比特币量子攻击可能导致中本聪的比特币被盗，而 Paradigm 已找到解决方案。

Paradigm 普通合伙人 Dan Robinson 拥有 出版 一项名为“可证明地址控制时间戳”（PACT）的系统提案，该系统将允许 比特币 钱包持有者目前私下证明其所有权，并可在网络冻结易受量子攻击的地址时使用该证明取回资金。该提案旨在保护休眠钱包，包括据信属于中本聪的钱包，而无需目前采取任何公开的链上操作。

该系统分两步运作：首先是今天利用现有资源做出的私人承诺。 比特币 该工具以及一份抗量子计算的证明将在稍后提交，以防软分叉冻结旧地址类型。创建此承诺无需比特币交易，且该过程不会公开持有者的任何信息，包括其地址或余额。

比特币面临的量子威胁是什么？

已暴露公钥的比特币地址容易受到一种名为密码学相关量子计算机（CRQC）的未来计算机的攻击。足够强大的CRQC可以从已知的公钥推导出私钥，从而使攻击者能够从任何已在链上暴露公钥的地址窃取资金。

Paradigm 估计，价值数千亿美元的比特币存放在公钥暴露的地址中。据信属于中本聪的钱包就持有约 1.1 万枚比特币，按当前价格计算价值超过 75 亿美元。这些钱包创建于 2012 年推出的 BIP-32 密钥生成标准之前，根据目前的提案，这些比特币尚无补救措施。

BIP-361 提出了什么内容？为什么它会引起争议？

开发者詹姆森·洛普和五位合著者发表了 BIP-361 4月中旬，他们提出了一项为期五年的计划，逐步淘汰易受量子攻击的地址。任何未在截止日期前迁移到量子安全格式的加密货币都将被永久冻结。

这项提议给长期不活跃的比特币持有者带来了严重问题。转移比特币是一项公开的链上操作，它会暴露钱包仍然活跃，泄露时间模式、钱包之间的关联，甚至可能泄露IP地址。具体到中本聪而言，转移比特币将证实这位匿名创建者仍然在世，并且仍然持有自己的私钥。比特币社区的许多人认为，强制披露这些信息是不可接受的。

BIP-361确实包含一条针对通过BIP-32生成的钱包的恢复路径，该路径使用父密钥知识的零知识证明。但2012年之前的钱包，包括中本聪已知的大部分地址，并未采用BIP-32，因此无法通过该路径恢复。

PACTs是如何运作的？

PACTs提供了第三条途径。该方案分为两个截然不同的阶段。

第一步：承诺

持有者生成一个 256 位的秘密盐值，这是一段随机的私有数据，使承诺具有唯一性和不可猜测性。然后，他们使用 BIP-322（一种无需广播交易即可对来自比特币地址的消息进行签名的标准）来生成对易受攻击地址的控制证明。

Robinson 指出，这是有可能的，因为中本聪在 2008 年的白皮书中将比特币设计成一个分布式时间戳服务器，而 OpenTimestamps 多年来一直利用这种设计提供免费、无需信任的时间戳服务。

第二步：营救

如果比特币之后激活软分叉，冻结易受量子攻击的地址，那么这次升级也可能为 PACT 持有者提供一条补救途径。要花费被冻结的代币，持有者需要提交 STARK 证明，这是一种零知识证明，可以抵御量子计算机的攻击，它需要证明三件事：

• 他们知道有效的盐和 BIP-322 控制证明
• 该组合哈希值指向 PACT 截止日期之前的一个承诺时间戳。
• 救援证明与特定交易绑定，无法被复制或重复使用。

兑换过程中，盐值和 BIP-322 验证信息绝不会泄露。网络仅确认持有者在截止时间前拥有控制权。金额、地址和时间戳等信息均保持私密。

什么是 STARK 检验标准？它在这里为何如此重要？

STARK 代表可扩展透明知识论证（Scalable Transparent Argument of Knowledge）。它是一种零知识证明，允许一方在不透露具体内容的情况下证明自己知道某些信息。与旧式证明系统不同，STARK 不依赖于椭圆曲线密码学，这意味着即使量子计算机能够破解比特币当前使用的加密技术，STARK 仍然安全。 

将 STARK 验证添加到比特币需要进行软分叉，Robinson 也承认这代表着该协议需要大量新的基础设施。

PACTs有哪些风险？

罗宾逊直言不讳地指出了该方案的局限性。

• 比特币可能永远不会实现量子日落，因此 PACT 也就没有必要了。
• 即使日落之后，这条特定的救援路径也可能不会包含在升级改造中。
• 在救援协议正式纳入协议之前，持有人不应仅仅依赖 PACT 来获得保护。
• 该设计无法直接扩展到多重签名钱包、复杂脚本或托管账户，所有这些都需要额外的标准化工作。
• 持有者必须妥善保管其盐值、BIP-322 证明文件和 OpenTimestamps 文件作为恢复凭证，因为丢失其中任何一个都会使恢复选项失效。

罗宾逊认为，即使存在这些不确定性，一旦就标准格式达成一致，制定承诺的成本也很低，因此采取行动是合理的。

该提案如何融入更广泛的量子力学辩论中？

PACTs提案是在BIP-361的基础上发展而来，而非取而代之。它填补了BIP-361留下的一个特定空白：即BIP-32之前的钱包目前尚无补救措施。Robinson引用了Jeremy Rubin此前在Delving Bitcoin论坛上对类似概念的讨论，认为这是朝着同一方向开展的先例。

X 发表后，比特币开发者和量子研究人员迅速做出了回应。讨论主要集中在以下几个方面：

• STARK 集成时间表以及通过软分叉添加零知识证明验证需要做些什么
• 在对抗条件下，隐私保护措施在实践中是否有效？
• 设定早于任何实际的CRQC能力的PACT截止日期是否可行

罗宾逊承认该设计仅为示意图，在被视为正式提案之前，还需要密码学家、比特币开发者和更广泛的社区的意见。

总结 

Paradigm 的 PACTs 提案为比特币持有者提供了一种免费且私密的方式，让他们能够使用 BIP-322 签名和 OpenTimestamps 为钱包控制权添加时间戳证明。如果比特币未来通过软分叉进行量子日落，持有者可以提交 STARK 证明来取回被冻结的资金，而无需透露他们的地址、余额或身份。该系统需要将 STARK 验证基础设施添加到比特币中，并且依赖于任何日落升级中包含未来的救援方案。它并不适用于多重签名钱包或托管钱包，也无法保证一定会被采用。对于 BIP-32 之前的钱包，包括那些与中本聪估计持有的 1.1 万枚比特币相关的钱包，它是目前唯一提出的救援方案。

相关资源

1. Paradigm普通合伙人丹·罗宾逊的提案PACTs：保护您的比特币免受量子日落的影响

2. BIP-361

3. CoinDesk报道新的比特币量子提案为中本聪提供了一种无需转移比特币即可证明其控制权的方法。