Coinbase($COIN)公布比特幣(BTC)抗量子位址設計　籲冬眠幣另案討論

Coinbase($COIN)公布了一套用於抵禦量子電腦攻擊的比特幣(BTC)位址與簽名設計草案。此案主張將位址與簽名分離,讓簽名技術更替時不必重新設計整套位址系統,並建議把長期未動的「冬眠幣」處理方式,從簽名升級的討論中獨立出來另案處理。

根據加密貨幣媒體Bankless報導,Coinbase執行長布萊恩·阿姆斯壯(Brian Armstrong)公開分享了這項構想。Coinbase今年1月成立了一個獨立的量子顧問委員會,成員包括史考特·艾倫森(Scott Aaronson)、丹·博內(Dan Boneh)、賈斯汀·德雷克(Justin Drake)等人。Bankless並指出,Coinbase已於7月與貝萊德(BlackRock)、富達(Fidelity)、Strategy(MSTR)等機構共同成立「比特幣安全聯盟」,宣布將在3年內投入1500萬美元用於比特幣安全研究。

Coinbase構想的核心,在於把裝比特幣的「容器」與用來解鎖花費的「簽名」徹底分開。容器指的是存放比特幣的位址類型,簽名則是動用這些比特幣時所需的解鎖方式。由於目前沒有人能斷言哪種抗量子簽名技術長期來看最安全、最有效率,Coinbase認為必須建立一套架構,讓密碼技術更換時不必每次重新設計位址。目前浮上檯面的候選方案有兩種:仍處於草案階段的BIP-360(P2MR)透過縮小暴露在量子攻擊下的範圍,打造出新的位址類型;P2TRv2則是一種可支援抗量子簽名的位址格式。兩者都提供了彈性,但單靠其中一種都無法構成完整解方,尤其BIP-360若要真正採用抗量子簽名,還需要額外升級。

作為過渡手段,Coinbase提出了「混合位址」概念,讓同一筆資金既可用舊有簽名動用,也可用抗量子簽名動用。不過只要舊簽名仍然有效,相關資金就仍暴露在量子攻擊風險之下。Coinbase強調,混合位址只是協助過渡的工具,並非長久解方。

在抗量子簽名方面,Coinbase整理出四種候選技術。ML-DSA是已完成標準化的格狀密碼技術,安全性與效率較為均衡,但簽名體積偏大;SLH-DSA是已標準化的雜湊函數方案,簽名體積更大;FN-DSA(Falcon)簽名體積小,但要安全實作並不容易,目前仍在等待標準化;SHRINCS則是專為比特幣設計的實驗性方案,簽名體積小,但需要更謹慎地管理金鑰。

Coinbase指出,這四種方案最大的取捨在於「體積」。抗量子簽名普遍比現行簽名大得多,會占用更多區塊空間,進而可能壓低交易處理量或推升手續費。因此,安全性、成本、速度、硬體錢包相容性,以及把易受攻擊的比特幣轉移所需的時間,都必須一併納入考量。

簽名的管理方式同樣是爭議焦點。「狀態式(stateful)」簽名需要記錄已使用過的簽名金鑰,一旦舊錢包備份在復原過程中被重複使用同一把金鑰,簽名就可能遭到偽造,資金也可能因此流失。儘管存在這項風險,採用狀態式簽名的理由在於簽名體積小得多,有助於壓低手續費。Coinbase主張,應同時支援不需要記錄金鑰使用紀錄的「無狀態(stateless)」簽名。

Coinbase也要求方案必須與機構託管環境相容。許多託管機構採用的是多方簽名架構,也就是把單一私鑰拆分存放在多台裝置上,由多方共同完成簽名;部分格狀密碼方案可能更適合這種架構。Bankless也提到,Coinbase本身是全球最大的比特幣託管機構之一,在這項議題上存在實際的商業利害關係。

Coinbase提出的比特幣轉向抗量子位址的過渡方案,共分五個階段:第一階段為「初期採用」,由使用者自願將資金遷移;第二階段是「混合位址」,同時支援舊簽名與抗量子簽名;第三階段是「安全轉移」,在遷移過程中隱藏公開金鑰以降低暴露風險;第四階段是「新規則」,逐步限制資金轉入易受攻擊的位址,也限制從這類位址動用資金;第五階段為「最終轉換」,決定舊位址中剩餘比特幣的去向,屆時可能採取設定期限、凍結、限制動用額度或建立復原機制等做法。

爭議最大的部分,是那些完全沒有動用過的比特幣。Bankless指出,在公開金鑰已經曝露的舊位址中,沉睡著數百萬枚比特幣,其中也包括中本聰當年挖出的比特幣,另外還混雜著長期持有者的資產與永久遺失的比特幣。這批數量龐大的幣,正是外界擔心「有人悄悄完成量子電腦研發,在整個產業察覺威脅之前就先下手盜取」的主要目標。本報此前報導,依不同統計標準,公開金鑰已經曝露在鏈上的比特幣估計介於604萬至705萬2314枚之間。

對於這些冬眠幣該凍結、該設法搶救,還是維持原狀,Coinbase並未表態支持任何一方,而是建議把這場爭論,從簽名升級的討論中切割出來,單獨處理。其用意是避免外界對冬眠幣處理方式的分歧,拖累其他使用者資產的保護進度。Coinbase並補充,若要設計復原機制,必須同時滿足兩項條件:一是要具備抗量子能力,避免只握有公開金鑰的人透過復原程序竊取比特幣;二是要能處理遺失復原資訊或錯過期限等例外情況。

Bankless評論指出,比特幣的發展方向無法由單一企業或開發者決定,因此凝聚整個生態系的共識,可能比開發密碼技術本身更為困難。值得一提的是,比特幣業界此前已有先例:StarkWare未經任何協定變更,便在比特幣主網上執行了一筆量子安全交易。

Coinbase強調,這套方案並非最終定案,而是為公開討論提供的一項貢獻。公司表示,將連同尚未完成升級的錢包與節點的運作情況一併納入評估,之後再決定最終採行的方式。