币圈界报道：

比特币迈向后量子时代：ZK STARKs能否成为首选路径？

StarkWare联合创始人Eli Ben-Sasson指出，零知识证明中的ZK STARKs是应对比特币面临量子攻击风险，并同时支持全球范围大规模应用的最优解。他进一步表示，Blockstream创始人Adam Back亦持类似观点。

后量子签名的体积困境与压缩方案

当前美国国家标准与技术研究院（NIST）认证的后量子数字签名方案，其数据量为传统ECDSA或Schnorr签名的10至100倍。若直接部署，可能使区块处理能力骤降至每秒不足一笔交易。然而，通过将多个大体积签名聚合为单一微小的ZK STARK证明，可显著降低整体负载——甚至优于现有签名组合。

Ben-Sasson强调：“若禁止使用ZK STARK进行聚合，将无法真正解决可扩展性问题。核心在于‘是否能让所有人便捷地使用比特币’？唯有实现规模扩展，才需依赖如签名聚合等机制，单纯扩大区块容量远不足以支撑未来需求。”

区块扩容：权宜之计还是深层隐患？

PostQuantum.com作者、Applied Quantum创始人Marin Ivezic分析称，虽SegWit已缓解大签名影响，但基于哈希的ML-DSA-44方案（单签2420字节）仍将区块处理上限压至500至700笔，远低于当前2500至3000笔水平。

尽管增加区块大小看似直接有效，但历史经验表明，该方式会加剧节点运行成本，要求更强大的硬件与存储资源，从而削弱网络去中心化。2017年因扩容分歧导致的社区分裂至今仍具警示意义。

Blockstream Research正探索缩减后量子签名体积的技术路径，如SHRINCS与SHRIMPS方案。前者签名体积约为现行标准的5倍，恢复场景下可达40倍。虽已在Liquid侧链完成测试，但复杂度与可用性仍处早期阶段，除非配合扩容，否则难以避免性能下降。

ZK聚合：效率与去中心化的双重保障

ZK证明的核心价值在于无需披露原始数据即可验证其真实性。例如，可在不透露密码的前提下证明你知道保险柜密钥。

从实现角度看，每个区块仅需生成一次主证明（冗余副本增强安全性），所需设备成本远低于专业矿机。以太坊生态的Lean Ethereum项目设定证明设备成本低于10万美元，普通家庭即可运行。而验证过程几乎可在任何终端完成，包括树莓派等低功耗设备。

Ben-Sasson透露，早期比特币开发者Greg Maxwell与Mike Hearn均看好ZK STARKs的后量子安全性及无可信设置特性。他认为Bitcoin Core开发者Luke Dashjr与Adam Back也正在接受这一理念，“我亲耳听他们表达过支持。尽管两人并非总意见一致，但在这一技术方向上，我认为他们达成了共识。”媒体尝试联系Adam Back置评未果。

以太坊研究员Justin Drake公开呼吁比特币采纳类似Lean Ethereum的聚合机制，视其为行业标准潜力。但他也承认，政治阻力可能阻碍这一进程。

通往比特币原生支持的可行路径探讨

鉴于比特币生态对变更高度谨慎，最现实的推进方式或许是重新启用中本聪设计的九行代码——OP_CAT操作码。Ben-Sasson认为，此举可直接支持STARK证明、签名聚合与后量子安全，堪称重启中本聪最初构想的关键一步。

尽管约12至24个月前该提议曾引发热潮，但近期热度明显回落。

其他前沿提案包括专用于高效验证STARKs的OP_STARK_VERIFY，以及由BIP-360合著者Ethan Heilman提出的BitZip方案，即通过生成统一的STARK证明来整合签名与公钥。他表示，实现路径主要有两种：一是在比特币脚本层添加通用操作码构建类ZK Rollup系统；二是直接在共识层集成对STARKs的支持。此外，较弱的聚合机制如CISA也可能提供辅助作用。

技术成熟度之外的治理瓶颈

Ivezic指出，比特币面临的最大障碍并非技术能力，而是治理僵局。“Eli的密码学基础极为坚实：纯哈希假设、无可信设置、数千签名压缩为极小证明。真正的难题存在于密码学之外——当前比特币脚本无法验证STARK，且生产级验证器带来的共识复杂性远超一个简单的操作码。”

他补充道：“即便像OP_CAT这样微小的改动，也耗费数年争议。因此，底层引入完整STARK验证器，现实层面至少要到2030年代才可能进入正式讨论。”

相较之下，以太坊计划于2029年完成向后量子时代的过渡，而Solana亦持续试验后量子签名。StarkNet则凭借账户抽象与智能钱包架构，在升级过程中具备天然优势，使其能够轻松实现底层密码学迭代，无需用户手动迁移。对此，Ben-Sasson评价称，以太坊与Solana的转型之路将“异常艰难”。