ZK STARKs：比特币迈向量子安全的关键路径

StarkWare联合创始人埃利·本-萨松指出，基于哈希的零知识证明技术——ZK STARKs，是应对比特币面临量子威胁并推动大规模应用的最优解。他同时透露，Blockstream创始人亚当·巴克也对此持支持态度。

尽管本-萨松近期因提议将比特币年通胀率上调至4%而引发争议，相关分析显示该建议未获广泛认同，但他在密码学领域的权威地位依然稳固。其主导的Starknet项目已公布分阶段部署量子安全机制的路线图，进一步巩固了这一技术方向的可信度。

大体积后量子签名带来的系统性挑战

引入零知识证明并非直接赋予区块链抗量子能力，而是为解决后量子签名体积膨胀问题提供关键方案。当前美国国家标准与技术研究院（NIST）批准的多项后量子签名算法，其数据量可达现行ECDSA与Schnorr签名的10至100倍。

若不加优化，此类签名可能导致网络处理速度降至每秒不足一笔交易。然而，通过将一个区块内所有大体积签名聚合为单一微小的ZK STARK证明，可实现显著压缩——最终证明尺寸甚至小于原有签名集合。这不仅缓解性能瓶颈，反而可能提升整体运行效率。

本-萨松强调：“若拒绝使用ZK STARK聚合，将错失真正解决问题的机会。关键不是区块容量，而是‘是否人人都能用上比特币’。要实现规模化，必须依赖如签名聚合等扩展手段，单纯扩大区块大小无法根本破局。”

替代路径：区块扩容的代价与阻力

PostQuantum.com作者、Applied Quantum创始人马林·伊韦西奇认为，比特币的SegWit机制已将大签名影响降低约75%。但他对NIST的ML-DSA-44方案建模后指出，该方案单个签名达2420字节，预计区块吞吐量将从目前的2500至3000笔骤降至500至700笔，凸显出“区块大小之争”的深层矛盾。

虽然增加区块容量是直接的技术回应，但2017年因类似提案引发的社区分裂至今仍具警示意义。反对者担忧此举将导致节点门槛上升，设备成本激增，从而加剧网络中心化风险。

Blockstream Research正致力于压缩基于哈希的后量子签名体积，提出SHRINCS与SHRIMPS方案。前者日常签名体积约为现有水平的5倍，恢复场景下可达40倍。尽管已在Liquid侧链完成真实交易验证，但其复杂性与可用性缺陷尚未完全解决。除非同步扩容，否则这些更大签名仍将拖累网络性能。

伊韦西奇坦言：“在本地提升容量是简单的工程选择，却是最难的治理命题。我们已无暇再进行冗长辩论。”

ZK聚合：效率与去中心化的双赢之选

ZK证明聚合不仅能提升吞吐量，更能在保障去中心化方面发挥独特优势。这类技术允许在不暴露原始数据的前提下，证明某项事实的真实性。例如，可验证知晓保险柜密码，却无需透露密码本身。

从实现角度看，为单个区块生成一次ZK证明即可（冗余副本用于容错），所需硬件成本远低于专业矿机。据Lean Ethereum规划，证明设备预算低于10万美元，可在普通家庭环境中部署；而验证过程几乎可在任意设备上完成，包括树莓派等低功耗终端。

本-萨松表示，早期比特币开发者格雷格·麦克斯韦尔与迈克·赫恩均对ZK STARKs抱有高度期待，因其具备后量子安全性且无需可信设置。他还确认，Bitcoin Core开发者卢克·达什贾尔及亚当·巴克私下和公开场合均表达过对该技术的认可。“我亲耳听到他们这么说。他们看好与ZK STARKs相关的应用前景。尽管两人观点未必总一致，但在这一问题上，我认为他们达成共识。”媒体曾尝试联系巴克获取评论，未获回应。

以太坊研究员贾斯汀·德雷克亦公开呼吁比特币采纳类似Lean Ethereum的ZK聚合架构，视其为行业标准。但他承认，该设想可能受制于政治博弈而难以推进。

比特币专属的ZK实施方案探索

鉴于比特币社区保守的文化特性，最现实的路径或许是重新启用中本聪设计的九行代码——OP_CAT。本-萨松指出：“他引入后又移除。若恢复该操作码，即可实现STARK证明、签名聚合与后量子安全。这将是重启中本聪最初愿景的最佳方式。”尽管此前12至24个月内曾掀起一轮热潮，但近期关注度有所回落。

其他更具前瞻性的提案包括OP_STARK_VERIFY，专为在比特币链上高效验证STARKs而设。BIP-360合著者埃桑·海尔曼提出，可通过名为BitZip的方案，将比特币的签名与公钥聚合成一个统一的STARK证明。他指出，实现目标有两种主要路径：一是在比特币中添加通用操作码，构建类ZK Rollup系统；二是直接在共识层原生支持STARKs。此外，较弱版本的聚合机制如CISA也可能提供辅助作用。

落地前景：技术成熟度与治理滞后并存

伊韦西奇明确指出，症结不在技术能力，而在治理僵局。“埃利的密码学基础坚如磐石：纯哈希假设，无可信设置，数千签名压缩成极小证明。真正的障碍在于密码学之外——比特币脚本尚无法验证STARK，而生产级验证器涉及的共识范围远超一个小型操作码。以OP_CAT为例，讨论已持续数年，因此，真正的STARK验证器进入讨论阶段，至少要等到2030年代。”

与此同时，以太坊计划于2029年完成向后量子时代的过渡，Solana也在积极测试后量子签名。相比之下，Starknet凭借账户抽象与智能钱包架构，已具备天然优势，使其底层密码学升级无需用户手动迁移。本-萨松表示：“在Starknet上，我们拥有巨大优势，因为一切皆可动态演进。升级钱包和基础设施实现后量子化变得极为轻松。”

因此，他认为以太坊与Solana的后量子转型之路将“异常艰难”，而比特币则面临更复杂的制度性挑战。