比特币的量子危机迫在眉睫，而 StarkWare 的联合创始人 Eli Ben-Sasson 提出了一条他认为最靠谱的出路：用 ZK-STARK 技术来化解比特币在抗量子升级中可能遇到的种种难题，同时还能帮助比特币走向更广泛的人群。

2025年主流加密货币交易所：

• 欧易OKX >>>进入官网<<< >>>官方下载<<<
• 币安Binance >>>进入官网<<< >>>官方下载<<<

他还提到，Blockstream 创始人 Adam Back 也对这一观点表示认可。

最近，Eli Ben-Sasson 因为一条争议性推文上了新闻——他提议把比特币的年通胀率提到 4%。Grok 对评论区做了分析，结果发现没有一个人明确支持这个提议。

不过，作为 STARK（一种量子安全、基于哈希的零知识证明体系）的共同发明者，他在技术层面上的观点要扎实得多，甚至一些顶尖的比特币研究人员也对他的思路表示赞同。

就在上周，由 Eli Ben-Sasson 主导的 StarkNet 项目公布了第三期路线图，明确目标是要让自身网络具备抗量子能力。

比特币的后量子签名体积太大，是个大的麻烦

给比特币加上零知识证明，并不是直接就能让它变成抗量子区块链。引入 ZK 证明的真正目的，是为了解决部署后量子（PQ）签名方案后带来的一系列新问题——这些签名的体积比现在用的 ECDSA 和 Schnorr 签名大了 10 到 100 倍。

美国国家标准与技术研究院（NIST）目前选定的几种后量子签名，数据量级确实惊人。有人测算过，如果直接硬上这类签名，比特币网络的吞吐量可能会跌到每秒连 1 笔交易都不到。但换个思路，把区块里所有体积庞大的交易签名压缩成一份极小的 ZK-STARK 证明，情况就完全不同了。因为这份证明甚至比现有签名的总体积还要小，最终整条链的运行速度反而有可能提升。

Eli Ben-Sasson 直言：“不用 ZK-STARK 做签名聚合，那绝对是步臭棋——根本解决不了核心问题：普通人到底能不能顺畅地用上比特币。”

“想要让比特币普及，网络必须有极高的扩容能力。签名聚合这类技术是绕不开的，光靠扩大区块容量远远不够。”

量子时代另一条路：把比特币区块大小给扩了

PostQuantum.com 的撰稿人、Applied Quantum 创始人 Marin Ivezic 告诉 Cointelegraph，比特币的隔离见证（SegWit）方案最多可以把大容量签名带来的空间占用降低 75%。但他针对 NIST 的 ML-DSA-44 算法做了建模测算：这个方案的单笔签名大小高达 2420 字节，区块承载的交易量会从现在的 2500–3000 笔降到大约 500–700 笔，区块大小之争因此再次浮上台面。

扩容比特币区块容量确实是一个可行的备选方案，但早在 2017 年，社区就曾因为区块容量翻倍的提议闹出严重分歧。当年反对的理由至今仍然成立：区块扩容是一种比较粗放的解决方案，它会要求所有节点传输、存储和验证数量庞大得多的数据。这样一来，运行节点的成本和硬件门槛都会抬高，批评者认为这会推动网络走向中心化。

Blockstream 研究院近几个月一直在研究怎么压缩适用于比特币、基于哈希的后量子签名方案，还推出了有前景的 SHRINCS 和 SHRIMPS 签名算法。在常规场景下，这两个算法的签名体积大约是比特币现有签名的 5 倍；但是，如果用户丢失钱&包需要恢复账户，签名体积最高会膨胀到原来的 40 倍。

虽然 SHRINCS 已经在 Liquid 侧链上用于真实交易签名，但这项技术目前还处于早期研发阶段，实现复杂度和使用体验都有短板。除非同步扩大区块容量，否则体量激增的签名照样会拖慢整条区块链。

谈到区块扩容，Marin Ivezic 评价说：“从工程角度看，原生提升网络吞吐量是最简单的办法，但从治理角度看却是最难落地的。我们已经没有足够的时间反复争论这类问题了。”

ZK 证明聚合，优势不止一项

相比区块扩容方案，ZK 证明聚合同样能提升网络承载能力，而且还能在维护去中心化的同时提高比特币的运行效率，可以说是更优的选择。

简单来说，零知识（ZK）证明是一种数学验证手段：你不需要展示全部细节，就能证明某个事实是真的。举个例子，借助 ZK 证明，你可以向别人证明自己知道保险箱的密码，却不用真的把密码说出来。

理论上，一个区块只需要生成一份 ZK 证明就够了（当然，为了冗余备份，多生成几份会更安全）。而且运行相关硬件的成本，远低于商用挖矿设备。

精简以太坊（Lean Ethereum）规划的证明生成设备成本不到 10 万美元，普通家庭环境就能部署。验证一份 ZK 证明更是几乎不受硬件限制，树莓派这种小型设备就能完成。

Eli Ben-Sasson 表示，像 Greg Maxwell、Mike Hearn 这些比特币早期开发者都很看好 ZK-STARK。这项技术具备抗量子安全性，而且不需要可信初始化设置。他认为，比特币核心开发者 Luke Dashjr 和 Blockstream 创始人 Adam Back 也正在逐步接受这条技术路线。

“我亲耳听过他们的观点。他们看好各种基于 ZK-STARK 构建的方案。我相信两人无论私下还是公开场合，都给出过正面评价。Adam Back 和 Luke Dashjr 在很多议题上看法不同，但在这件事上，他们应该能达成共识：这是一项优质技术，只要条件合适，完全有机会落地到比特币上。”

Cointelegraph 曾联系 Adam Back 寻求置评，但截至发稿尚未收到回复。

以太坊研究员 Justin Drake 公开表示，希望比特币能采用精简以太坊的 ZK 证明聚合技术，推动该方案成为全行业通用标准。不过，受社区治理分歧影响，这一愿景或许很难落地。

以太坊的目标是在 2029 年实现后量子计算。来源：以太坊基金会

针对比特币的零知识证明相关提案

考虑到比特币社区一向保守的发展风格，要在比特币网络中引入零知识技术，从治理角度看最可行的路径大概率是重新启用 OP_CAT——这是中本聪当年编写、仅九行代码的操作码。

Eli Ben-Sasson 表示：“中本聪最初加入了 OP_CAT，后来又把它移除了。一旦恢复这个操作码，开发者就能实现 STARK 证明、签名聚合以及后量子安全相关功能。”

“我认为这是最稳妥的方案，能够重新推动中本聪当初开启并希望延续的技术发展路线。”

尽管 12 到 24 个月前市场曾掀起过一波 OP_CAT 讨论热潮，但近期相关推进势头明显减弱（不过比特币社区治理走向向来难以预判）。

业内还有一些前瞻性更强的提案，比如 OP_STARK_VERIFY，这个方案计划新增专用操作码，让比特币可以更高效地验证 STARK 证明。另外，BIP-360 的共同作者 Ethan Heilman 提出了 BitZip 方案，目的是把比特币的多组签名与公钥聚合到单份 STARK 证明里。

Heilman 今年早些时候告诉 Cointelegraph，要实现目标效果主要有两条技术路径：“第一种，在比特币中新增一系列通用操作码，在此基础上构建类似 ZK Rollup 的架构；或者直接在比特币共识层原生支持 STARK。除此之外，CISA（跨输入签名聚合）这类性能相对有限的聚合方案也能起到一定作用。”

这条路实现的概率有多大？

Marin Ivezic 认为，障碍不在技术能力，而是比特币社区治理本身。

他说：“Eli Ben-Sasson 提出的密码学方案本身无懈可击：完全基于哈希假设、不需要可信初始化设置，可以把几千份签名压缩成一份短小的证明。真正的难题都出在密码学方案之外的配套环节。”

“目前比特币脚本还不具备验证 STARK 证明的能力。跟一个简单精简的哈希签名操作码相比，一套可以投入生产环境的 STARK 验证程序会大幅扩大共识层的攻击面。连 OP_CAT 这样简单的操作码都争论了好几年，底层原生搭载 STARK 验证器，现实来看起码要等到 2030 年代才有可能提上议程。”

与此同时，以太坊计划在 2029 年完成后量子升级，Solana 也在试验接入后量子签名。StarkNet 的三期抗量子转型路线则可以依托账户抽象实现优势：底层密码学体系升级时，不需要每个用户手动把资产迁移到新账户。

Eli Ben-Sasson 据此评价，Solana 和以太坊的后量子升级之路将会“异常艰难”。“StarkNet 有一个核心优势：网络原生支持账户抽象和智能钱&包。这意味着相关机制没有被固化在底层协议，我们可以轻松升级钱&包和基础设施，实现抗量子改造。”

⚠️ 风险声明：本文仅供学习参考，不构成任何投资建议、交易建议或收益承诺。加密货币和迷因币市场波动较大，价格预测、技术路线讨论及市场数据应以官方公告、交易所页面及实时行情平台为准。投资者需独立判断、谨慎决策，自行承担相关风险。