<
• 币安交易所 >>>进入官网<<< >>>官方下载<<<

就在本周，Eli Ben-Sasson 在 X 上提出将比特币的年化通胀率提高到 4%，引发了不少讨论。虽然根据 Grok 的分析，这个提议并没有得到太多支持，但作为 STARK（一种基于哈希的、具备量子抗性的零知识证明系统）的共同发明人，他关于技术路线选择的观点，却受到了多位比特币顶级研究者的认同。

与此同时，他领导的 StarkNet 项目在上周发布了三期路线图，目标是让自身的网络完全具备抗量子能力。

量子时代来临，比特币的签名体积问题怎么解决？

要注意，直接引入零知识证明并不会自动让区块链变得抗量子。引入 ZK 证明的真正目的，是为了解决部署后量子（PQ）签名方案后，因签名数据体积过大而导致的性能问题。

目前，美国国家标准与技术研究院（NIST）选定的一些后量子签名算法，数据量是比特币现在使用的 ECDSA 和 Schnorr 签名的 10 到 100 倍。

行业内有担心，如果直接使用这些签名，比特币网络的交易处理能力可能会降到每秒不到 1 笔。但如果把区块里所有体积庞大的交易签名压缩成一个极小的 ZK-STARK 证明，情况就完全不同了。因为这份聚合证明的体积甚至比现在所有签名的总和还要小，区块链的运行速度反而有可能提升。

Eli Ben-Sasson 强调：“如果不采用 ZK-STARK 签名聚合，那将是一个错误的决定，因为它解决不了根本问题——普通人能不能顺畅地使用比特币。”

他还补充说：“要想让比特币被广泛使用，网络必须有很强的扩容能力。这就需要签名聚合这样的技术，仅仅扩大区块容量是不够的。”

另一条路：直接扩大比特币区块容量

PostQuantum.com 的作者、Applied Quantum 的创始人 Marin Ivezic 对 Cointelegraph 提到，比特币的隔离见证（SegWit）最多只能减少 75% 的大签名空间占用。但他对 NIST 的 ML-DSA-44 算法做了建模测算后发现：这个算法单笔签名就有 2420 字节，会导致每个区块能处理的交易数量从现在的 2500–3000 笔，急剧下降到大约 500–700 笔，从而引发关于区块大小的激烈争论。

扩大比特币区块容量虽然是一条可行的方案，但早在 2017 年，社区就因为区块容量翻倍的建议发生了严重分歧。当时反对的理由，现在依然成立：区块扩容属于比较粗放的方法，需要所有节点去传输、存储和验证大量数据。这会明显提高运行节点的成本和硬件要求，批评者认为这样会让网络变得更中心化。

Blockstream 研究院最近一直在研究如何压缩比特币可以使用的基于哈希的后量子签名方案，并推出了有前景的 SHRINCS 和 SHRIMPS 签名算法。在正常情况下，这两种算法的签名体积大约是比特币现有签名的 5 倍；但如果用户丢失资产工具需要恢复账户，签名体积最多可能膨胀到原来签名的 40 倍。

虽然 SHRINCS 已经在 Liquid 侧链上实际用于交易签名，但这个技术还处于早期研发阶段，在实现复杂度和用户体验方面还有不足。如果不相应地扩大区块容量，签名体积的增大还是会拖慢整条链。

Marin Ivezic 评价说：“从工程角度来看，直接提高网络吞吐量是最简单的办法，但从治理层面来说，却是最难做到的。我们已经没有足够的时间反复争论这些了。”

ZK 证明聚合有哪些好处？

和区块扩容相比，ZK 证明聚合也能提升网络容量，同时还能保持去中心化，提高比特币的运行效率，所以被认为是更好的选择。

简单讲，零知识（ZK）证明是一种数学验证方式：不需要展示所有细节，就能证明某个事实是真的。比如，用 ZK 证明，你可以证明自己知道保险箱的密码，而不需要告诉对方密码是什么。

理论上，每个区块只需要生成一份 ZK 证明（为了冗余备份，可以多生成几份来增加安全性）。而且运行相关硬件的成本比商用挖矿设备低很多。

根据精简以太坊（Lean Ethereum）的设计，生成证明的设备成本不到 10 万美元，普通家庭环境就可以部署。而验证一份 ZK 证明几乎不挑硬件，用树莓派这样的小设备就能完成。

Eli Ben-Sasson 说，比特币早期的开发者 Greg Maxwell、Mike Hearn 等人都非常看好 ZK-STARK。这个技术有抗量子安全的特性，而且不需要可信初始化设置。他认为，比特币核心开发者 Luke Dashjr 和 Blockstream 创始人 Adam Back 也慢慢接受了这个路线。

“我亲耳听过他们的看法。他们很看好各种基于 ZK-STARK 的方案。我相信两人在私下或公开场合都给出过积极评价。Adam Back 和 Luke Dashjr 虽然在很多问题上有分歧，但在这件事上，他们应该能达成一致：这是一项好技术，只要时机合适，完全有可能在比特币上实现。”

Cointelegraph 曾联系 Adam Back 请他对这个话题发表看法，但还没有收到回复。

以太坊研究员 Justin Drake 也公开表示，希望比特币能采用精简以太坊的 ZK 证明聚合技术，让它成为全行业的标准。不过，因为社区治理上的分歧，这个想法要落地还比较困难。

以太坊计划在 2029 年实现后量子化。来源：以太坊基金会

目前有哪些针对比特币的零知识证明提案？

考虑到比特币社区一直比较保守，要在比特币网络里引入零知识技术，从治理角度看，最可行的办法很可能是重新启用 OP_CAT——这是中本聪当年写的一个只有九行代码的操作码。

Eli Ben-Sasson 说：“中本聪最初加入了 OP_CAT，后来又把它移除了。一旦恢复这个操作码，开发者就能实现 STARK 证明、签名聚合以及后量子安全相关的功能。”

“我认为这是最好、最稳妥的方案，能重新推动中本聪开启并希望继续的技术发展路线。”

虽然 12 到 24 个月前市场曾经掀起过一阵 OP_CAT 的讨论热潮，但最近推进的势头明显减弱了（不过比特币社区治理的走向一向很难预测）。

行业内还有一些更前卫的提案，比如 OP_STARK_VERIFY，计划增加一个专门的操作码，让比特币能更高效地验证 STARK 证明。另外，BIP-360 的共同作者 Ethan Heilman 提出了 BitZip 方案，想把比特币的多组签名和公钥聚合到一份 STARK 证明里。

Heilman 今年早些时候对 Cointelegraph 说，实现目标主要有两条技术路线：“第一种是在比特币里增加一系列通用操作码，然后在上面构建类似 ZK Rollup 的架构；或者直接在比特币的共识层原生支持 STARK。除此之外，像 CISA（跨输入签名聚合）这样性能相对有限的聚合方案也能起到一定作用。”

这些方案落地的可能性有多大？

Marin Ivezic 认为，障碍不是技术能力，而是比特币社区治理的问题。

他说：“Eli Ben-Sasson 提出的密码学方案本身很完美：完全基于哈希假设，不需要可信初始化设置，能把几千份签名压缩成一份很小的证明。困难都出在这个密码学方案之外的其他配套环节。”

“目前比特币的脚本还不支持验证 STARK 证明。相比一个简单的哈希签名操作码，一套能用于生产环境的 STARK 验证程序会大大增加共识层的攻击面。就连 OP_CAT 这么简单的操作码都争论了好几年，要在底层原生支持 STARK 验证器，现实来看，至少要到 2030 年代才有可能提上日程。”

与此同时，以太坊计划在 2029 年完成抗量子升级，Solana 也在尝试接入后量子签名。StarkNet 的三期抗量子转型路线则可以利用账户抽象的优势：在升级底层密码学的时候，不需要每个用户手动把资产转移到新账户。

Eli Ben-Sasson 因此评价说，Solana 和以太坊的抗量子升级之路会 “非常艰难”。

“StarkNet 拥有一大核心优势：网络原生支持账户抽象与智能资产工具。这意味着相关机制并未被固化在底层协议，我们能够轻松升级资产工具与基础设施，实现抗量子改造。” 本文内容仅供学习参考，不构成投资建议或收益承诺。加密货币价格波动剧烈，请投资者独立判断，以官方公告和实时行情为准。