比特币后量子安全新路径：ZK STARKs的潜力与挑战

StarkWare联合创始人Eli Ben-Sasson提出，基于哈希的ZK STARKs技术是应对比特币量子威胁并推动大规模应用的关键手段。他同时指出，Blockstream创始人Adam Back亦对该方向持支持态度。

大体积签名压缩：ZK聚合的核心价值

当前美国国家标准与技术研究院批准的后量子签名方案体积为传统ECDSA与Schnorr签名的10至100倍，可能将交易处理能力压降至每秒不足一笔。而通过将多个大签名合并为单一微小的ZK STARK证明，不仅可显著降低数据负载，甚至能提升整体网络效率。

Ben-Sasson强调：“若拒绝采用ZK STARK聚合机制，将无法真正解决可扩展性瓶颈。关键问题在于‘是否人人都能自由使用比特币’——这要求极致规模扩展，而签名聚合是不可或缺的一环。”

区块扩容：替代方案的代价与争议

PostQuantum.com作者Marin Ivezic认为，虽然SegWit已缓解大签名影响，但采用NIST的ML-DSA-44方案后，区块容量预计将从2500至3000笔骤降至500至700笔，引发对区块大小的激烈争论。

增加区块容量虽为直接工程解法，但曾于2017年因社区分裂而受阻。反对者担忧此举将加剧节点运行成本，导致硬件门槛上升，进而削弱网络去中心化程度。

密码学压缩探索：SHRINCS与SHRIMPS的局限

Blockstream Research正推进哈希类后量子签名的体积优化，提出SHRINCS与SHRIMPS方案。前者日常签名体积约为现行方案的5倍，恢复场景下可达40倍。尽管已在Liquid侧链验证，但其复杂性与可用性仍处早期阶段，若不配合扩容，仍会拖慢主链性能。

Ivezic直言：“本地扩容是简单的技术答案，却是最难的治理命题。我们已无暇再进行冗长辩论。”

ZK聚合：兼顾效率与去中心化的双重优势

ZK证明允许在不暴露原始数据的前提下验证信息真实性，如证明知晓保险柜密码而不透露密钥。单个区块仅需生成一次证明，设备成本远低于矿机，且验证可在树莓派等低配设备上完成。

Ben-Sasson表示，Greg Maxwell、Mike Hearn等早期开发者均看好无可信设置的ZK STARKs。他确认Adam Back与Luke Dashjr也私下表达支持，认为该技术具备变革潜力。尽管尚未公开表态，但其认可度在核心圈层已形成共识。

比特币专属升级路径：从OP_CAT到OP_STARK_VERIFY

鉴于比特币保守的治理文化，最可行的技术入口可能是重启中本聪遗留的OP_CAT指令。该九行代码一旦启用，即可实现STARK证明与签名聚合，被视为回归原初设计愿景的捷径。

此外，提案如OP_STARK_VERIFY（专用于验证STARKs的操作码）以及BitZip方案（将签名与公钥聚合成单一证明）也正在探索中。合著者Ethan Heilman指出，两种主要路径分别为构建类似ZK Rollup的系统，或在共识层原生支持STARKs。

Ivezic指出，问题不在技术本身，而在治理层面。尽管ZK STARKs在密码学上坚不可摧，且无需可信设置，但比特币脚本尚无法验证其有效性。相较一个操作码的争议，部署生产级验证器涉及更广的共识表面，预计至少要到2030年代才可能启动讨论。

反观以太坊计划于2029年完成后量子迁移，Solana亦在测试后量子签名。而StarkNet凭借账户抽象与智能钱包架构，使其升级路径更为灵活，使得底层密码学演进几乎无需用户干预。