后量子密码升级困局：技术未验先用

核心提要：尽管后量子签名方案尚未被完全证实，但主流区块链已启动升级进程。本文解析为何在技术未成熟前仍需推进，以及各项目如何通过多签名并行、动态切换与长期验证机制应对不确定性。

为何在未验证前就推动后量子密码演进？

当前区块链生态正面临一个核心矛盾：所有候选的后量子签名算法均未经过数学上的严格证明，其安全性依赖于时间考验而非理论保障。即便美国国家标准与技术研究院（NIST）推荐的几种方案——如基于格的CRYSTALS-Dilithium与Falcon，以及基于哈希的SPHINCS+——也仅是目前最可能存活的推测性选择。

现有密码体系亦无绝对安全，仅靠时间筛选

密码学家Yoon Auh指出，包括RSA、ECC和AES在内的现行加密标准，其有效性从未被数学证明，而是依靠数十年未遭破解的事实来建立信任。历史上唯一被证明安全的密码系统是一次性密码本，但因其使用成本过高，无法用于现代数字交易。因此，面对量子威胁，行业只能采取“试错+实战检验”的路径。

NIST测试中已有两种候选算法（Rainbow与SIKE）被经典计算机攻破，这进一步凸显了后量子技术的脆弱性。专家强调，真正有效的筛选方式并非理论推导，而是让全球研究者持续尝试攻击这些方案，直至找到稳定且抗干扰的变体。

风险与紧迫性之间的博弈

部分观点认为，若在密码学尚未充分验证时引入新地址格式，将浪费开发资源并可能导致系统失效。例如，Coinshares分析师Christopher Bendiksen质疑BIP-360等升级的必要性，主张等待更成熟的方案出现。

然而，量子计算发展速度远超预期。据估算，未来五至十年内具备破解能力的量子计算机或可实现。PsiQuantum已在芝加哥启动百万量子比特阵列建设，标志着实际威胁正在逼近。因此，延迟升级等于将系统暴露于潜在灾难之中。

以太坊三大层需同步演进

以太坊的后量子改造聚焦三个关键层面：执行层的secp256k1签名、共识层的BLS验证者签名，以及数据可用性层的KZG承诺。当前规划借助账户抽象机制，允许用户在多种签名方案间自由切换，涵盖基于格的高效变体与基于哈希的稳健备用方案。

以太坊后量子团队负责人Antonio Sanso表示，智能合约赋予系统高度灵活性，使签名切换对用户透明。知名研究员Justin Drake补充称，通过智能合约设定签名规则，可在无需迁移地址的情况下实现无缝更新，从而为长期演进预留空间。

共识层采用保守策略：哈希为王

为确保最高可靠性，以太坊共识层正探索基于哈希的扩展默克尔签名方案——LeanSig，由Blockstream与团队合作开发。该方案坚持最小假设原则，仅依赖经久考验的哈希函数，避免复杂结构带来的未知风险。

Sanso强调：“若量子计算机能破解哈希，那意味着整个密码学体系已崩溃。” 此外，为应对大规模验证需求，以太坊计划将签名聚合压缩成零知识证明，并采用对ZK友好的Poseidon2哈希函数。该函数自2019年提出以来已接受长达八年的分析周期，近期更设立百万美元奖金悬赏破解，以增强可信度。

Drake提出，“真正的安全不是来自证明，而是来自长时间未被攻破。” 他坚信，当部署到主网时，该哈希函数至少应经历八年以上的公开审验，如同当年中本聪选用SHA-256与Vitalik选用Keccak的历史经验。

比特币灵活架构支持未来替换

BIP-360的设计初衷正是为未来留出接口。合著者Ethan Heilman表示，该提案通过在Tapscript中添加新操作码，为后续引入后量子签名提供路径。这种设计允许在未来逐步替换或并行使用不同算法，规避单一方案被攻破的风险。

方案支持同时部署两种类型：一种是保守但签名较大的基于哈希算法（如SLH-DSA），另一种则是轻量但尚处早期的格基方案（如ML-DSA）。一旦前者被攻破，系统可立即切换至后者，实现快速响应。

此外，也有建议保留现有Schnorr签名，并在其临近“Q日”时启用备份的哈希签名；同时关注新兴方案如SHRINCS，其签名大小仅为传统方案的十分之一，由Blockstream Research团队于2025年底提出，专为比特币优化，兼顾效率与安全性。