后量子密码的现实困境：没有绝对安全的算法

当前区块链行业推动后量子密码学转型的背后，隐藏着一个关键矛盾：没有任何一种候选方案能被100%证明具备抗量子攻击能力。在量子计算机问世前，我们无法验证其有效性。部分方案甚至可能在“Q日”来临之前就被经典计算手段攻破。

标准机构的筛选与现实挑战

美国国家标准与技术研究院（NIST）曾对69种后量子候选算法进行测试，其中两种——Rainbow和SIKE——已被经典计算机成功破解。目前推荐的三种数字签名方案，均为基于现有研究的最佳推测：基于格结构的CRYSTALS-Dilithium（ML-DSA）作为主推方案，Falcon（FN-DSA）用于小签名场景，以及基于哈希的SPHINCS+（SLH-DSA）作为最终候选。

BOLTS公司密码专家Yoon Auh指出：“如果某个方案看起来可行，我们就尝试部署。一旦发现问题，会及时通知。但真正的考验在于时间——只有经过持续的攻击尝试，才能判断其可靠性。”他补充道，包括RSA、ECC和AES在内的现行加密技术，其安全性也仅依赖于时间的积累，而非数学上的严格证明。

唯一被证明安全的密码学：一次性密钥本

“在现代密码学整个发展历程中，仅有一种方案被数学上证明是安全的——即一次性密码本。然而，它因使用成本过高，几乎无法应用于数字商业场景。”

他强调：“我们所依赖的所有算法——从传统到后量子变体——其安全性都无法被形式化证明。这也是为何NIST要推出多种候选方案的原因。他们无法从数学上告诉你哪一个是真正安全的。”

风险与紧迫性并存：升级刻不容缓

尽管存在不确定性，但部分比特币持有者认为，目前暂缓升级是合理选择。Coinshares分析师Christopher Bendiksen在报告中指出，如BIP-360这类抗量子地址升级，在底层密码学未充分验证前引入，实属高风险行为。他警告：“在实际量子威胁出现前就投入资源开发可能迅速过时或失效的方案，无异于浪费宝贵开发精力。”

然而，现实不容等待。量子计算专家普遍预测，未来五至十年内，具备密码学破坏力的量子计算机将可能问世。例如，PsiQuantum已在芝加哥启动100万量子比特阵列的建设进程。

多签名共存：构建弹性防御体系

为应对未知风险，比特币与以太坊开发者正在探索允许多种签名类型共存的架构设计。以太坊计划通过账户抽象（Account Abstraction）在执行层提供多种后量子签名选项，涵盖基于格与基于哈希的方案，兼顾性能与稳健性。

知名研究员Justin Drake解释：“智能合约的灵活性使签名切换成为可能。例如，可设定‘今日使用方案A’，五年后若发现新研究进展，即可无缝切换至方案B，用户无需迁移地址，资金依然安全。”

以太坊共识层：拥抱哈希与零知识技术

共识层改造拟采用对ZK友好的扩展默克尔签名方案，如由Blockstream密码学家Mikhail Kudinov主导开发的LeanSig。该方案基于哈希函数，被视为最保守且经受最多实战检验的技术路径。以太坊后量子团队负责人Antonio Sanso表示：“我们不依赖花哨假设，只使用成熟可靠的哈希技术。”

他进一步指出：“若量子计算机真能破解哈希函数，那意味着整个密码学体系已全面崩溃。”

哈希函数的“烘焙时间”法则

NIST批准的后量子签名普遍比现有方案大十倍以上，面对数百万验证者，共识层需每秒处理数千个签名。为此，以太坊将采用签名聚合与压缩技术，并结合对ZK友好的Poseidon2哈希函数。

Drake在近期访谈中透露：“当我们将Poseidon部署上线时，它将已接受长达八年的密码分析。自2019年首次提出以来，该函数已历经领域顶尖专家的反复检验。我们甚至设立了100万美元奖金，激励外部研究人员尝试攻破它。”

“你无法证明一个算法是安全的，只能确认至今未发现有效攻击。因此，我们需要的是‘烘焙时间’——我心目中的最低门槛是八年。为什么？因为中本聪选SHA-256时，它已有八年历史；Vitalik选用Keccak时，也已存在六年。所以，我希望Poseidon至少经历八年沉淀后再正式启用。”

比特币的灵活路径：预留未来演进空间

BIP-360合著者Ethan Heilman表示，该提案允许未来通过向Tapscript添加新操作码，动态引入后量子签名算法。“我们不必现在就锁定单一方案。未来或许会出现更优解——更安全、签名更小或支持新功能。”

他指出，该机制可实现双轨并行：一种保守但效率较低的基于哈希方案（如SLH-DSA），搭配一种较轻量但尚处早期阶段的方案（如ML-DSA）。一旦某一方被攻破，系统可立即切换至另一备用方案，实现风险对冲。

Heilman还建议保留现有Schnorr签名，同时内置在“Q日”临近时自动切换至SLH-DSA的能力。随着新算法不断涌现，如2025年底提出的SHRINCS签名（大小仅为SLH-DSA的十分之一），亦可逐步纳入体系。

“这不仅是技术升级，更是对未来不确定性的战略储备。”