ZK STARKs是否为比特币应对量子威胁的最优解？

StarkWare联合创始人Eli Ben-Sasson指出，基于哈希的零知识证明技术ZK STARKs不仅可解决比特币在量子攻击下的安全性问题，还能推动其大规模应用落地。他进一步表示，Blockstream创始人Adam Back亦对这一方向持支持态度。

算力扩展与安全升级同步推进的技术路径

尽管Ben-Sasson近期因提议将比特币年通胀率上调至4%而引发争议，且该建议未获广泛认同，但他在密码学领域的权威地位依然稳固。作为ZK STARKs的核心发明者之一，其主导的Starknet项目已规划分阶段部署量子安全机制，表明技术路线图正逐步成型。

大体积后量子签名带来的性能挑战与压缩方案

单纯引入后量子签名无法保障区块链的量子安全性，反而可能加剧系统负担。美国国家标准与技术研究院（NIST）批准的后量子签名方案体积可达现行ECDSA与Schnorr签名的10至100倍，若直接应用，可能导致网络吞吐量降至每秒不足一笔交易。

然而，通过将多个大体积签名合并为一个极小的ZK STARK证明，可有效缓解此问题。该证明本身甚至比传统签名更紧凑，从而有望提升整体运行效率。Ben-Sasson强调：“若拒绝使用ZK STARK聚合，将错失真正突破瓶颈的机会——核心在于能否让全球用户顺畅接入比特币，这依赖于规模化的扩展能力。”

区块扩容：一条可行但政治敏感的替代路径

PostQuantum.com作者、Applied Quantum创始人Marin Ivezic分析称，当前的SegWit机制虽已降低大签名影响约75%，但若采用NIST的ML-DSA-44方案（单签2420字节），区块容量将从现有2500至3000笔下降至500至700笔，引发关于区块大小的激烈争论。

虽然增加区块大小是直接工程解决方案，但2017年的硬分叉分歧表明，该方式面临严重的去中心化风险。更高的数据承载与验证成本意味着节点门槛上升，可能催生中心化趋势。因此，即便技术上可行，治理层面的阻力仍使其难以推行。

新型签名压缩技术的探索与局限

Blockstream Research正致力于优化基于哈希的后量子签名体积，提出SHRINCS与SHRIMPS方案。前者日常签名体积约为当前标准的5倍，但在钱包恢复场景下可能高达40倍。尽管已在Liquid侧链完成真实交易测试，但其复杂性与可用性缺陷尚未完全解决。若不配合区块扩容，这些签名仍将拖慢主网速度。

Ivezic指出：“提升本地容量是简单的技术答案，却是最难的治理抉择。我们已无暇再经历漫长的辩论。”

ZK聚合为何更具去中心化优势

ZK证明聚合不仅能提升吞吐量，更能在维持网络去中心化方面发挥关键作用。其本质是一种无需披露全部信息即可验证某项事实的数学机制——例如，可在不透露密码的前提下证明你知道保险柜密钥。

从实现角度看，单个区块生成一次ZK证明即可完成验证，设备成本远低于专业矿机。据Lean Ethereum设计要求，证明设备成本控制在10万美元以内，可在普通家庭环境中运行；而验证过程几乎可在任意设备上完成，包括树莓派等低成本硬件。

Ben-Sasson提到，早期比特币开发者Greg Maxwell与Mike Hearn均高度认可ZK STARKs的后量子安全性及无需可信设置的特性。他相信Bitcoin Core开发者Luke Dashjr与Adam Back也正在接受这一理念，并在私下表达支持。尽管媒体联系Adam Back未获回应，但其公开立场曾多次暗示对新技术的开放态度。

比特币专属的底层改造提案

鉴于比特币社区保守的文化惯性，最现实的路径或许是重新启用中本聪原始代码中的OP_CAT指令。Ben-Sasson认为，该操作码虽被移除，但若恢复，将使比特币具备原生支持STARK证明、签名聚合与后量子安全的能力，堪称重启中本聪最初愿景的关键一步。

尽管此前12至24个月间对该提案关注度上升，但近期热度明显回落。另有更具前瞻性的设想，如引入专用于验证STARK的OP_STARK_VERIFY操作码。BIP-360合著者Ethan Heilman提出“BitZip”方案，即把签名与公钥聚合成一个统一的STARK证明。他指出，实现路径可分为两类：一是添加通用操作码构建类似ZK Rollup的系统；二是直接在共识层集成STARK支持，或采用较弱但实用的聚合方案如CISA。

实施前景受制于治理而非技术能力

Ivezic明确指出，当前障碍并非技术瓶颈，而是治理僵局。他认为Ben-Sasson所依赖的密码学基础坚如磐石：纯哈希假设、无可信设置、数千签名压缩为微小证明。真正难题在于脚本系统尚不支持STARK验证，而生产级验证器带来的共识面过于宽广。

以OP_CAT为例，其讨论历时数年，可见共识调整之难。因此，即使技术成熟，主流采纳预计要到2030年代才可能展开。

相较之下，以太坊计划于2029年完成向后量子时代的过渡，Solana亦在积极测试后量子签名。而StarkNet凭借账户抽象与智能钱包架构，使得底层密码学升级无需用户手动迁移，具备显著先发优势。对此，Ben-Sasson评价道：“在StarkNet上，我们拥有巨大优势——因为系统本身可演进，不存在固化结构。”