量子安全区块链设计有望降低手续费并缓解网络拥堵

消除签名：96字节的链上占用空间

多年来，密码学界一直警告量子计算与区块链技术之间即将发生的冲突。这一威胁背后的数学原理很简单：一旦量子硬件成熟，像 ECDSA 这样的公钥算法——它们保障着从比特币交易到智能合约的一切安全——将无法再提供足够的安全性。

然而，目前提出的解决方案往往似乎与问题本身同样危险。后量子密码方案通常会产生臃肿的签名和庞大的零知识（ZK）证明——这种数据爆炸可能导致点对点网络拥堵、压垮矿工，并推高交易费用。

不过，一种新的架构范式有望打破量子安全与网络可扩展性之间的这种零和权衡。 由密码学研究员 Dragos Ilie 联合伦敦帝国理工学院团队率先提出的“紧凑屏蔽式客户端验证”（CSV）方案证明，向后量子密码学过渡并不需要接受高昂的 gas 费用或忍受迟缓的网络性能。

事实上，通过重新构想所有权的证明方式，并将验证工作直接转移至用户设备上，该协议实现的链上占用空间甚至比当今的传统区块链还要轻量得多。

量子可扩展性问题的核心在于一种传统的设计选择：将冗长的数字签名存储在公共账本上，供每个全节点进行验证。紧凑型屏蔽客户端验证（CSV）完全摒弃了链上签名，取而代之的是一个名为“degriefer”的新型密码学构造。

实际上，记录在区块链上的单输入交易由三个简洁的 32 字节哈希值组成，总计仅 96 字节：一个用于防止双花（double-spending）的“无效化器”（nullifier）、一个交易承诺（transaction commitment）以及“degriefer”本身。

“dégriefer 只是对代币的‘无效化器’、所有者的私钥以及花费该代币的交易进行哈希运算后的结果，”伊利解释道，“通过在链上添加这个小小的哈希值，发送者现在可以针对它构建一个链下的零知识证明。”

遏制抢跑者与恶意攻击

由于构建配套的零知识证明需要将持有者的私钥作为私有输入，恶意中继者和抢跑者从数学上来说将陷入死胡同。“攻击者可以抢跑一笔交易，但他无法构建有效的零知识证明，因此肯定无法从中获利，”伊利指出。

此外，如果攻击者广播一条冲突交易来阻挠资金支出，合法所有者可以轻松识破这一企图。 “用户可以通过零知识证明来证明该抢跑交易是一次无效的恶意攻击——只需展示其实际密钥经‘消除器’哈希处理后，与攻击者的交易结合，并不会产生攻击者发布的‘反恶意者’，”伊利强调道。

因此，Compact Shielded CSV 并未强迫全球每个节点永久下载、执行并归档每一笔交易记录，而是将存储和验证证明数据的责任转移给了参与交易的特定用户。

从终端用户的角度来看，在紧凑型屏蔽CSV上操作钱包的感觉类似于使用轻量级的比特币SPV客户端。“它只需要连接到至少一个诚实节点，”伊利表示。为了确认一笔入账，钱包会将证明的公共参数与链上数据进行比对，并在本地验证ZK证明。 “例如，对于 STARK ZK 证明，即使在手机上， [verification] 也只需不到100毫秒，”他补充道。

生成一笔出款证明所需的计算量略多一些，但伊利耶预计随着证明电路的成熟，这一过程将变得更快。关键在于，由于该架构依赖于固定大小的递归证明，历史交易深度永远不会给边缘用户带来负担。针对将后量子证明存储在链外的担忧，伊利耶指出：

“这些证明确实比签名更大，生成和验证速度也更慢，但这只有在整个网络都必须存储和验证它们时才会成为负担。由于这是一个客户端验证协议，每个用户只需存储、验证和证明自己关心的代币，这完全在可控范围内。”

为了更直观地说明存储占用情况，伊利耶表示：“手机上的一张照片的体积是单个证明的20–40倍”，并补充道，发送支付所需的“带宽和存储空间都比发送一张图片要少”。

零状态膨胀

随着交易历史的增长，传统边缘设备往往会面临状态膨胀的问题。然而，在紧凑屏蔽CSV（Compact Shielded CSV）协议下，轻客户端除了存储自身未花费代币的固定大小证明外，不会存储任何其他交易历史。 “对于其他任何操作，例如检查无效化者是否存在冲突的支出，它只需向全节点或存档节点发起查询，”伊利指出，并补充道：“交易历史的增长完全不会影响证明的大小或验证时间。”

与“抗量子性会导致网络拥堵严重且手续费高昂”这一普遍看法相反，伊利认为紧凑屏蔽CSV比当今的非抗量子网络高效得多：

“令人惊讶的是，我们的方案不仅比传统区块链更轻量、更快，而且远非更繁重。我们不仅能实现完全的后量子安全性，而且与现状相比，交易手续费将大幅降低，网络拥堵也将显著减少。”