為什麼比特幣錢包製造商走向抗量子安全的道路如此艱難

目錄

• 你可能會想知道
• 主要主題
• 重點見解表
• 後續……

你可能會想知道

• 為什麼較小、效率更高的後量子簽章，可能為比特幣使用者帶來新的風險？
• 為什麼比特幣要具備抗量子能力，可能不只需要變更比特幣網路，也需要更動硬體錢包？

主要主題

比特幣託管一直要求使用者和開發者管理安全風險。Trezor 等硬體錢包旨在讓私鑰保持離線，但量子運算的前景帶來的挑戰，不僅限於保護這些金鑰。錢包製造商正在考慮使用者將如何建立交易、裝置如何驗證其軟體，以及如何讓複雜的安全規則在日常使用中易於管理。

後量子比特幣簽章的領先候選方案之一是 SHRINCS，由 Blockstream 研究總監 Jonas Nick 和密碼學家 Mikhail Kudinov 於去年年底提出。它採用複合式雜湊方法，並支援兩種簽章：有狀態和無狀態。兩者在大小、效率以及保護資金所需的操作上，各有不同取捨。

無狀態簽章可以安全地重複使用，因此從追蹤哪些簽章金鑰已經用過的角度來看，較容易管理。它的主要缺點是體積較大。較大的簽章可能會影響交易手續費、簽章速度和其他效率指標。相較之下，有狀態簽章較小、效率較高，但需要嚴格追蹤錢包的簽章狀態。

SHRINCS 的有狀態部分依賴一次性簽章樹。這些金鑰的設計用途有限。若同一把金鑰使用超過一次，便可能暴露足以讓他人偽造使用者簽章、並可能竊取資金的密碼學資訊。危險不僅在於這項技術不熟悉，更在於狀態追蹤出錯會直接造成安全後果。

這項要求意味著錢包軟體必須仔細記錄已使用的簽章額度，並防止意外重複使用。開發者也需要考慮較少見的情況，例如還原錢包、更換裝置，或使用與同一組復原助記詞綁定的多部裝置。記錄的狀態與實際簽章紀錄之間任何落差，都可能造成漏洞。

Trezor 技術長 Tomáš Sušánka 表示，這不只是密碼學問題，也同樣是使用者體驗問題。如果提供的功能必須仰賴使用者理解並維持精確狀態才能安全運作，錢包可能就是把太多責任轉嫁給使用者。正如他所說：「你是在給他們一個犯錯的機會。」他認為，錢包開發者應該以確保安全的方式打造這項功能，而不是期待一般使用者正確處理每一項技術細節。

Trezor 正在考慮的一種做法，是將體積較大、速度較慢的無狀態簽章設為預設選項。效率較高但風險較大的有狀態選項，則可放在進階設定中，而非作為一般選項呈現。這種設計會優先考量大多數使用者的安全與簡便，同時保留選項，供願意了解並管理額外要求的使用者使用。

核心設計挑戰並非單獨挑選速度最快的簽章，而是確保最方便的選項也不容易被誤用。預設設定會影響大量錢包的安全性，而進階選項則能讓重視效率且了解其使用條件的使用者保有彈性。

SHRINCS 的潛在優勢之一，在於其保守的密碼學基礎：它依賴與 SHA-256 相同的密碼學假設。然而，即使對這些假設有信心，也無法消除實際實作有狀態簽章時的疑慮。Sušánka 表示自己對此感到猶豫，因為維護狀態可能成為負擔，尤其是使用者期待錢包能在不同裝置上穩定運作。

例如，使用者可能有兩部使用相同復原助記詞的 Trezor 裝置。如果兩部裝置都能簽署交易，就必須同步簽章紀錄，以避免重複使用一次性金鑰。要可靠地分享並更新這些狀態並不容易。錢包製造商必須考慮裝置能否互相通訊、發生故障後如何還原狀態，以及使用者從備份還原錢包時應如何處理。

同時，效率上的差異也很重要。Sušánka 指出，有狀態簽章的體積小了 10 倍。這種縮減可能對交易資料和系統效率帶來顯著影響。因此，直接排除有狀態簽章，就等於放棄一項重要優勢。這是在較小的簽章，以及維護其狀態所需的操作與安全要求之間做取捨。

量子安全準備的範圍也超越比特幣交易所使用的簽章格式。許多硬體錢包在裝置專屬的安全功能上，仍仰賴易受量子攻擊的密碼學技術，包括韌體驗證和裝置驗證。即使比特幣採用後量子交易簽章，若裝置的軟體或身分驗證仍易受攻擊，就無法充分防範量子時代的威脅。

若要稱硬體錢包已做好量子安全準備，其自身的安全機制也必須採用後量子密碼學。這包括確認韌體是否為真，以及建立對裝置本身的信任。Trezor 已開始出貨支援錢包驗證流程中後量子密碼學的產品，例如 Trezor Safe 7。這項支援是裝置安全的重要一步，但單靠它並不能讓比特幣交易具備量子安全性。

使用這類裝置建立的交易，只有在比特幣本身採用並啟用後量子防護後，才會具備量子安全性。這項區別很重要：功能完善的錢包無法自行改變網路規則，而網路升級也無法自動取代每部裝置內易受攻擊的安全功能。要協調這些層面，開發者、錢包製造商和使用者都必須為逐步轉型做好準備。

Sušánka 提醒開發者，不要等太久才為使用者提供遷移選項。讓可能多達數百萬名使用者改用新的安全做法需要時間。錢包軟體、裝置、復原程序和使用者教育都必須支援這項轉型。若技術上理想的解決方案缺乏實際可行的遷移途徑，就很難大規模採用。

轉型應該多嚴格，也需要做出選擇。限制所有功能，或堅持每位使用者都採取毫不妥協的做法，可能會拖慢進展。另一方面，若只追求便利，卻不說明安全條件，使用者可能會暴露於風險之中。挑戰在於做出合理折衷，同時清楚說明每種選項的後果。

實際而言，為後量子比特幣做好準備是共同責任。研究人員必須評估候選簽章方案；協定開發者必須研議網路層級的變更；錢包製造商必須設計可靠的簽章與復原體驗；裝置製造商則必須更新驗證和韌體防護。使用者也需要明確資訊，了解何時必須升級，以及如何遷移而不失去資金存取權。

因此，圍繞 SHRINCS 的討論反映出安全工程的一項更廣泛啟示：強大的密碼學工具只是安全系統的一部分。工具如何實作、選擇哪些預設值、裝置如何處理故障，以及使用者能否遵循預期流程，都會影響現實世界中的安全性。平衡的設計必須同時考量技術強度與人類行為。

重點見解表

後續……

比特幣邁向抗量子安全的道路，將取決於多個相互關聯領域的進展。研究人員和開發者需要評估後量子簽章方案、測試其效能，並找出如何在不為使用者造成不可接受風險的情況下導入這些方案。協定層級的規劃應搭配錢包設計，讓安全的操作方式成為最容易採取的方式。

硬體安全也值得同等重視。未來的工作應探討如何運用後量子密碼學保護韌體更新、裝置驗證和復原流程，同時確保這些機制在日常使用中仍可靠。支援後量子驗證的產品是有益的準備，但必須將其價值理解為更廣泛系統轉型的一部分。

遷移研究也應聚焦於真實情況：使用者可能有多部裝置、使用備份，或在設定錢包多年後才需要還原。如何管理簽章狀態、更換裝置，以及在發生錯誤時如何應對，都需要清楚的流程，才能降低風險。最持久可靠的做法，將結合穩健的密碼學、審慎的預設設定、可靠的復原機制，以及易於理解的指引。

歸根究柢，量子安全準備不是單一公司或一次軟體更新就能啟動的開關，而是一項長期協調工作，涉及研究、網路開發、硬體、錢包介面和使用者教育。共同探索這些領域，有助於比特幣生態系採用更強的防護，同時不忽略決定安全性能否在日常生活中發揮作用的實務細節。