BitGo 于 7 月 22 日为比特币钱包推出量子风险控制措施

BitGo 于 7 月 22 日为比特币钱包推出了四项新的量子风险管理控制措施，使其成为最早一批主要托管方之一，能够在任何真正具备加密学相关能力的量子计算机尚未出现之前，就为客户提供具体工具来衡量并降低其暴露程度。该机构级托管公司推出这些控制措施，是因为流通中的所有比特币中约 30% 已有其公钥暴露在外。此举面向使用受支持的比特币多重签名钱包的机构持有者，提供的是作业层面的预先准备，而不是对正在发生的威胁进行紧急响应。

BitGo 为比特币钱包推出四项量子风险控制措施

这四项控制措施协同构成一层风险管理机制：量子风险评分在平台内呈现每个钱包的暴露情况；引导式地址补救工作流将处于风险中的资金转移到新的地址；修订后的 UTXO 选择方法避免部分花费导致暴露币种留在后面；更新的默认地址设置降低对会产生更早密钥可见性的输出类型的依赖。

BitGo 将该发布定位为作业层面的预先准备，而非针对紧急威胁的应急响应。Blockstream 联合创始人 Adam Back 在 BitGo 的公告中被引用的话是：“今天没有人拥有能够触及比特币的量子计算机。”要点恰恰在于：机构不必等待真正存在的主动威胁才开始管理风险——重新组织暴露的时机，是在它仍然只是理论的时候。

这种表述在战略上很关键。机构托管是一项建立在承诺之上的业务：客户资产在任何可预见的情景下都能保持安全。现在提供量子风险工具，向监管者、董事会以及大型配置方释放了准备充分的信号，而这些群体正越来越多地询问长尾风险——即便是以“几年或几十年”为尺度来衡量的风险。

量子风险控制措施的技术细节

量子风险评分以及它实际衡量的内容

量子风险评分为客户提供了一个平台内的单一指标，用于衡量其钱包中公钥暴露情况。概念很直接：一个机构所拥有的、与未花费输出绑定的可见公钥越多，其在未来量子攻击面前（该攻击具备从这些公钥推导私钥的能力）的理论脆弱性就越高。

然而，它存在显著限制。BitGo 尚未公布该评分的公式、加权体系或阈值。因此，它更像是一种专有的内部风险指示，而不是可独立验证的安全标准。依赖它的机构应当理解：他们是在信任 BitGo 尚未披露的方法论——这对于任何安全关键型应用而言都是一个重要的限定说明。

UTXO 选择与地址补救

UTXO 控制措施背后的机制指向一个广为人知的比特币特性：从某个地址花费一枚币时，会暴露出与该地址关联的公钥。如果在此之后仍有未花费输出留在同一地址上——无论是地址复用，还是花费不完整——那么这些币现在就位于一个可见公钥的背后。

BitGo 的新 UTXO 选择方法通过按地址对币进行分组来解决这一点。当钱包从某个地址选择一个 UTXO 为一笔交易提供资金时，它会尝试在同一时间拉取与该地址相关联的所有其他 UTXO。目标是避免出现这样的情形：一次花费暴露了公钥，却又让资金以某种方式留在该地址上。

“修复已暴露地址（Fix Exposed Addresses）”工作流采取更直接的方式：它将受影响的资金转移到新生成的地址，这些地址的公钥从未在链上出现。结合为降低早期密钥暴露而设计的更新默认值，这两项工具为机构提供了一条针对其最脆弱余额的主动补救路径。

对 Taproot 以及支付给公钥输出（Pay-to-Public-Key）的补救限制

当前发布存在一个明显缺口。Taproot 输出从输出创建之初就会暴露其公钥，而不仅仅是在花费之后——其暴露轮廓从标准的哈希化密钥输出开始就存在本质差异。支付给公钥（Pay-to-Public-Key）输出同样带有同样的问题。两者都需要单独的补救工作流，但在本次发布中 BitGo 尚未支持。

鉴于 Taproot 正在机构钱包中不断被采用，这一缺口的意义更为突出。就目前而言，持有这些输出类型中的资金的客户仅靠这套新工具无法完全解决其量子暴露问题。

用于理解量子风险与持续进行的比特币提案

多少比特币的风险实际上在于哪里

Glassnode 的 5 月估算给出了对这种抽象担忧的“硬数字”。在静态状态下具有公钥暴露的 604 万 BTC 中，该公司将其中 192 万 BTC 归类为通过输出设计在结构上暴露——也就是说，这种暴露已“内置”在这些输出是如何被创建的方式之中。另有 412 万 BTC 落入一种操作性暴露类别，涵盖地址复用、部分花费以及托管实践等情况。在这部分操作性桶中，仅交易所相关的余额就占了 163 万 BTC。

Glassnode 也谨慎地指出：这些币都在今天无法被窃取。数据展示的是公钥已经在哪里可见，而不是攻击正在何时发生。但这确实说明了为什么机构级托管方才是这些工具的恰当首要受众——交易所与大型托管方代表了暴露的一块集中切面。

BIP 360 软分叉提案

在协议层面，比特币开发者正在推进 BIP 360，这是一项关于支付给默克尔根（Pay-to-Merkle-Root）输出的草案软分叉提案。该设计移除了 Taproot 的密钥路径花费，并旨在降低对长期持续的量子暴露的攻击面。其作者也指出，更快的攻击——例如在交易等待确认期间针对已暴露的密钥——需要使用后量子签名，这属于另一项仍在发展的密码学研究领域。

BIP 360 仍处于草案阶段。任何全网级别的激活都需要通过技术审查、实现、测试以及在钱包、节点和基础设施上的广泛采用。这个时间表确实充满不确定性，这也是为什么值得关注 BitGo 的“托管层”方案——在给机构提供今天可操作的东西之前，它不会等待协议层面的解决方案。

在 5 月，BitGo 和 Silence Laboratories 还在一个机构托管工作流中测试了后量子签名——这是另一个信号，表明行业正在切实朝向密码学解决方案建设，而不仅仅是从远处监测。

对整个行业而言，更深层的问题并不在于量子计算机最终是否会对比特币构成真实威胁——大多数严肃研究人员认为，只要时间足够长，它们一定会。关键在于：在那个时间到来之前，生态系统是否会完成其密码学基础设施的升级。BitGo 的新控制措施并不能回答这个问题，但它确实让管理最大 BTC 余额的机构在答案逐步成形的同时，能够降低其暴露程度。

常见问题（FAQ）

BitGo 为比特币钱包引入了哪些新的量子风险控制措施？

BitGo 于 7 月 22 日推出了四项控制措施：一种量子风险评分，用于衡量受支持钱包中的公钥暴露；一种引导式地址补救工作流，用于将资金转移到新的地址；一种新的 UTXO 选择方法，用按地址对币进行分组的方式来防止部分花费带来的暴露；以及更新的默认地址设置，用于降低对更高风险输出类型的依赖。

BitGo 的量子风险评分如何工作，且能否独立验证？

量子风险评分为客户提供其公钥暴露情况的平台内度量，但 BitGo 尚未披露其公式、加权体系或阈值。因此，它是一种专有的风险管理指标，而不是可独立验证的安全标准，这限制了外部对其准确性的评估。

为什么会担心比特币钱包中的公钥暴露？

比特币公钥在花费一枚币之后才会变得可见，而该地址上的任何剩余资金随后只受到“一个可见密钥”的保护。Taproot 输出还进一步提升了这一点——它们在创建时就暴露公钥。足够强大的量子计算机理论上可能从可见公钥推导出私钥，从而实现对这些资金的盗取。Glassnode 在 5 月估算：604 万 BTC（占已发行供应量约 30.2%）已经在静态状态下存在某种公钥暴露。