Coinbase计划打造可适配任意签名方案的比特币后量子托管系统

Coinbase正在打造一套可以抵抗量子计算机破解的资产托管系统，用来保护机构客户巨额加密资产，这套系统可以适配比特币等公链未来新的签名方式。量子计算机未来可能破解现有加密签名，而新的后量子密码和常用的MPC密钥拆分技术不太匹配。下面小编简单梳理了Coinbase设计后量子托管系统的最新消息。

Coinbase已着手设计一套后量子托管系统，旨在保护约2500亿美元机构资产，同时能够支持比特币或其他公链未来采用的任何全新签名方案。

Coinbase为多种签名方案做托管准备

MARA基金会电视台采访了Coinbase首席密码学家耶胡达・林德尔（Yehuda Lindell）。他表示，无论各条区块链最终选定哪一种后量子签名方案，Coinbase都希望自身托管平台可以持续正常使用。

比特币尚未选定用于实际落地的后量子签名方案，托管机构缺少统一的技术标准来重构系统。林德尔称，不同区块链社区可能会各自作出不同选择，而非全部采用同一套通用方案。

因此Coinbase对多种可能性同步进行筹备，而不是仅围绕某一种候选方案搭建系统。林德尔表示，公司希望避免出现这样的局面：某条区块链启用新签名方案，但Coinbase托管基础设施无法兼容。

这项工作意义重大，林德尔在节目中透露，Coinbase为机构客户托管的资产规模约2500亿美元，客户包括贝莱德，贝莱德借助Coinbase托管服务存放其投资产品对应的数字资产。

美国8月一份托管评估报告的数据则显示，Coinbase机构托管资产约3760亿美元，该报告称Coinbase保管着美国比特币、以太坊现货ETF超过80%的资产。两组数值存在差异，原因在于统计日期、纳入统计的服务与资产范围不同。

托管系统负责保管交易授权所需私钥。因此，比特币签名算法未来一旦变更，大型托管机构就必须更新私钥生成、存储与调用的底层技术。

后量子签名给现有MPC托管带来挑战

很多机构托管平台采用多方计算（MPC）技术，将私钥控制权拆分给多方。在该模式下，交易审批时，任何参与方都无需持有或拼接完整私钥。

林德尔表示，不少后量子签名方案“并不适配MPC”，因为其数学设计与当前主流区块链所用签名算法差异很大。基于哈希的签名方案问题尤为突出，这类方案缺少传统密码学密钥拆分所依赖的算术结构。

林德尔提到，包括斯坦福大学密码学家丹・博内（Dan Boneh）在内的研究人员正在探索将MPC式权限管控应用于这类签名的可行方案。不过相关研究尚处在高度实验阶段，目前还不确定能否为哈希签名开发出等效于MPC的实用系统。

Coinbase在本次托管方案设计之前，就已经布局该领域。今年1月，公司成立独立的量子计算与区块链顾问委员会，成员包含博内、林德尔、以太坊基金会研究员贾斯汀・德雷克（Justin Drake）、德州大学教授斯科特・阿伦森（Scott Aaronson）、Eigen Layer创始人斯里拉姆・坎南（Sreeram Kannan）以及分布式系统专家达莉娅・马尔希（Dahlia Malkhi）。

Coinbase称其后量子路线图包含改造比特币地址处理逻辑、升级内部密钥管理系统，以及研究在MPC架构内支持ML-DSA这类签名方案。公司交由顾问委员会评估量子技术进展、发布相关建议并应对重大技术突破。

其他托管机构也已开始测试相关方案。6月，BitGo联合Silence Laboratories测试基于ML-DSA协议的抗量子MPC方案，并集成进BitGo托管平台。两家机构表示，该模拟方案保留分布式密钥控制权、策略校验与职责分离机制。

ML-DSA纳入美国国家标准与技术研究院发布的后量子数字签名标准FIPS204。林德尔的表态说明，Coinbase希望搭建的架构，在比特币或其他公链选用其他方案时，也能处理ML-DSA以外的签名算法。

硬件模块可作为托管备用方案

林德尔介绍，为降低对MPC兼容性的依赖，Coinbase正在研究一套依托可编程硬件安全模块（HSM）的备用方案。

硬件安全模块是具备物理防护的设备，用于存储密码材料并执行敏感运算。按照Coinbase正在考量的架构，私钥将通过后量子密码体系加密，并且仅在安全HSM内部完成密钥拼接。

完整密钥保存在受保护设备内部，托管方就能够适配那些无法通过传统MPC拆分的签名方案。可编程模块也方便Coinbase在区块链开发者敲定新标准后新增适配支持。

林德尔并未给出项目完工时间，称这项技术研发耗时较长。但一旦系统落地，Coinbase无需预判每条公链会选择哪套后量子方案。

“我可以做到，支持任意签名方案。”林德尔表示。

在这套拟议架构下，物理安全的重要性进一步提升，因为完整密钥会短暂存在于HSM内。因此Coinbase要求硬件模块完成签名操作时，密钥不会暴露给外部软件或操作人员。

这套方案并非要求Coinbase放弃MPC；对于兼容MPC的签名方案，MPC仍可继续使用。HSM架构仅作为备选托管方案，应对那些无法使用分布式密钥生成与签名的密码体系。

比特币尚未通过量子迁移方案

比特币当前采用椭圆曲线密码体系，目前还没有可实用的量子计算机能够从公钥反推私钥。但研究人员与行业团体依旧呼吁提前准备，因为改造比特币安全模型，需要软件开发、测试、钱包升级以及全网共识。

Crypto.news在6月报道，Coinbase顾问委员会呼吁比特币开发者，在具备密码破解能力的量子计算机问世前，着手开发迁移工具。委员会估算，约170万枚比特币存放在公钥外露的旧式P2PK地址；而地址复用行为，可能使多达500万枚比特币在未来面临风险。

该顾问委员会并不建议冻结、销毁或者放任有风险的代币被未来攻击者窃取。委员会提出，比特币社区应通过共识机制，决定迁移截止日期之后，如何处理仍留在旧地址格式内的代币。

多项草案提案正在分模块解决该问题。BIP360（Pay-to-Merkle-Root）旨在移除Taproot中存在量子风险的密钥路径花费功能；BIP361则描述，在比特币上线后量子输出方案后，分阶段淘汰旧版ECDSA与Schnorr签名。

两项提案均尚未激活。近期一份迁移评估还提到，正在讨论的实验性哈希签名方案SHRINCS目前只是未编号草案，还需要进一步审核并完成安全性证明。

对于美国投资者而言，Coinbase的这项筹备工作，既覆盖受监管投资产品托管资产，也包含机构直接客户存储的代币。比特币、以太坊现货ETF投资者并不掌控基金底层资产对应的私钥，私钥由发行方选定的托管机构管理。

如果美股上市基金所投资的比特币、以太坊或其他公链启用全新密码体系，Coinbase支持多签名方案的能力就会发挥作用。但任何区块链的迁移落地，取决于网络规则，以及用户、钱包服务商、交易所、托管机构和基金运营方的共同行动，并非Coinbase单方面能够决定。