比特币后量子安全路径之争：ZK STARKs是否为最优解？

StarkWare联合创始人Eli Ben-Sasson指出，基于哈希的零知识证明技术ZK STARKs，是保障比特币免受未来量子攻击并推动大规模应用的关键路径。他同时提及Blockstream创始人Adam Back对这一方向持支持态度。

从争议建议到技术共识：Ben-Sasson的立场演变

尽管近期因提议将比特币年通胀率上调至4%而引发舆论波澜，相关分析显示该观点未获广泛认同，但其在密码学领域的专业权威并未动摇。作为ZK STARKs的核心发明者之一，他的技术主张已获得部分比特币研究者的认可。其主导项目Starknet亦公布分阶段部署量子安全机制的路线图。

大体积签名压缩：ZK STARKs的效率突破

单纯引入后量子签名无法解决比特币的可扩展性问题。美国国家标准与技术研究院（NIST）批准的新型签名方案体积可达现有ECDSA或Schnorr签名的10至100倍，若直接应用可能导致网络吞吐量降至每秒不足1笔交易。而通过将多个大体积签名聚合为单一微小的ZK STARK证明，不仅可显著压缩数据量，甚至优于当前签名组合，从而提升整体运行效率。

Ben-Sasson强调：“若禁止使用ZK STARK聚合，将错失真正解决问题的机会。核心挑战在于‘是否所有人都能顺畅使用比特币’，这需要极致的规模扩展能力，而签名聚合正是不可或缺的一环。”

区块扩容之外：另一种治理难题

PostQuantum.com作者、Applied Quantum创始人Marin Ivezic认为，虽SegWit已降低大签名影响，但采用NIST ML-DSA-44标准后，区块容量预计仅剩500至700笔交易，远低于当前2500至3000的水平。尽管增加区块大小是可行替代方案，但2017年的分裂历史表明，该方法面临严重的去中心化风险——更高的存储与验证成本可能迫使节点集中化。

Blockstream Research正探索压缩后量子签名体积的方案，如SHRINCS与SHRIMPS，日常签名体积约为当前5倍，恢复场景下可达40倍。尽管已在Liquid侧链投入使用，但其复杂性与可用性仍处早期阶段，若不配合扩容，仍将拖慢网络速度。

ZK聚合的去中心化优势：硬件门槛极低

ZK证明聚合不仅能提升吞吐量，更有助于维持网络去中心化。以太坊研究员Justin Drake公开呼吁比特币采纳类似Lean Ethereum的证明架构，但政治阻力使其难以推进。

技术上，生成一个区块的ZK证明仅需一次运算，设备成本预估低于10万美元，可在家庭环境中运行。验证过程则极为轻量，甚至可在树莓派等微型设备上完成。

主流开发者对ZK STARKs的潜在支持

Ben-Sasson表示，早期比特币开发者Greg Maxwell与Mike Hearn均看好该技术，因其具备后量子安全性且无需可信设置。他相信Bitcoin Core开发者Luke Dashjr及Adam Back也正在接纳这一理念。“我亲耳听他们表达过支持，即便意见不一，但在这一点上他们保持一致。”媒体曾尝试联系Adam Back，未获回应。

OP_CAT重启：通往比特币原生支持的捷径

鉴于比特币保守的治理文化，最现实的路径可能是重新启用中本聪编写却后来移除的OP_CAT操作码。此代码一旦恢复，即可原生支持STARK证明、签名聚合与后量子安全。Ben-Sasson称其为“重启中本聪初衷的最佳方式”。尽管此前一年内曾引发热议，但近来关注度下降。

其他提案包括专用于验证STARK的OP_STARK_VERIFY，以及由BIP-360合著者Ethan Heilman提出的BitZip方案——将签名与公钥聚合成单一证明。他表示，实现目标有两条路径：一是引入通用操作码构建类似ZK Rollup的系统，二是直接在共识层集成STARK支持，或采用较弱但更易部署的聚合机制如CISA。

治理瓶颈远超技术限制

Ivezic指出，问题不在技术能力，而在治理僵局。虽然Ben-Sasson所依赖的密码学基础坚不可摧——纯哈希假设、无可信设置、数千签名压缩成小证明，但比特币脚本尚不具备验证STARK的能力，而生产级验证器带来的共识面过大。

“即使像OP_CAT这样微小的操作码都耗时数年讨论，因此真正的STARK验证器要进入议程，至少要等到2030年代。”

跨链对比：以太坊与Solana的先行布局

以太坊计划于2029年完成向后量子时代的过渡，Solana也在积极测试后量子签名。相比之下，StarkNet凭借账户抽象与智能钱包架构，在升级过程中拥有显著优势——底层密码学可动态演进，用户无需手动迁移。

Ben-Sasson坦言：“对于以太坊和Solana而言，后量子转型将极其艰难。但在我们这里，由于已有原生账户抽象，升级几乎无缝。”