后量子签名迁移中的核心矛盾：规模与效率的博弈

比特币当前的密码学架构与未来后量子方案之间存在根本性不兼容。以特拉维夫大学教授Ben-Sasson为代表的学者强调，仅在链上部署后量子签名并不能真正实现量子抗性，反而带来显著工程挑战——新签名格式的数据体积呈数量级增长。

据美国国家标准与技术研究院（NIST）认证的后量子签名标准，其大小约为现行ECDSA与Schnorr签名的10至100倍。这一差异直接威胁网络吞吐能力，可能导致单个区块可容纳交易量锐减，引发性能瓶颈。

为应对这一问题，Ben-Sasson提出将交易数据移至链下，并通过单一的零知识证明来验证整体有效性。他主张利用ZK STARK技术聚合一个区块内所有交易的签名，生成极小的数学证明，从而大幅降低链上存储负担。在他看来，该方法不仅缓解了数据压力，甚至可能提升系统整体效率。

“若拒绝采用此类聚合机制，无异于放弃解决根本问题的路径……我们真正关心的是‘是否每个人都能继续使用比特币’。”他指出，“大规模扩展需要的是像签名聚合这样的核心技术，而非简单扩大区块容量。”

扩容争议：工程可行但治理艰难

尽管增加区块上限被视为一种直观解决方案，但其背后隐藏着深远影响。多位研究者承认，该策略虽有效，却面临严峻的成本与治理障碍。

Marin Ivezic建模显示，在采用NIST ML-DSA-44标准的情况下，区块处理能力可能从当前的2500至3000笔降至约500至700笔。这一变化迫使社区直面核心议题：如何在不牺牲节点多样性的前提下承载更大数据负载。

批评者警告，持续扩容将加剧全节点的存储、带宽与验证负担，长期来看可能推高运营门槛，削弱硬件生态多样性，最终导致网络向少数集中节点倾斜，背离去中心化初衷。

文章还提及Blockstream Research对基于哈希的后量子签名进行压缩的实验成果。其中SHRINCS与SHRIMPS方案虽有进展，但日常签名仍约为现有大小的五倍，而在钱包恢复等场景中可达40倍。这表明，即便优化压缩，若不配合扩容，签名膨胀仍是不可忽视的吞吐障碍。

“从技术角度看，提升容量是简单的工程解法；但从治理层面看，却是最复杂的抉择。”Ivezic坦言，“我们已没有足够时间进行冗长辩论。”

ZK聚合为何更具战略价值

ZK STARK聚合的吸引力远不止于体积缩小。它从根本上重构了节点验证的经济模型。

在高层次设计中，零知识证明允许一方在不暴露原始信息的前提下，证明某个命题成立。应用于比特币场景，一个STARK证明可验证多个交易签名的有效性，而无需在链上保存全部原始签名字节。

Ben-Sasson提出，为整块生成证明只需执行一次计算，且所需硬件成本远低于主流矿机。文章进一步指出，验证过程可在低功耗设备上完成，例如树莓派等边缘设备即可胜任，参考了LeanEthereum项目的基准测试——其验证设备成本可控制在10万美元以下。

他还提到，早期比特币核心开发者如Greg Maxwell与Mike Hearn对ZK STARKs抱有高度期待，认为其具备无需可信设置的后量子安全保障。尽管未获Adam Back公开回应，但据称Luke Dashjr等核心成员亦倾向采纳该方向。

值得注意的是，以太坊研究员Justin Drake曾建议比特币借鉴其在Lean Ethereum项目中探索的ZK聚合框架。然而，即便技术路径清晰，政治阻力仍可能阻碍实际推进。

比特币能否验证STARK？脚本与治理双重制约

当前问题并非技术不可行，而是比特币能否以实用方式验证这些复杂证明。这引出了脚本能力与治理文化的深层矛盾。

文章分析认为，一个现实起点或许是重启已被废弃的OP_CAT操作码。该指令由中本聪引入，后因安全顾虑被移除。Ben-Sasson认为，若重新启用，可为支持STARK聚合提供必要底层功能。

尽管该提议曾在12至24个月前引发讨论，但近期热度已明显消退。这反映出比特币社区对重大变更的审慎态度，以及治理流程的缓慢特性。

除OP_CAT外，还有其他提案浮出水面：如旨在高效验证STARK的OP_STARK_VERIFY，以及与Ethan Heilman相关的BitZip概念。后者提出两条路径：一是通过通用操作码增强比特币，支持类似Rollup的构造；二是直接在共识层原生集成STARK验证逻辑。

此外，文章也提及较弱但更易实现的方案，如跨输入签名聚合（CISA），可用作辅助手段。

然而，现实评估指出，即使密码学可靠，比特币当前脚本体系尚无法原生验证STARK。Ivezic判断，实现基础层验证器属于2030年代才可能达成的治理目标。相较之下，添加小型操作码（如OP_CAT）虽已多年争论，其影响范围仍远小于共识层变革。

相比之下，其他公链在后量子过渡方面进展更快。以太坊计划于2029年完成升级，而Solana已在实验阶段部署后量子签名。Starknet则采取差异化路径，将其三阶段量子安全演进与原生账户抽象结合——使基础设施可动态升级，用户无需手动迁移账户。

“在Starknet上，我们最大的优势在于已实现原生账户抽象和智能钱包，这意味着没有固定组件，任何升级都可无缝实施。”

正如Ben-Sasson所揭示的，缺乏灵活账户层的系统，其后量子路线图将异常艰难；而Starknet的设计选择，有效规避了锁定风险。

核心要点

后量子签名相比现有方案体积大数倍，迫使网络必须进行容量重构。

ZK STARK聚合可将大量签名压缩为单一小型证明，显著减轻链上负担。

单纯扩容虽技术可行，但会提高节点成本，加剧去中心化担忧。

比特币脚本限制与治理惰性，是实现原生STARK验证的主要障碍。

Starknet凭借账户抽象机制，使后量子升级在操作上更为顺畅。