Coinbase计划为任意方案提供后量子比特币托管

Coinbase已开始设计一种后量子托管系统，旨在保护机构持有的约2,500亿美元资产，同时支持比特币或其他区块链采用的任何新签名方案。

• Coinbase正在为多种可能的后量子签名方案筹备托管基础设施。
• 基于哈希的签名可能无法与许多加密货币托管机构使用的MPC系统兼容。
• 可编程硬件安全模块或能为Coinbase提供另一种密钥保护方法。
• 比特币开发者尚未选定或启用后量子签名标准。

Coinbase为多种签名方案筹备托管服务

MARA Foundation TV采访了Coinbase首席密码学家Yehuda Lindell。他表示，无论区块链最终选择哪种后量子签名方案，该交易所都希望其托管平台能够继续使用。

比特币尚未选定适用于实际后量子场景的签名方案，因此托管机构缺少一个统一的技术标准来重建其系统。Lindell表示，不同的区块链社区也可能各自作出不同决定，而不是采用同一种方案。

因此，Coinbase正在为多种可能的结果做准备，而非围绕某一个候选方案构建系统。Lindell表示，公司希望避免出现区块链批准了某种签名方案、但其托管基础设施无法处理的情况。

根据Lindell在节目中提供的数据，这项工作格外重要，因为Coinbase为机构客户托管着约2,500亿美元资产。其客户包括BlackRock；该公司使用Coinbase Custody托管与其投资产品相关的数字资产。

美国一项8月的托管审查估计，Coinbase的机构资产约为3,760亿美元，并称该公司保障着美国现货比特币和以太坊交易所交易基金所持资产的80%以上。两项数据的差异可能取决于报告日期，以及各项估算所涵盖的服务或资产。

托管系统保护用于授权交易的私钥。因此，未来若比特币更改签名方法，大型托管机构就需要更新用于生成、存储和操作这些密钥的技术。

后量子签名对现有MPC托管构成挑战

许多机构托管平台采用多方计算（MPC），将私钥的控制权分散给多个参与方。在这种安排下，任何参与方在批准交易时都无需持有或拼合完整的私钥。

Lindell表示，许多后量子签名方案可能“与MPC不兼容”，因为其数学设计不同于主要区块链目前使用的签名。基于哈希的签名尤其棘手，因为它们缺少传统密码学密钥拆分所依赖的算术结构。

Lindell表示，包括斯坦福大学密码学家Dan Boneh在内的研究人员，正在研究将类似MPC的控制机制应用于这类签名的可能方法。不过，这项研究仍处于高度实验阶段，目前尚不清楚能否为基于哈希的签名构建实用的MPC等效系统。

Coinbase对这一领域的关注早于最新的托管系统设计。今年1月，该公司成立了一个独立的量子计算与区块链顾问委员会，成员包括Boneh、Lindell、以太坊基金会研究员Justin Drake、德克萨斯大学教授Scott Aaronson、EigenLayer创始人Sreeram Kannan，以及分布式系统专家Dahlia Malkhi。

Coinbase表示，其后量子路线图包括调整比特币地址处理方式、升级内部密钥管理系统，以及研究如何在MPC基础设施中支持ML-DSA等方案。公司委托顾问委员会评估量子技术进展、发布建议，并对重大技术突破作出回应。

其他托管机构已开始测试一种可能的解决方案。今年6月，BitGo与Silence Laboratories测试了量子安全MPC，采用集成到BitGo托管平台、基于ML-DSA的协议。两家公司表示，这项模拟保留了分布式密钥控制、策略检查和职责分离。

ML-DSA被纳入FIPS 204，这是美国国家标准与技术研究院发布的后量子数字签名标准。Lindell的评论表明，如果比特币或其他网络选择不同设计，Coinbase希望其架构能够处理ML-DSA以外的方案。

硬件模块或可作为托管备用方案

据Lindell介绍，为降低对MPC兼容性的依赖，Coinbase正在探索一种以可编程硬件安全模块为基础的备用设计。

HSM是受到物理保护的设备，用于存储密码学材料并执行敏感操作。根据Coinbase正在考虑的架构，私钥将使用后量子密码学加密，并且只会在安全的HSM内部拼合。

将完整密钥限制在受保护设备内，可使托管机构使用无法通过传统MPC进行拆分的签名方案。可编程模块也能让Coinbase在区块链开发者确定新标准后，有空间增加相应支持。

Lindell没有给出完成日期，只表示这项技术工作可能需要时间。不过，他预计系统完成后，Coinbase就无需预测每个网络会选择哪种后量子方案，也能够开展业务。

“我就可以说，我能支持任何方案，”Lindell表示。

在这一拟议模式下，完整密钥会暂时存在于HSM内部，因此物理安全变得更加重要。Coinbase需要确保这些模块能够执行签名操作，同时避免密钥暴露给外部软件或操作人员。

对于支持MPC的签名方案，这种方法并不要求Coinbase放弃MPC。相反，当某个网络所选的密码学方案无法与分布式密钥生成和签名兼容时，HSM架构将作为另一种托管方式。

比特币尚未批准量子迁移计划

比特币目前使用椭圆曲线密码学，目前尚无公开展示的量子计算机能够从已公开的公钥推导出其私钥。尽管如此，研究人员和行业组织仍呼吁尽早准备，因为更改比特币的安全模型需要软件开发、测试、钱包升级和网络共识。

Crypto.news在6月报道称，Coinbase顾问委员会敦促比特币开发者在具备密码学威胁能力的量子计算机出现之前，开始创建迁移工具。该委员会估计，约170万 BTC存放在较早的支付到公钥地址中，且这些地址的公钥已暴露；地址重复使用则可能使多达500万 BTC面临未来风险。

顾问委员会没有建议冻结、销毁易受攻击的代币，也没有建议让它们继续暴露于未来攻击者面前。委员会表示，对于迁移期限过后仍留在旧地址格式中的代币，应由比特币社区通过共识流程决定如何处理。

多项提案草案正在研究这一问题的不同方面。被称为Pay-to-Merkle-Root的BIP 360将移除Taproot中易受量子攻击的密钥路径花费选项；BIP 361则描述了在比特币引入后量子输出方式后，分阶段淘汰旧版ECDSA和Schnorr签名的方案。

这两项提案都尚未启用。最近的一项迁移评估还发现，正在讨论中的实验性基于哈希的签名设计SHRINCS仍是尚未编号的草案，需要进一步审查并完成安全性证明。

对于美国投资者而言，Coinbase的准备工作涉及通过受监管投资产品持有的资产，也涉及直接机构客户存储的代币。现货比特币和以太坊ETF的投资者并不控制基金持仓背后的私钥；这些密钥由发行方选定的托管机构管理。

如果比特币、以太坊或美国上市基金使用的其他网络采用新的密码学方案，Coinbase支持多种签名方案的能力可能会变得重要。不过，任何区块链迁移仍取决于网络规则，以及用户、钱包服务商、交易所、托管机构和基金运营方的行动，而非Coinbase单方面作出的决定。