量子安全的比特币签名将使网络节点数据量增加十倍

Coinbase 为了让比特币适应量子计算而进行的努力，解决了当钱包从旧备份恢复或签名服务器失败时会发生什么。

布莱恩·阿姆斯特朗在 10 月 20 日呼吁整个行业进行准备和合作。这一操作细节来自 Shashank Agrawal 在 10 月 13 日发表的 Coinbase 文章，文章要求潜在的签名方案能够与普通钱包、恢复程序和独立运行的保管服务器协同工作。

SHRINCS 是一种草案哈希基础签名方案，结合了需要可靠的先前签名记录的小型签名和在没有该记录的情况下工作的较大后备签名。在其当前规则下，恢复不确定状态意味着必须采取较大的路径。

这为能够恢复秘密的人保留了签名的途径。其交易是，保持较小签名需要额外的操作纪律。

恢复测试涉及钱包和交易所

当前的 SHRINCS 规范列出了 48 字节的公钥、548 到 4,619 字节之间的有状态签名，以及 5,777 字节的无状态签名。

“状态”是密钥已经使用过的一次性签名槽的变化记录。SHRINCS 的紧凑组件 (XMSS) 依赖于不重用这些槽。对不同消息重用一个槽可能允许观察者伪造签名。

备份可以在不恢复每个自备份以来创建的签名的可靠记录的情况下恢复长期存在的秘密。Agrawal 还解释说，签名和状态更新不一定会导致链上交易。

当正确状态不可用时，包括从静态备份恢复后，实施必须拒绝有状态签名，仅使用无状态路径。该后备源自 SLH-DSA，一种哈希基础签名标准，但使用的参数集超出了 FIPS 205 中标准化的集合。

签名者规则禁止备份和恢复可变计数器，或将其导出和导入到其他软件中。然而，旧计数器不能简单地被视为紧凑签名的安全起点。

SHRINCS 签名的字节范围从 548 到 4,619 字节，具有可靠的计数器状态，而 5,777 字节的无状态模式在该状态无法信任时保持安全性。

关于休眠币的所有权问题则提出了另一个政策问题。

对于交易所，同样的要求超出了恢复屏幕。Agrawal 描述了大型交易所如何在不同区域独立运行签名服务器，以提供低延迟和高可用性。

在他的评估中，有状态签名将需要在签名生成期间对密钥及其状态的独占访问，这使得独立操作变得复杂。

如果服务器创建了签名，但其计数器更新的结果不明确，则替换服务器需要一个可靠的基础来了解哪些状态仍未使用。将旧计数器复制到替换服务器上并不能建立这一点。

SHRINCS 当前的规则禁止与密钥状态同时进行签名，并要求在签名返回给调用者之前持久记录计数器增量。计数器绝不能减少，其存储必须防止未经授权的更改。该规范强调耐用存储，以抵御回滚。

每个密钥的约束并不意味着交易所必须在一个密钥签名时停止处理其他每个密钥。Agrawal 的文章将 SHRINCS 列为值得评估的候选者，并呼吁提供可用的仅无状态操作模式。

Coinbase 表示，在其保管业务中，它持有大约 12% 的现存 BTC。

后备在比特币费用模型中的变化

5,777 字节的签名大于 548 字节的签名，但该比例并不直接描述交易的费用。交易包含其他数据，比特币对见证数据的计算方式与其他字节不同。

根据 BIP 141 的交易权重定义，权重等于剥离交易大小的三倍加上总大小。虚拟大小是权重除以四，向上取整。

在该会计下，放置在见证中的签名有效负载字节贡献一个权重单位，而前缀和其他序列化数据仍然单独计算。

考虑一个故意假设的单签名模型。将除该签名外的所有内容保持在 400 权重单位，假设见证会计不变，并将费用率固定在每个虚拟字节 10 个聪。

有状态行使用草案的最小和最大签名大小。计算为总权重 = 400 + 签名字节，然后虚拟大小 = 总权重除以四，向上取整：

在这个模型中，与最小有状态案例相比，后备增加了 13,080 sats，或与最大案例相比增加了 2,900 sats。

对于自我保管，当正确状态缺失时，恢复交易将携带更大的签名，因此其构建者在设置网络费用时需要考虑该权重。保管人面临着保持可靠状态的工作以及其使用的任何无状态签名的交易权重。

无论是吸收这些成本还是将其转嫁给客户，都是这些文件未建立的单独定价决策。

分区提供评估路径

有状态签名还有超出一个共享计数器的缓解措施。九月的 RFC 10033 信息性文件列出了包括分区、保留间隔和密钥与状态材料的受控转移等方法。

分区将签名空间划分为非重叠部分，分离的设备可以管理。这允许并行签名，而不需要每个设备与其他设备协调每个签名。

对于比特币保管，这使得分区设计成为一个相关的工程途径进行评估。该 RFC 的价值在于识别管理状态的具体方法以及每种方法引入的操作风险。

SHRINCS 本身仍然是草案，其安全证明和完全优化的实施仍被列为未完成。阿姆斯特朗的准备呼吁引起了新的关注，而 Agrawal 的文章提供了可以评估候选者的要求。

下一个有用的证据将是一个部署设计和实施，展示紧凑路径在中断写入、服务器替换和钱包恢复中的表现。

现有的后备已经明确了选择：当可靠状态不可用时，通过使用较大的签名保留签名能力。保持较小路径的节省需要证明普通故障不会导致状态重用。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。