比特幣的量子難題：放大區塊好，還是靠STARK證明？工程師真心話解析

你有沒有想過，當量子電腦夠強大時，比特幣會發生什麼事？老實說，這不是科幻情節，而是已經在密碼學圈子討論好幾年的議題。最近StarkWare共同創辦人Eli Ben-Sasson提出了一個看似瘋狂的建議——用STARK證明來解決這個問題，甚至連Blockstream創辦人Adam Back都表示認同。這篇文章不講廢話，直接帶你看懂這場技術較量。

量子威脅到底在威脅什麼？

簡單比喻一下：現在比特幣用的數位簽名（ECDSA和Schnorr），就像一把鎖。但量子電腦可能找到一把「萬能鑰匙」，能夠直接破解這把鎖。NIST（美國國家標準與技術研究所）已經批准了新的「後量子簽名」方案，但問題來了——這些新簽名比現在的大10到100倍。

Marin Ivezic在PostQuantum.com的分析顯示，如果直接套用NIST的ML-DSA-44（一個簽名就要2,420位元組），比特幣的區塊容量會從現在的2,500到3,000筆交易，直接暴跌到只剩500到700筆。這不是開玩笑的速度變慢。

解法一：直接放大區塊？

第一個想到的解方很直觀——把區塊變大就好了啊。區塊變大能放的交易就變多，簽名大也不怕。

但2017年比特幣社群才為了「區塊大小要不要翻倍」吵得不可開交，最後分叉出Bitcoin Cash。反對的人說：放大區塊讓每個節點要儲存、驗證更多資料，裝置成本變高，會讓普通人玩不起，最後變成大玩家的遊戲——這就是「中心化」的開始。

解法二：STARK證明來救援

STARK是什麼？先講人話：你可以把它想成一種「壓縮技術」。一整個區塊的所有簽名，可以被壓縮成一個小小的數學證明。本來要放100個大簽名，現在只要放一個小小的證明就夠了，而且這個證明比原本的簽名還要小。

Ben-Sasson說：「如果不讓STARK聚合，那這招根本沒用，問題還是『大家真的能用比特幣嗎？』」

STARK的優勢

• 壓縮效果好：幾千個簽名壓成一個小證明，區塊反而可能跑得比現在更快
• 量子安全：STARK本身是基於雜湊函式的，量子電腦也無法破解
• 不需要信任設定：有些零知識證明需要「信任設定」，STARK不需要
• 裝置成本低：生成STARK證明的裝置據說可以控制在10萬美元以下，一般家庭也跑得起來

實際推行有多難？

理論很美好，但現實很骨感。Ivezic說得很直接：「Eli的密碼學是固若金湯的，但問題在密碼學之外。」

比特幣Script現在沒辦法驗證STARK，而且要加入一個完整的驗證器，需要非常大的共識改動。一個小Opcode（如OP_CAT）都已經吵了好幾年了，基礎層的STARK驗證器「現實上大概是2030年代才會開始討論的話題」。

比較務實的路線是：重新啟用OP_CAT。這個指令當年是中本聰寫的，後來又被他自己移除。只要加回這個，就能做到STARK證和聚合，達到後量子安全。

對比其他區塊鏈的進度

以太坊的目標是2029年完成後量子轉型，Solana也在實驗。StarkNet則已經宣佈三階段的量子安全計畫，而且他們有「帳戶抽象」這個優勢，可以讓使用者在不知不覺中升級密碼學，不用自己手動轉帳。

Ben-Sasson說，Solana和以太坊的後量子之路「會非常艱難」。相較之下，比特幣的保守文化既是阻力，也是一種保護——因為不輕易改動，所以不會冒險引入有漏洞的新技術。

FAQ 常見問題

量子電腦真的會威脅比特幣嗎？

目前的共識是「還沒那麼快」，但這是個倒數計時的問題。當量子電腦足夠強大時，現有的簽名演演算法確實會被破解，所以比特幣社群必須提前準備。

區塊直接放大不行嗎？

放大區塊是最直觀的解法，但代價是節點成本暴增，可能導致中心化。2017年的分叉爭議到現在還讓人心有餘悸。

STARK證明是什麼東西？

STARK是一種「零知識證明」技術，可以讓你「證明自己知道某件事」而不需要透露細節。把它應用在比特幣上，就能把大量簽名壓成一個小小的證明，大幅節省空間。

比特幣什麼時候會加入STARK？

老實說，沒人知道。政治因素比技術障礙更大。最樂觀的預測是「重新啟用OP_CAT」作為第一步，但這也已經討論好幾年了。

比特幣的量子安全之戰，與其說是技術問題，不如說是「治理問題」。技術上已經有解法了，但能不能在比特幣這個去中心化怪物身上達成共識，才是真正的挑戰。如果你關心這個議題，別只看技術層面——社群的意見，才是決定比特幣未來的關鍵。