后量子签名与比特币架构的深层冲突

比特币当前的密码学体系在面对后量子威胁时暴露出根本性缺陷。研究者Ben-Sasson强调，仅引入后量子签名并不能真正提升网络的抗量子能力，反而带来显著工程挑战——新签名机制的体积普遍扩大数十倍。

根据美国国家标准与技术研究院（NIST）标准，主流后量子签名如ML-DSA-44，其数据规模可达现有ECDSA和Schnorr签名的10至100倍。这一膨胀直接冲击链上吞吐量与验证效率，可能导致单个区块可容纳交易数骤降至不足千笔，远低于当前2500至3000笔的水平。

为应对这一问题，Ben-Sasson提出将大量交易数据迁移至链下，并通过一个紧凑的零知识证明来替代原始签名集合。他主张利用ZK STARK技术，将整块交易的签名聚合为单一、极小的验证凭证，从而在不牺牲安全性的前提下维持甚至优化网络性能。

“若拒绝采用此类聚合机制，无异于放弃解决核心问题——即如何确保所有用户仍能平等访问比特币系统。”他指出，真正的出路在于大规模扩展，而不仅仅是物理扩容。

区块扩容：看似简单却深陷治理泥潭

尽管增加区块容量被视为一种直观的技术解法，但其背后隐藏着深刻的治理争议。业内分析显示，在采用高阶后量子签名方案下，区块承载能力可能萎缩至500至700笔交易，远低于现行水平。

这种调整虽能缓解数据压力，却会显著提高全节点的存储、带宽与计算负担。长期来看，这可能推高运营门槛，削弱硬件多样性，进而威胁比特币的去中心化根基。

尽管有团队尝试压缩基于哈希的后量子签名，如SHRINCS与SHRIMPS方案，其日常签名大小约为现签名的五倍，而在钱包恢复等场景中甚至达到40倍。由此可见，即便优化压缩，仍需配合区块扩容才能维持正常交易吞吐。

“从技术角度看，扩容是直接答案；但从治理层面看，它却是最难达成共识的议题。”资深研究员Marin Ivezic表示，“我们已没有足够时间进行冗长辩论。”

ZK聚合为何更具战略价值

ZK STARK聚合的核心优势不仅在于数据压缩，更在于重构节点验证的经济模型。

该技术允许一方在不披露全部原始信息的前提下，向验证者证明某组交易满足特定条件。在比特币语境中，这意味着一个区块内的海量大签名可被整合为一个极小的可信证明，大幅降低链上负载。

Ben-Sasson指出，生成这类证明的工作只需执行一次，且所需硬件成本远低于主流矿机。文章援引LeanEthereum基准测试表明，证明设备投入可控制在十万美元以内，而验证过程则可在树莓派等低成本设备上完成。

他进一步指出，早期比特币开发者如Greg Maxwell与Mike Hearn对ZK STARKs抱有高度期待，因其具备无需可信设置的后量子安全保障。此外，核心开发成员Luke Dashjr及Adam Back也被认为倾向此方向，尽管后者未予回应。

值得注意的是，以太坊研究员Justin Drake曾建议比特币借鉴其在零知识证明聚合方面的经验，但政治阻力可能阻碍实际落地，即便技术路径清晰。

比特币能否原生支持STARK验证？

技术可行性并非障碍，真正的瓶颈在于比特币脚本系统与治理结构。

目前，比特币无法直接验证ZK STARK证明。为此，部分学者提议重启已被移除的OP_CAT操作码，因其具备处理复杂数据拼接的能力，或可为聚合功能提供底层支持。

尽管该提案曾在过去一年中引发讨论，但近期已趋于沉寂。其推进依赖社区共识，而比特币一贯审慎的文化使其难以快速决策。

其他潜在路径包括设计专用操作码如OP_STARK_VERIFY，以及由Ethan Heilman提出的BitZip概念。后者提出两条路线：一是通过通用指令增强比特币以支持类似Rollup的架构；二是直接在共识层集成STARK验证逻辑。同时，较弱的聚合方案如CISA（跨输入签名聚合）也被视为辅助手段。

然而，据评估，实现在基础层部署原生STARK验证器，现实而言属于2030年代才可能实现的治理目标。相比之下，仅修改少量操作码的变更，即使历经多年争论，也仍属相对温和的调整。

反观其他公链，进展更为迅速。以太坊计划于2029年完成后量子转型，而Solana已在实验阶段部署后量子签名。至于Starknet，则将其三阶段量子安全演进与原生账户抽象相结合——允许在不强制用户手动迁移的前提下，动态升级底层密码学。

“在Starknet上，我们拥有巨大优势：系统本身不存在固定组件。因此，升级钱包与基础设施以应对量子威胁变得极为顺畅。”

正如Ben-Sasson所揭示，缺乏灵活账户抽象的网络，其后量子演进之路将异常艰难。而Starknet的设计选择有效降低了技术锁定风险。

核心结论

后量子签名的体积膨胀迫使比特币重新审视容量管理策略。

ZK STARK聚合可通过压缩多签名数据为单一证明，显著减轻链上负担。

单纯扩容虽可行，但可能加剧节点成本，动摇去中心化基础。

比特币脚本限制与治理惰性，构成原生验证STARK证明的主要障碍。

StarkWare的账户抽象路径为后量子升级提供了更易实施的范式，凸显架构前瞻性的重要性。