比特幣抗量子路線浮現：BIP-360草案、SHRINCS簽名方案曝光

比特幣(BTC)因應量子電腦威脅的技術路線逐漸浮現，重點包括縮短公鑰長期曝險時間的新輸出格式，以及以SHA-256為基礎的簽名方案。兩者目前都還停留在草案與研究階段，距離真正上線還有一段路要走。

根據吳說區塊鏈(WuBlockchain)15日報導，比特幣的抗量子技術目前可歸納為三條路徑：BIP-360、SHRINCS，以及量子電腦出現前後的資產轉移與復原方案。

BIP-360的核心是導入一種名為P2MR（Pay to Merkle Root）的新輸出格式。P2MR的結構與現行的P2TR（Pay to Taproot）相近，但拿掉了內部金鑰與金鑰路徑花費方式，藉此降低公鑰長時間暴露在鏈上的風險。

BIP-360官方文件指出，P2MR未來也能作為銜接抗量子簽名技術的基礎架構。不過這項提案本身並不能防禦所有形式的量子攻擊。

量子攻擊大致分成兩種情境：一種是公鑰長期曝光在鏈上後遭破解，另一種則是交易送出到打包進區塊前的短暫空窗期遭截擊。BIP-360針對的是前者，若要防堵後者，還需要另外搭配專門的抗量子簽名機制。

SHRINCS正是為填補這個空缺而提出的雜湊式簽名方案。Blockstream在其抗量子說明資料中表示，SHRINCS的安全性建立在SHA-256的原像抗性（preimage resistance）之上，與比特幣工作量證明所仰賴的原理相同。

Blockstream公開的資料顯示，SHRINCS採用的狀態式簽名大小設計為324位元組，並提出一套獨立的靜態備援方式，讓使用者在簽名狀態遺失時仍能取回資金。但若要真正部署到主網，仍須新增專門的簽名驗證運算碼，並經過共識規則的審議。

所謂狀態式簽名，是指每次簽名都必須管理內部狀態的機制。一旦狀態遺失或誤用，同一組金鑰恐怕就難以安全再用，這也意味著SHRINCS不只牽涉資產轉移，還得一併檢視錢包運作與金鑰復原流程。

換句話說，BIP-360的目標並非立刻導入抗量子簽名，而是分階段推進：先建立能縮小公鑰曝險範圍的輸出結構，之後再把獨立的簽名技術銜接到交易與錢包端。

這樣的討論並非首次出現，此前已有報導談及比特幣抗量子草案與簽名容量之間的取捨問題，當時不同文件的參數與版本各異，簽名大小尚無統一比較基準，錢包端實作與共識變更的負擔也仍是待解課題。

就官方文件而言，BIP-360目前仍屬於「Draft」草案狀態。提案被列入BIP清單，並不代表比特幣網路已經採納或形成共識。

SHRINCS同樣尚未完成正式的安全性證明與獨立審查。Blockstream將下一步設定為，針對雜湊式抗量子簽名驗證提出具體的BIP提案與規格。

量子電腦何時會真正威脅到比特幣的安全性，目前並無明確時間表。但資產轉移牽涉位址結構、簽名方式、錢包復原與網路共識等多個環節環環相扣，單靠一項技術很難畢其功於一役。

對台灣讀者來說，這波討論的重點不在價格，而在錢包與網路安全架構的轉換問題。目前可以確定的是，BIP-360與SHRINCS這兩條技術路線已經被提出；至於網路是否採用、安全性如何驗證、使用者又該如何遷移，都還有待後續討論。