深入解析 Blockstream 推出的 SHRINCS 签名方案及其对比特币量子抗性升级的意义,探讨技术细节、性能影响以及可能的风险与治理难点。
近日,Blockstream 官方发布了 SHRINCS(Stateless Hash‑Based Restricted‑Instantiation Non‑Interactive Compact Signature)的 Bitcoin Improvement Proposal(BIP),宣称该方案能够在保持比特币现有经济模型的同时提供抗量子攻击的签名机制。这一消息在加密货币圈引发了广泛关注,也让人们重新审视比特币在面对未来量子计算威胁时的应对路径。文章将从技术原理、性能表现、实际部署风险以及治理挑战四个方面,系统梳理 SHRINCS 的全貌,帮助读者了解这一创新方案究竟带来了哪些机遇与哪些代价。 首先,SHRINCS 的核心思想源于哈希类后量子签名,但经过 Blockstream 研究团队的专门优化,使其在签名尺寸上远低于当前 NIST 标准的 hash‑based 或 lattice‑based 方案。根据公开资料,SHRINCS 的最小签名为 548 字节(外加 48 字节公钥),而在极端情况下可能达到 4619 字节。相较之下,比特币目前普遍使用的 Schnorr 签名仅 64 字节,ECDSA 签名为 70 字节。
即便是 SHRINCS 的最小形式,也大约是现有 Schnorr 签名的九倍大小。然而,得益于 Segregated Witness(SegWit)的设计,签名数据仅占交易空间的四分之一,这意味着在实际交易中,SHRINCS 对块链吞吐量的影响远不如直接按九倍计算那样严重。Blockstream 的早期研究表明,若全网采用 Taproot 的 Schnorr 签名,比特币理论上可达约 6.5 笔每秒(TPS);若改用 NIST 认证的 lattice‑based 签名 ML‑DSA,TPS 将骤降至约 0.5;而采用 hash‑based 方案 SPHINCS+ 时,TPS 仅剩 0.36。相比之下,SHRINCS 在相同假设下能够维持约 3 TPS 的水平,这与当前主网的实际表现相当接近,说明该方案在不牺牲太多性能的前提下提供了量子抗性。 接下来,SHRINCS 在实际网络中的验证情况也值得关注。据 Blockstream 透露,该方案已经在 Liquid 边链主网上完成了真实交易的签名与验证,并随附了一份比特币白皮书的副本作为测试数据。
这一实践证明了 SHRINCS 的代码可以在现有硬件钱包上运行,且不需要额外的共识变更。然而,BIP 文件中明确标注了 "a security proof is TODO",即安全证明尚未完成。这意味着虽然实验结果乐观,但该方案尚未接受社区的正式密码学审计与广泛的密码分析。对于一种旨在保护数十亿美元资产的核心算法而言,缺乏完整的安全证明无疑是一个重要的风险点。 除了安全证明的未完成,SHRINCS 还引入了一些设计上的复杂性,以实现其紧凑的签名尺寸。方案采用了状态化(stateful)的一次性密钥机制:每次签名都会消耗一个新的一次性密钥,而用过的密钥需要在设备上本地保存,以防止重复使用导致安全漏洞。
这种状态化设计虽然省去了传统 hash‑based 签名中用于实现无状态的 Merkle 树结构,从而大幅降低了签名体积,但也带来了若干副作用。首先,每次使用后签名会额外增加 16 字节的开销,长期累积可能导致备份数据的膨胀。其次,若用户丢失设备或密钥存储出现故障,恢复过程需要一个称为 "stateless fallback" 的特殊交易,其体积可达约 5777 字节,远超过普通交易的大小,这在实际使用中可能造成高额手续费或甚至无法及时恢复资产的风险。 为了缓解状态化带来的备份困难,Blockstream 曾提出一个名为 SHRIMPS 的伴随方案,旨在让由同一种子派生出的备份设备也能够参与签名。后续开发中,SHRIMPS 被合并进 SHRINCS 的规范,成为一种内置的"无状态路径",并采用了非标准参数集使其体积比原始设想小约 26%。这一整合在某种程度上提升了方案的可用性,但也进一步增加了规范的复杂度,使得不同实现之间的兼容性成为一个潜在问题。
BIP 特别提醒,若使用了 hypertree pruning 技术生成的密钥在不支持该技术的钱包中导入,可能会导致资金丢失。这说明,即便在理论上 SHRINCS 能够实现量子安全,实际落地仍需要钱包开发者、硬件制造以及最终用户在密钥管理与备份策略上付出额外的努力。 在性能方面,SHRINCS 的出现为比特币社区提供了一种不必直接 enlarging block size 或者依赖零知识证明聚合的替代路径。尽管零知识证明(ZK‑proof)聚合签名的概念同样被讨论,且有望在配合 SHRINCS 时将 TPS 提升至约 6.7,但该方案涉及的共识变更更为激进,实现难度与社区接受度均不确定。Blockstream 有意将签名算法的选择与块大小调整或 ZK‑proof 聚合分开讨论,以避免在这些议题上产生过多的政治摩擦,从而保持 SHRINCS 本身的通过概率。这一策略体现了在技术创新与治理现实之间的平衡尝试:即使方案在密码学上表现出色,若无法获得足够的共识支持,也难以在主网上激活。
从更宏观的角度看,量子安全的讨论早已不仅是纯粹的技术问题,它牵涉到比特币的长期生存能力与去中心化理念。Adam Back 作为 Blockstream 的创始人兼 CEO,一向被视为量子计算威胁的怀疑论者,他认为真正能够破解椭圆曲线密码学的量子机器仍需数十年才会出现。尽管如此,他仍主张提前布局,认为"安全的做法是提前做好准备"。这种前瞻性布局正是 SHRINCS 项目得以启动的动力之一。Blockstream 通过在 Liquid 边链上的实验,试图在不影响主网稳定性的前提下积累实战经验,为将来可能的主网升级奠定基础。 然而,任何共识变更都伴随着激活门槛的挑战。
比特币的升级机制要求超大多数的矿工、节点以及用户达成一致,这一过程往往需要数月甚至数年的讨论与博弈。在此背景下,SHRINCS 的提出不仅是一次技术尝试,更是一次治理实验:它测试社区是否能够在不牺牲现有经济模型的前提下,接受一种引入新状态管理与备份要求的签名方案。若能够顺利通过,这将为后续的后量子签名方案(无论是基于哈希、格还是其他新兴假设)提供一个可参考的路径;若遭遇阻力,则可能促使社区转向其他方案,比如增加块大小或采用 ZK‑proof 聚合,甚至考虑更激进的链下方案。 最后,值得关注的是,SHRINCS 并不声称自己是比特币的"最终"签名方案。Jonas Nick 在接受采访时明确表示,该方案仅是目前可选方案中的一个良好折衷,尚未在所有方面达到最优。未来的研究可能会进一步压缩签名尺寸、降低状态化带来的开销,或者探索完全无状态的新构造。
与此同时,学界与业界也在评估其他后量子算法在比特币环境中的适用性,例如基于格的签名虽然体积更大,但安全假设更为成熟;基于同构加密的签名虽然理论上非常紧凑,但实现复杂度高且尚未经过足够的密码分析。在这种多方案并存的环境中,如何在安全性、性能、实现难度以及治理可行性之间找到最佳平衡点,将是比特币社区在未来几年需要持续面对的课题。 综上所述,SHRINCS BIP 的发布标志着比特币在抗量子攻击道路上迈出了重要的一步。该方案在签名尺寸上实现了显著压缩,利用 SegWit 降低了对吞吐量的冲击,并在实际边链上验证了可行性。然而,安全证明尚未完成、状态化设计带来的备份与密钥管理复杂性、以及潜在的实现兼容性问题,都提醒我们这一创新并非没有代价。此外,比特币的升级不仅是技术选择,更是一次关于共识、治理以及长期愿景的考量。
只有在充分了解这些利弊的基础上,社区才能做出既保障资产安全又不破坏去中心化特性的理性决策。随着量子计算研究的推进,SHRINCS 与其他后量子签名方案之间的竞争与合作,将共同塑造比特币在后量子时代的生存图景。 。
