Coinbase 设计后量子托管系统，目标支持任意区块链签名方案
Coinbase 已开始设计一套后量子托管系统，旨在保护约 2500 亿美元的机构资产，同时支持比特币或其他区块链未来可能采用的任何新签名方案。Coinbase 首席密码学家 Yehuda Lindell 表示，该交易所希望其托管平台在区块链最终选择何种后量子签名方案时仍能保持可用。
目前，比特币尚未为实际后量子用途选定签名方案，这使托管机构缺乏一个可围绕其重建系统的统一技术标准。
为多种结果做准备
Lindell 指出，不同区块链社区可能作出不同决定，而不是采用一种通用方案。因此，Coinbase 正在为多种可能结果做准备，而不是围绕单一候选方案构建系统。他表示，公司希望避免出现某条区块链批准一种其托管基础设施无法处理的签名方案的情况。
这项工作的分量更重，因为 Coinbase 为机构客户持有约 2500 亿美元资产。其客户包括贝莱德，后者将 Coinbase Custody 用于其投资产品相关的数字资产。美国 8 月的一份托管审查报告将 Coinbase 的机构资产估为约 3760 亿美元，并称该公司保护了美国现货比特币和以太坊 ETF 所持资产的 80% 以上。两个总数之间的差异可能取决于报告日期以及各自估算包含的服务或资产。
托管系统保护授权交易所需的私钥。比特币签名方法的任何未来变化，都将要求大型托管机构更新用于创建、存储和操作这些密钥的技术。
后量子签名对 MPC 托管构成挑战
许多机构托管平台使用多方计算（MPC）将私钥控制权分配给多个参与方。在这种安排下，任何参与者都无需在批准交易时持有或拼合完整私钥。Lindell 表示，许多后量子签名方案可能对 MPC 不友好，因为其数学设计与目前主要区块链使用的签名不同。基于哈希的签名尤其成问题，因为它们缺乏传统密码密钥拆分所依赖的算术结构。
Lindell 说，包括斯坦福大学密码学家 Dan Boneh 在内的研究人员正在研究将 MPC 式控制应用于此类签名的可能方式。这项研究仍高度实验性，目前尚不清楚能否为基于哈希的签名创建实用的 MPC 等效系统。
Coinbase 对该领域的兴趣早于最新的托管设计。今年 1 月，该公司成立了一个独立的量子计算和区块链咨询委员会，成员包括 Boneh、Lindell、以太坊基金会研究员 Justin Drake、得克萨斯大学教授 Scott Aaronson、EigenLayer 创始人 Sreeram Kannan 以及分布式系统专家 Dahlia Malkhi。Coinbase 表示，其后量子路线图包括改变比特币地址处理方式、更新内部密钥管理系统，以及研究在 MPC 基础设施内支持 ML-DSA 等方案。
其他托管机构已开始测试一条可能路径。6 月，BitGo 与 Silence Laboratories 使用基于 ML-DSA 的协议测试了量子安全 MPC，并将其集成到 BitGo 托管平台。两家公司称，该模拟保留了分布式密钥控制、策略检查和职责分离。ML-DSA 被纳入美国国家标准与技术研究院发布的 FIPS 204 后量子数字签名标准。
硬件模块可能提供托管后备方案
根据 Lindell 的说法，为减少对 MPC 兼容性的依赖，Coinbase 正在探索一种围绕可编程硬件安全模块（HSM）构建的后备设计。HSM 是用于存储密码材料并执行敏感操作的物理保护设备。在 Coinbase 考虑的架构下，私钥将使用后量子密码学保持加密，并仅在安全 HSM 内部拼合。将完整密钥限制在受保护设备内，可使托管机构处理无法通过传统 MPC 拆分的签名方案。可编程模块还可能为 Coinbase 留出空间，以便在区块链开发者确定新标准后增加支持。
Lindell 没有提供完成日期，称技术工作可能需要时间。不过，一旦系统完成，他预计 Coinbase 将无需预测每条网络将选择哪种后量子方案。他说，他将能够表示自己可以支持任何方案。拟议模型下，物理安全变得更加重要，因为完整密钥会暂时存在于 HSM 内。因此，Coinbase 需要这些模块在不向外部软件或操作人员暴露密钥的情况下执行签名。对于支持 MPC 的签名方案，这一方法并不要求 Coinbase 放弃 MPC。相反，当某条网络选择的密码学无法配合分布式密钥生成和签名时，HSM 架构将作为另一种托管方法。
比特币尚未批准量子迁移计划
比特币目前使用椭圆曲线密码学，尚无公开演示的量子计算机能从已暴露的公钥推导出其私钥。尽管如此，研究人员和行业团体仍呼吁尽早准备，因为改变比特币的安全模型需要软件开发、测试、钱包升级和网络共识。Crypto.news 6 月报道，Coinbase 的咨询委员会敦促比特币开发者在密码学相关量子计算机出现之前开始创建迁移工具。该委员会估计，约有 170 万 BTC 存放在较旧的 pay-to-public-key 地址中，其公钥已暴露；而地址复用可能使多达 500 万 BTC 处于未来风险类别。
该咨询委员会没有建议冻结、销毁或让易受攻击的币留给未来攻击者。它表示，比特币社区应通过其共识过程决定在迁移截止日期后如何处理仍留在较旧地址格式中的币。草案提案正在研究该问题的不同部分。被称为 Pay-to-Merkle-Root 的 BIP 360 将移除 Taproot 中易受量子攻击的密钥路径花费选项，而 BIP 361 描述了在比特币获得后量子输出方法后分阶段淘汰传统 ECDSA 和 Schnorr 签名。两项提案均未激活。最近一项迁移评估还发现，正在讨论的实验性基于哈希签名设计 SHRINCS 仍是无编号草案，需要进一步审查和完成安全证明。
对美国投资者而言，Coinbase 的准备工作涉及通过受监管投资产品持有的资产，以及直接机构客户存储的币。现货比特币和以太坊 ETF 投资者并不控制基金持仓背后的私钥；这些密钥由发行人选择的托管机构管理。如果比特币、以太坊或被美国上市基金使用的另一条网络采用新密码学，Coinbase 支持多种签名方案的能力可能变得重要。任何区块链迁移仍将取决于网络规则以及用户、钱包提供商、交易所、托管机构和基金运营方的行动，而非 Coinbase 单方面的决定。