比特币量子威胁：哪些钱包面临最大风险？

Fireblocks 的研究主管指出，暴露的公钥是比特币未来面临巨大风险的主要因素，并援引公开估计数据称，大约有 670 万到 700 万枚比特币隐藏在链上已可见的密钥背后。

概括

较早的比特币输出和重复使用的地址可能会留下已经暴露的公钥，导致资金滞留在这些公钥之后。

Fireblocks 建议使用新的存款和找零地址，并持续跟踪已暴露的余额。

比特币的 BIP 360 提案减少了长期密钥暴露的风险，但并未提供完全的量子保护。

Fireblocks 将以太坊量子签名验证所需的 gas 数量从 809 万降低到 123 万。

Fireblocks 研究副总裁 Michael Gutkin 告诉 crypto.news，持有者的风险敞口取决于区块链、地址类型和交易历史，而不是所有者是交易所、机构还是个人。

“最终，泄露与否取决于公钥是否已经在链上可见。”

古特金认为，频繁的交易会通过地址重用和未花费比特币的处理方式造成信息泄露。他表示，一个很少转移其资产的资金库或许可以更长时间地隐藏公钥，但这前提是地址格式和之前的交易活动尚未泄露公钥。

比特币较早的输出和重复使用的地址会暴露密钥

Gutkin解释说，对于早期被称为“支付到公钥”（P2PK）的比特币输出方式，公钥从一开始就是可见的。他说，许多可以追溯到中本聪时代的输出方式都使用这种格式，即使比特币从未转移过，它们的密钥也始终暴露在外。

相比之下，Gutkin 表示，支付到公钥哈希地址（P2PKH）和原生隔离见证地址（P2WPKH）会在首次消费之前隐藏公钥。然而，一旦持有者从某个地址消费，根据他的解释，该公钥就会永久可见。

Gutkin表示，如果同一地址之后收到更多比特币，这些新增资金将隐藏在一个已被泄露的密钥之后。对于想要检查自身风险敞口的持有者，他建议检查地址之前是否进行过支出，以及是否仍在接收资金。

Taproot 引入了另一个区别。BIP 360的作者指出，Taproot 的输出容易受到长时间量子攻击，因为它们的输出公钥在生成时是可见的。

根据该提案，性能足够强大的量子计算机可以从暴露的公钥中推导出私钥。提案作者区分了针对长时间可见密钥的攻击和在交易暴露密钥后、确认交易前尝试的快速攻击。

这种担忧依然存在，构成未来威胁。在9月17日发布的一份关于比特币迁移挑战的报告中，Ledger首席技术官查尔斯·吉列梅特表示，目前尚无已知的能够破解比特币现有签名的、具有密码学意义的量子计算机。

不过，Guillemet 警告说，研究、软件更改、硬件钱包升级和用户接受可能需要数年时间，因此准备工作与攻击者的出现是两个不同的问题。

逐步更改钱包可以降低比特币风险敞口

针对有关“避难所模式”准备的呼吁，古特金认为，机构应该持续管理公钥的暴露情况，而不是计划一次性的大规模转移。

“对于一个机构来说，我认为目标不应该是一次性的大规模迁移，”他说。

根据他提出的方案，新的比特币存款将发送到新的地址，交易找零也将返回到新的地址。古特金表示，各机构应该追踪未花费的交易输出（UTXO），以识别哪些资金已经隐藏在公开的密钥背后。

Gutkin解释说，正常的消费支出会导致已暴露的地址资金逐渐耗尽，而新的资金则会流入那些公钥仍然隐藏的地址。他表示，实时风险敞口仪表盘应该同时显示剩余的已暴露余额和产生额外风险敞口的交易。

据 Gutkin 称，Fireblocks 已经支持该流程的几个组件，并且正在开发用于根据风险敞口选择交易输入和显示受影响余额的工具。

其他托管服务提供商也推出了类似的控制措施。BitGo 在 7 月 22 日的公告中详细介绍了四项比特币钱包控制措施，涵盖风险评分、地址补救、交易输入选择和更新后的地址默认值。

BitGo表示，其输入选择方法会尝试花费与所选地址关联的所有未花费的输出，从而降低交易泄露密钥后遗留资金的风险。该公司称这些控制措施是运营准备，而非未来比特币升级的替代方案。

Gutkin警告说，如果仓促迁移，持有大量比特币的投资者会争夺有限的比特币交易容量，这可能会导致手续费上涨，交易确认速度减慢。他还表示，在机构内部，额外的交易和审批流程可能会增加错误，例如将找零发送到已泄露的地址。

为了减少网络钓鱼和处理错误，古特金建议提前设定收款地址、审批流程和可信的沟通渠道。他表示，紧急转账不应要求客户或员工遵循不熟悉的指示或绕过现有的控制措施。

比特币仍然需要一种抗量子计算的支付方式。

Gutkin 表示，即使有了更好的地址管理方法，比特币仍然需要一种抗量子攻击的方法来授权交易。

Gutkin解释道，BIP 360通过提出向Merkle根节点付费的输出方案，解决了部分问题，从而消除了Taproot暴露的密钥花费路径。Gutkin强调，减少长期公钥暴露并不能使该方案成为后量子时代的一个完整解决方案。

该提案的作者还指出，为防止交易确认前短暂时间内的攻击，可能需要采用后量子签名。BIP 360 目前仍处于草案阶段。

Gutkin指出，与以太坊不同，比特币无法简单地通过通用应用层接受新的签名验证合约。他解释说，根据所选方案，可能需要修改协议以支持该方案并控制交易费用。

古特金还提到了基于哈希的签名研究，包括跟踪签名状态以减少开销的设计。他表示，这类方法需要在签名大小、钱包设计和记录保存等方面做出权衡。

对于通过基金持有比特币的美国投资者而言，托管安排也是准备工作的一部分。9月23日一份关于Coinbase量子危机后托管计划的报告指出，现货比特币和以太坊ETF的投资者并不控制用于保障基金持仓的私钥；这些私钥由发行方指定的托管机构管理。

在那份报告中，Coinbase首席密码学家Yehuda Lindell描述了其托管基础设施的计划，该基础设施能够支持不同的后量子签名方案。Lindell表示，当区块链选择的方案无法与其现有的分布式签名系统兼容时，Coinbase正在探索使用可编程硬件安全模块作为替代方案。

以太坊的验证成本虽然更低，但仍然需要更改钱包地址。

Gutkin指出，在以太坊上，标准账户一旦签署交易，其公钥就会暴露出来，因为密钥可以从签名中恢复。他解释说，与比特币地址轮换不同，定期更换以太坊账户不太实际，因为余额、代币批准和应用程序活动都与账户绑定。

Gutkin 指出，对于 Solana 的标准钱包，地址本身就是公钥，因此无需任何初始支出交易即可暴露密钥。

Gutkin指出，可编程以太坊账户提供了一种在保留账户的情况下更改交易授权的方法。Fireblocks的研究将后量子签名方案ML-DSA-44的验证所需gas从809万降低到123万。

在9月2日发布的一篇研究报告中，Fireblocks指出，其验证器遵循FIPS 204标准，即美国国家标准与技术研究院发布的数字签名标准。Gutkin表示，团队改进的是实现方式，而非更改标准化算法。

Gutkin指出，这些改进包括更高效的哈希算法、数学运算、签名解码、公钥处理和内存使用。他表示，峰值内存消耗从近1兆字节降至约41千字节。

该设计仍然存在成本。Gutkin 估计，扩展公钥的一次性部署成本约为 410 万 gas，此外，每次验证还需要 123 万 gas。

Gutkin表示，对于交易量相对较少的资金库或冷钱包来说，这些成本或许是合理的。但他提醒说，标准的以太坊账户无法直接切换到ML-DSA，而智能账户集成、托管支持以及与去中心化应用程序的兼容性仍然需要工程开发。

Gutkin 还表示，验证器并不能使以太坊的整个系统在后量子时代安全，其共识层和数据层仍在进行单独的研究。

尽管经过广泛的测试和正式验证，Gutkin表示，Fireblocks的实现仍处于研究阶段，需要进行审计和加固才能投入生产使用。他还补充说，对于机构托管，该公司正在单独研究生产级的后量子签名系统。