比特币 vs Zcash……量子计算机与隐私竞争已开始

[区块媒体记者 韩志贤] 比特币(BTC)和Zcash(ZEC)在量子计算机时代来临之际，正在明确各自不同的生存战略。比特币开始考虑在尽量保持现有结构的基础上，增加量子抗性签名体系，而Zcash则已经将强大的隐私技术作为核心功能实现，并将向后量子(PQ)体系的转型纳入了路线图。

尤其是最近，Blockstream提出了将量子抗性签名体系“SHRINCS”应用于比特币的具体方案，使得量子计算机的应对从研究阶段转向了实际协议设计问题。

量子对抗是必需的……比特币使用SHRINCS，Zcash使用“塔基翁”

目前，比特币和Zcash都存在尚未具备完美量子抵抗能力的局限性。

比特币目前使用的ECDSA和施诺尔(Schnorr)签名基于椭圆曲线密码(ECC)。一旦出现性能足够强大的量子计算机并能够执行肖尔(Shor)算法，就理论上可能通过公开密钥计算出私钥。尤其是已经在区块链上暴露的UTXO将成为直接攻击的目标。

当然，这并不意味着比特币现在就会被攻破。目前已知的量子计算机尚未达到实质性削弱比特币椭圆曲线密码的水平。问题在于，像比特币这样分布在全球的网络转向新的密码体系可能需要数年时间。

Blockstream也表示，虽然无法确定量子计算机何时会出现或实际出现，但由于比特币的密码体系转型需要相当长的时间，因此必须在威胁现实化之前做好准备。

Blockstream Research正在开发SHRINCS作为解决方案。

SHRINCS是一种基于哈希函数安全性的量子抗性签名方式，而非椭圆曲线问题。Blockstream考虑到比特币的区块空间有限，签名大小直接影响成本，因此专注于将其大小缩小到比现有的后量子签名更小。

根据提案，SHRINCS的签名大小至少为548字节，约为当前比特币广泛使用的施诺尔签名64字节的9倍。尽管如此，相较于美国国家标准与技术研究所(NIST)批准的SPHINCS+等其他量子抗性签名体系，SHRINCS的大小仍然相对较小。

性能差异也很重要。提案估计，应用SHRINCS后，比特币的处理能力约为3TPS，与当前水平相差不大。而如果应用某些NIST批准的量子抗性算法，处理能力可能会降至0.36~0.5TPS。

SHRINCS并不仅仅停留在理论提案上。Blockstream已经在比特币侧链Liquid上测试了基于SHRINCS的后量子签名交易。然而，由于安全证明不足，还需要进一步分析和外部审查。

比特币社区也在讨论逐步淘汰现有ECDSA和施诺尔签名的方案，前提是未来引入后量子输出方式。即在一定时间后，禁止向易受量子攻击的地址发送新的比特币，并限制使用现有签名保护的币的支出。

Zcash的核心隐私协议Orchard同样使用Pallas·Vesta椭圆曲线，因此在量子攻击中并不安全。然而，Zcash正在进行针对量子威胁的下一代项目。

Zcash通过项目“塔基翁(Tachyon)”重新设计了一种不同于现有Orchard的保护协议。特别是结合了私人信息检索(PIR)和后量子密钥交换(post-quantum key exchange)，在保持可扩展性的同时，开发出在量子计算机时代保护隐私的方案。

Zcash提出“量子可恢复(quantum-recoverable)”的概念正是基于此。目前整个体系并不意味着对量子攻击免疫，而是希望在未来威胁现实化时，为用户提供安全的密码体系恢复和转移资产的路径。

也就是说，Zcash将量子威胁视为不仅仅是签名方式的问题，而是涉及钱包和隐私协议的下一代密码体系转型问题，这使其在某种程度上比比特币更进一步。

隐私出发点本身就不同……BTC是“公开”，ZEC是“隐藏”

在量子抗性方面，双方都仍处于转型过程中，但在隐私方面，出发点本身就不同。

比特币的区块链基本上是公开的。地址并不以实名显示，但任何人都可以查看某个地址向哪个地址转移了多少资金。特别是当交易所的客户确认(KYC)信息或公开的钱包地址与链上数据相连接时，可以通过区块链分析追踪资金流动。

因此，比特币也在向增强隐私功能的方向演变。代表性的是2021年启用的Taproot，它使得复杂的支出条件不再全部公开在区块链上，而只显示实际使用的条件，从而减少交易结构的暴露。此外，通过基于BIP-324的v2 P2P传输功能，加密节点之间的通信，使得网络监视者难以确定特定交易的首次传播位置或节点的通信内容。还可以利用Tor等单独技术进一步提高隐私。

但这毕竟是在保持比特币公开账本的同时，尽量减少元数据的暴露或交易追踪的可能性，因此与将隐私作为基本功能的Zcash根本不同。

Zcash从一开始就将隐私作为核心功能内置。

目前核心的Orchard保护池使用“基于Halo 2的zk-SNARK”。用户可以在不公开敏感交易信息的情况下，密码学上证明该交易符合Zcash的共识规则是有效交易。在2022年的NU5升级中，引入了Orchard和Halo 2。在之前的零知识证明体系中，用户必须完全信任在生成初始密码参数的过程中产生的秘密信息被完全废弃，而Halo 2则实现了无需这种“信任设置(trusted setup)”的结构。也就是说，彻底改变了之前零知识证明系统必须生成并废弃秘密值的结构。

通过这一点，减少了可能导致ZEC伪造的理论攻击路径，并使未来的密码体系升级更加灵活。还引入了统一地址(Unified Addresses)，使钱包更容易利用最新的保护池。

最终，比特币的隐私战略是“保持公开账本，但尽量减少不必要的信息暴露”，而Zcash则更接近于“在密码学上隐藏交易信息，仅证明有效性”的方法。

最近，灰度将Zcash视为比特币潜在竞争者的逻辑也与此相关。灰度认为，比特币在货币领域占据约93%的市值，拥有压倒性的网络效应，但在AI驱动的区块链分析和量子计算机崛起的环境下，积极应对金融隐私和下一代密码技术的Zcash可能会拥有“第二移动者”的优势。比特币诞生时相对重要性较低的功能，可能会成为新的竞争力。

Galaxy Research也对Zcash的隐私战略给予了积极评价。Galaxy Research副总裁卢卡斯·切扬在7月底的报告中表示，Zcash开发团队在发现Orchard漏洞后约两个月内进行了形式验证，并引入了Ironwood池和量子可恢复结构的应对措施，称其“令人印象深刻”。尤其是Galaxy指出，机构难以将交易策略和资产规模直接暴露在公开账本上，分析认为“隐私不再是数字资产的一个类别，而是基础层的必要条件”。

Zcash在隐私上优于比特币，但存在“监管负担”

Zcash的技术优势并不意味着其竞争力就一定高于比特币。

隐私技术提高了复杂性，也增加了监管机构和交易所的负担。尤其是由于难以追踪资金流动的特性，隐私币与反洗钱(AML)监管持续发生冲突。

技术风险也存在。复杂的零知识证明系统在实现过程中可能出现意想不到的漏洞，需要持续的安全验证。获得强大的隐私的同时，必须维护和验证更复杂的密码系统。

相对而言，比特币保持了相对简单且经过验证的密码结构和透明的账本。保守地引入新功能的文化在安全方面是优势，但在需要替换现有密码体系的问题上，可能会减缓转型速度。

从当前技术水平来看，Zcash在隐私方面领先，但在量子抗性方面，双方都尚未达到完成阶段。比特币正在测试SHRINCS等候选技术在实际侧链中的应用，并探索主网转型的方法，而Zcash则朝着将量子可恢复结构和后量子技术纳入下一代隐私协议的方向发展。

最终，这两条区块链的差异在于为应对量子计算威胁而进行的“密码体系替换”需要多长时间。比特币需要谨慎处理，以维持其17年积累的网络效应，而Zcash作为后发者则相对灵活地引入最新技术。

专家指出，比特币在应对量子威胁时，密码技术本身可能不是最大的问题，而是转型速度。德意志数字资产上个月分析称，“比特币在（量子计算攻击中）特别脆弱的主张核心在于（比特币的）治理速度问题”，并指出“与中心化金融机构不同，比特币需要广泛的网络共识来替换密码体系”。

斯坦福大学密码学教授丹·博内也认为，比特币的量子抗性转型将伴随相当高的成本。博内教授在8月公开的访谈中表示，若转向SHRINCS系列的哈希基础签名，“签名成本将增加10倍”，而如何解决区块大小问题尚未确定。