Ledger首席技术官Charles Guillemet表示，比特币面临的是迁移挑战，而非迫在眉睫的量子危机。
SHRINCS将有状态签名与无状态回退相结合，目前依靠SHA-256提供安全性。
当前的SHRINCS签名范围从548字节到5,777字节，具体取决于签名路径。
重用单个有状态签名槽可能启用伪造签名，造成严重的钱包级资金盗窃风险。
比特币BIP 360和361仍然是草案，使整个网络的后量子迁移政策未决。
Ledger首席技术官Charles Guillemet在Ledger发布的技术分析中表示，“比特币今天没有量子计算机问题”，同时警告迁移研究、软件实现、硬件钱包更改和用户采用可能需要数年。他表示，目前已知不存在能够破解比特币当前签名的密码学相关量子计算机，而此类机器出现的时间仍不确定。
他的审查侧重于SHRINCS，这是一个比特币特定的后量子签名草案提案，将较小的有状态签名机制与较大的无状态恢复路径相结合。该规范尚未完成，没有分配BIP编号，并声明其正式的“安全证明是TODO”。
您可能还喜欢：比特币储备法案以28-21通过众议院小组委员会
比特币迁移涉及的不只是选择密码学
Guillemet将过渡分为三个问题：选择后量子签名方案、使比特币钱包和协议基础设施适应该方案，以及决定现有BTC如何转移到抗量子输出。最后一个问题包括那些所有者可能丢失密钥或多年未移动资金的硬币。
比特币当前的交易授权严重依赖于基于椭圆曲线密码学的ECDSA和Schnorr签名。理论上，运行Shor算法的足够强大的量子计算机可以从暴露的公钥中恢复私钥，但目前没有公开演示的机器能对比特币执行这种攻击。
Guillemet表示，不能仅根据替代方案的密码学强度来判断迁移，因为钱包、硬件设备、备份系统和多设备设置必须安全地实现它。他将就易受攻击的遗留硬币达成社会共识描述为较难解决的未决问题之一。
其他密码学家也出现了类似的立场。斯坦福大学密码学家Dan Boneh认为，比特币应为量子风险做好准备，同时避免可能引入严重软件故障的仓促迁移。
SHRINCS以钱包状态换取更小的签名
当前的SHRINCS草案规范描述了一个基于SHA-256的哈希系统，这是比特币已经广泛使用的同一哈希家族。其设计者在所选参数下目标约为128位的经典安全性和64位的量子安全性。
其48字节的公钥承诺了两个签名路径。紧凑路线使用Flexible XMSS和WOTS+C，产生从548字节到4,619字节的有状态签名。基于SLH-DSA概念的无状态回退产生5,777字节的签名。
NIST于2024年8月将SLH-DSA标准化为FIPS 205。该标准本身是无状态的，基于SPHINCS+，而SHRINCS草案在其单独的有状态组件旁边使用自定义参数配置。
新数字很重要，因为SHRINCS的早期版本产生了经常被引用的324字节有状态签名。Guillemet表示，该数字不再描述当前的比特币草案。9月的规范从其有状态路线的548字节开始。
Blockstream Research认为，基于哈希的签名提供保守的密码学假设和相对便宜的验证。其5月的研究指出，标准化的后量子签名比比特币当前的64字节Schnorr签名大得多，给区块空间和交易吞吐量带来压力。
Blockstream已经通过Simplicity在Liquid侧链上演示了SHRINCS验证，但该实验并不意味着该方案在比特币主网上处于活动状态。比特币规范仍然是研究工作，在任何网络部署之前需要审查和共识。
有状态签名创造了新的钱包故障模式
紧凑的SHRINCS路径要求每个一次性签名密钥只能使用一次。因此，钱包维护一个计数器，标识应使用哪个签名槽，并且该计数器必须在签名离开设备之前永久向前移动。
如果钱包对两个不同的消息使用相同的签名槽，签名暴露的信息可能让观察者伪造有效签名。Guillemet写道，攻击者不一定恢复整个私钥种子，但受影响用户的资金仍然可能被窃取。
备份创造了另一个问题。从旧副本恢复钱包可能会恢复过时的计数器。如果两个从相同种子初始化的硬件设备在没有协调哪些一次性密钥已被消耗的情况下独立使用有状态路径，它们可能面临相同的风险。
独立项目Project Eleven对SHRINCS的审查得出了类似的结论。研究人员Alex Pruden和Conor Deegan表示，该方案将安全关键的状态要求转移到钱包和托管系统中，其中备份恢复或状态回滚可能导致一次性密钥的重复使用。
当状态丢失或不确定时，SHRINCS提供回退。原始种子仍然可以派生无状态签名密钥，允许使用5,777字节的签名移动资金。一旦其计数器不再可信，钱包必须永久停止对该密钥使用紧凑的有状态路线。
Guillemet将此特性描述为SHRINCS更强的设计选择之一，因为丢失状态会影响效率，而不会自动使硬币无法花费。
当前的钱包功能无法顺利转移
从椭圆曲线签名到基于哈希的签名的转变将改变比特币用户今天依赖的几个钱包工具。非硬化BIP32派生允许扩展公钥在不暴露私钥的情况下生成子公钥，支持常见的只读钱包设计。Guillemet表示，高效的等效方案不会自然地转移到基于哈希的签名。
阈值签名提出了一个相关问题。基于Schnorr的系统可以有效地组合参与者，而已知的基于哈希的替代方案往往需要更大的签名、更多的存储或通信，或不同的信任假设。Guillemet表示，不应期望SHRINCS提供当前Schnorr阈值系统的紧凑即插即用替代品。
硬件性能仍然是另一个限制因素。Ledger的分析表示，在某些安全硬件上，后量子密钥生成和无状态SHRINCS路径可能需要几分钟，因为该过程执行许多SHA-256操作，并且比Schnorr签名需要更多内存。
Blockstream的研究以不同的方式框架化权衡，认为SHRINCS验证由SHA-256计算主导，因此即使签名消耗更多字节，也可以保持计算上可管理。当前草案声称其每个签名字节的 worst-case 验证成本低于BIP340 Schnorr。
比特币尚未采用后量子迁移
SHRINCS只是当前比特币量子安全讨论的一部分。BIP 360，称为Pay-to-Merkle-Root，是一个单独的草案提案，旨在消除Taproot的量子易受攻击的密钥路径支出，并保护用户免受长期暴露攻击。
BIP 360本身不引入后量子签名算法。其作者表示，短期暴露攻击（攻击者在交易揭示其公钥后但在确认之前派生私钥）可能需要未来的后量子签名方案。
BIP 361更直接地解决迁移问题。该草案提案描述了在后量子输出机制可用后，逐步淘汰遗留ECDSA和Schnorr支出。其提议的时间表包括初始迁移期，随后是对遗留签名的更严格限制。
正如crypto.news在其BIP 360和BIP 361审查中报道的那样，一个未决问题是从未迁移的易受攻击BTC应该发生什么。可能的处理方法可能影响被认为丢失、被遗弃或由无法参与未来升级的所有者控制的硬币。
Coinbase的独立密码学咨询委员会已单独呼吁在量子攻击者存在之前开始迁移规划。该委员会支持准备工作，同时将冻结或处理遗留硬币的问题留给比特币社区。
截至9月17日，官方比特币BIP存储库仍将BIP 360和BIP 361列为草案。SHRINCS本身仍然是未编号的草案规范，其作者警告说，该密码学是原型工作，需要进一步的同行评审和完成的安全证明。
常见问题解答
比特币今天容易受到量子计算机的攻击吗？
目前没有任何公开演示的量子计算机可以从比特币的椭圆曲线公钥中恢复私钥。Guillemet将直接挑战描述为在如此硬件变得实用之前准备迁移。
比特币已采用SHRINCS吗？
没有。SHRINCS是一个实验性草案规范，没有分配BIP编号。它未在Bitcoin Core或比特币共识规则中激活。
如果SHRINCS钱包丢失其签名状态会发生什么？
当前设计允许种子恢复无状态签名路径，产生更大的5,777字节签名。当以前的计数器不可信时，钱包不应恢复紧凑的有状态签名。
为什么重用的SHRINCS状态是危险的？
其紧凑路线依赖一次性签名密钥。对不同的消息重用相同的槽可能会暴露足够的信息，允许伪造签名和可能的资金盗窃。
BIP 360和BIP 361处于活动状态吗？
没有。规范的比特币BIP存储库目前将这两个提案列为草案。两者均未作为比特币共识更改激活。