比特幣(BTC)抗量子簽名SHRINCS草案出爐 安全升級邁向具體規格

比特幣(BTC)用抗量子簽名方案「SHRINCS」的第一份草案正式公開，讓原本停留在概念討論的長期安全升級，進入具體技術規格的階段。

SHRINCS工作小組於27日（南韓時間）在比特幣開發者郵件論壇公布首份草案，並說明這份文件是描述SHRINCS加密結構的初期規格。參與者包括Conduition的Brink開發者、Cloudflare(NET)研究員伊森·海爾曼（Ethan Heilman）、Blockstream研究員米哈伊爾·庫迪諾夫（Mikhail Kudinov）、Blockstream研究員奧列克桑德爾·庫爾巴托夫（Oleksandr Kurbatov），以及Blockstream研究員喬納斯·尼克（Jonas Nick）。

草案將SHRINCS定義為用於比特幣交易授權的雜湊型抗量子簽名方案。文件目前狀態為Draft，尚未分配BIP編號。公鑰大小為48位元組，「有狀態簽名」介於548至4619位元組之間，「無狀態替代簽名」則為5777位元組。

核心爭議在於「區塊空間」。抗量子簽名通常比現有簽名體積更大，會壓縮單一區塊能容納的交易數量。SHRINCS的做法是平常使用體積較小的有狀態簽名，一旦錢包遺失簽名狀態，才改用體積較大的替代簽名。

有狀態簽名每次重複使用同一把金鑰時，錢包都必須記住曾經用過哪一把一次性金鑰。在多裝置、硬體錢包、備份還原等環境中，一旦狀態記錄出現落差，同一把金鑰就可能被重複使用，增加操作風險。替代簽名正是為降低這項風險而設計，但代價是簽名體積變大。

草案指出，SHRINCS以SHA256為基礎，目標是符合美國國家標準暨技術研究院（NIST）「安全類別1」的要求，不過安全性證明部分目前仍標示為待完成（TODO）。工作小組同時說明，測試向量、單元測試、安全證明與最佳化實作都尚未完成，現階段不應用於正式營運環境。

Blockstream在8月6日發布的研究文章中提到，團隊為尋找SHRINCS的無狀態候選方案，檢視了2萬5935種參數組合，並從中篩選出比SLH-DSA更小的候選群組，最終提出一個5776位元組的候選方案。同一篇文章也說明，有狀態簽名的起始大小為324位元組，之後每重複使用一次同一把金鑰，體積約增加16位元組。

Unchained報導指出，Blockstream研究團隊提出SHRINCS，作為緩解比特幣區塊空間壓力的後量子簽名方案，報導時間為28日下午7時31分（南韓時間）。Unchained並比較了全部交易使用Schnorr簽名、與全部改用SLH-DSA時的處理量差異，轉述SHRINCS的設計可讓每秒處理量回升至接近3筆交易的水準。

這份草案可視為本社先前報導比特幣抗量子簽名方案討論進入具體文件階段的後續發展。當時公開的儲存庫同樣將文件狀態標示為尚未分配BIP、屬於Draft，說明這並非以主網上線為前提的完成版規格。

Blockstream表示，3月已在自家營運的比特幣側鏈Liquid網路上，示範了使用SHRINCS簽名的交易。本社報導比特幣抗量子安全實驗也曾提到，SHRINCS研究正朝程式碼實作與機器驗證方向推進。

抗量子密碼學是為因應未來量子電腦可能削弱現有公鑰加密系統而設計的加密體系。在比特幣的脈絡中，公鑰一旦曝光後現行簽名方案是否夠強、既有位址與錢包使用習慣該如何過渡，都是同步討論的議題。這不只是技術規格問題，共識規則變動與錢包操作方式同樣是焦點。

導入程序另計。工作小組強調，這份草案是與共識驗證規則分開的加密規格文件。若要將SHRINCS實際套用到比特幣，至少需要一種新的輸出格式，以及額外的BIP提案。

主網真正採用，仍須經過軟分叉，並取得網路參與者的支持。就算開發者社群把加密規格討論定案，節點營運商、礦工、錢包業者與一般使用者能接受的過渡路徑，也必須另外建立共識。

對讀者而言，這次消息與短期價格題材關係不大，比較接近比特幣基礎設施安全層面的討論。目前可以確認的是，因應量子電腦威脅而展開的簽名轉換研究，已進入草案文件與同儕審查階段；實際導入時間與最終設計，都還沒有定案。