ZK STARKs：比特币抵御量子威胁的潜在钥匙

StarkWare联合创始人埃利·本-萨松（Eli Ben-Sasson）提出，采用基于哈希的零知识证明技术——ZK STARKs，是解决比特币面临量子计算风险，并同时推动大规模应用的最佳路径。他进一步指出，包括Blockstream创始人亚当·巴克在内的多位行业关键人物也对这一方向表示认可。

争议提议背后的坚定立场

尽管本-萨松近期因在社交平台倡导将比特币年通胀率上调至4%而引发讨论，相关分析显示该建议并未获得广泛支持，但他作为ZK STARKs的共同发明者，其技术主张仍具有高度可信度。目前，其主导的Starknet项目已公布分阶段推进比特币量子安全升级的计划。

大体积后量子签名的挑战与破局

单纯引入零知识证明并不能直接赋予比特币量子安全性。真正的难点在于如何应对后量子签名方案带来的巨大数据膨胀问题。美国国家标准与技术研究院（NIST）批准的主流方案，如ML-DSA-44，其单个签名体积可达现有ECDSA或Schnorr签名的10至100倍，若不加处理，可能导致网络吞吐量下降至每秒不足1笔交易。

而ZK STARKs提供了一种高效压缩手段：可将一个区块内所有大体积签名合并为一个极小的数学证明。该证明尺寸甚至小于当前仅含传统签名的区块，从而不仅缓解性能瓶颈，还可能提升整体运行速度。

本-萨松强调：“若拒绝使用ZK STARK聚合，无异于回避根本问题。我们真正关心的是‘是否每个人都能自由使用比特币’？这需要极致的扩展能力，而签名聚合正是关键所在——仅扩大区块容量远远不够。”

替代路径：提升区块大小的代价

PostQuantum.com作者、Applied Quantum创始人马林·伊韦西奇（Marin Ivezic）指出，虽然SegWit已将大签名影响降低75%，但针对NIST标准中体积达2420字节的ML-DSA-44方案建模后发现，区块容量将骤降至500至700笔交易，远低于当前2500至3000笔水平。

增加区块大小虽为可行方案，但历史教训表明其代价高昂。2017年关于扩容的激烈争论至今仍具现实意义：更大区块意味着节点需承担更高存储、验证与带宽成本，可能导致硬件门槛上升，进而削弱网络去中心化特性。

Blockstream Research正探索压缩哈希类后量子签名的技术，如SHRINCS与SHRIMPS方案。前者日常签名体积约为现行签名的5倍，但在钱包恢复场景下可能高达40倍。尽管已在Liquid侧链完成真实交易测试，但其复杂性与可用性仍处早期阶段，若不配合扩容，仍会拖累系统性能。

伊韦西奇坦言：“本地扩容是工程上最简单的答案，却是治理中最艰难的命题。我们已没有时间再重复过去的辩论。”

ZK聚合的双重优势：效率与去中心化

ZK证明的核心价值在于“无需透露细节即可证明事实存在”。例如，可在不泄露密码的前提下证明你知晓保险柜解锁方式。

从部署角度看，生成单个区块的ZK STARK证明只需一次操作（冗余副本可增强可靠性），所需设备成本远低于专业矿机。据Lean Ethereum规划，证明设备预算控制在10万美元以内，可在普通家庭环境中运行。而验证过程几乎可在任何终端完成，包括树莓派等轻量级设备。

本-萨松表示，早期比特币开发者格雷格·麦克斯韦尔与迈克·赫恩均高度认可ZK STARKs，因其具备后量子安全性且无需可信设置。他相信Bitcoin Core开发者卢克·达什杰和亚当·巴克也在私下或公开场合表达过支持。“我亲耳听到他们这么说。他们看好并愿意利用这类技术。尽管两人并非始终一致，但在这一点上，我认为他们看法趋同——这是极具潜力的创新。”媒体曾联系巴克寻求回应，未获回复。

以太坊研究员贾斯汀·德雷克则公开呼吁比特币采纳类似Lean Ethereum的ZK聚合机制，视其为行业标准。然而，这一愿景可能受制于政治阻力。

比特币专属的ZK实现路径探索

鉴于比特币社区保守的文化特征，最现实的技术切入点可能是重新启用中本聪原始代码中的OP_CAT指令。本-萨松指出：“他写入又移除该功能。若重新激活，即可实现STARK证明、签名聚合及后量子安全。这将是重启中本聪最初设想的理想方式。”尽管该提议曾在12至24个月前掀起热潮，但近期关注度明显回落。

更具前瞻性的提案还包括专门用于验证STARK的OP_STARK_VERIFY操作码。BIP-360合著者埃森·海尔曼提出，可通过名为BitZip的STARK证明，将比特币的签名与公钥进行聚合。他表示，实现目标有两条路径：一是添加通用操作码，构建类似ZK Rollup的系统；二是直接在共识层原生支持STARKs。此外，诸如CISA等较弱的聚合方案也可能提供辅助作用。

落地前景：技术成熟度与治理困境

伊韦西奇明确指出，当前障碍并非技术本身，而是治理层面的僵局。“埃利的密码学基础坚不可摧：纯哈希假设、无可信设置、数千签名压缩成微型证明。问题出在密码学之外——比特币脚本尚无法验证STARK，而生产级验证器涉及的共识范围远超单一操作码。以OP_CAT为例，即便如此微小的功能也历经数年争议，因此底层STARK验证器的讨论，现实来看至少要到2030年代才有可能展开。”

相比之下，以太坊计划于2029年完成向后量子时代的过渡，而Solana亦持续试验后量子签名方案。与此同时，Starknet凭借账户抽象与智能钱包架构，使其底层密码学可无缝升级，无需用户手动迁移。本-萨松评价称：“在Starknet上，我们拥有巨大优势——因为基础设施本身可变，升级极为顺畅。反观以太坊与Solana的路线图，将异常艰难。”