Starkware首席产品官兼BIP-360联合作者Avihu Levy于2026年4月9日发布了名为Quantum Safe Bitcoin（QSB）的完整研究论文及开源实现。该方案在无需任何协议变更、无需社区投票、无需新增操作码的前提下，使比特币交易具备量子安全性。QSB完全运行在比特币现有脚本限制内（201个操作码、10,000字节），是首个已知的能够在现有规则下防御Shor算法攻击的比特币交易方案。
突破：无需协议更改即可实现量子安全
比特币当前使用的椭圆曲线签名方案ECDSA（secp256k1）可被足够强大的量子计算机通过Shor算法完全破解。攻击者可从中提取私钥、伪造签名并转移资金，威胁包括P2PK输出、Legacy地址以及Taproot密钥支出路径。Levy的方案在交易层面切断了这种依赖：它不再依赖椭圆曲线安全，而是基于RIPEMD-160哈希函数的抗预像性——量子计算机只能通过Grover算法攻击该哈希，仅提供二次加速而非完全破解。160位哈希对量子攻击者仍保有约80位的预像抗性，留有足够安全余量。
QSB改进了Robin Linus此前设计的Binohash方案，修复了两个使其对量子攻击不安全的漏洞：一是签名大小谜题依赖椭圆曲线小r值（Shor算法轻松破解）；二是未解决的Sighash标志漏洞，使攻击者可能在不同交易间重用有效谜题签名。
技术原理：基于RIPEMD-160哈希的新谜题
QSB将签名大小谜题替换为“Hash-to-Sig”谜题：发送方不断迭代交易参数，直到从交易派生的公钥的RIPEMD-160哈希生成有效的DER编码ECDSA签名——该事件发生概率约为1/70万亿。由于谜题使用硬编码的SIGHASH_ALL标志，消除了Sighash漏洞。发送方随后执行两轮HORS风格的Lamport签名摘要，从伪签名中选取子集，通过老旧的FindAndDelete脚本机制改变交易签名哈希。每一轮中产生有效DER签名的子集即成为该轮摘要，在见证数据中揭示对应的原像即完成量子安全输出。
Levy推荐的配置“Config A”在201操作码限制内实现约118位预像抗性和78位碰撞抗性。量子攻击者使用Grover算法进行二次原像攻击需付出约2^69的计算量，而Shor算法因不再涉及椭圆曲线假设而毫无优势。链下计算按当前现货价格每笔交易需75至150美元云GPU时间，计算可高度并行化，早期测试在多GPU上数小时内完成。GPU农场仅处理公开计算（密钥恢复和哈希），私有的HORS原像从不出现在发送方的安全设备之外。
现实限制与社区反响
QSB交易在共识上有效但不符合标准中继策略，需直接提交给接受非标准交易的矿池（如Marathon的Slipstream服务）。该方案尚未覆盖闪电网络通道。完整的链下组合和广播功能仍在开源实现开发中。Levy将其描述为“最后手段的措施”，而非常规比特币使用的通用替代方案。
Starkware联合创始人Eli Ben-Sasson公开表示：“这太重大了。比特币今天就可以实现量子安全。即使出现能破解传统比特币签名的量子计算机，这也展示了创建安全比特币交易的实用路径，而且无需更改比特币协议！”Taproot专家Eric Wall评价道：“Starkware拥有世界上最优秀的黑客。看到黑客将技能用于善事真是太好了。”Levy在X上发布了白皮书和代码仓库，并感谢Robin Linus在Binohash上的基础工作以及一项关键修正，塑造了最终的成本与安全性权衡。
对普通比特币持有者的意义
目前没有量子计算机能破解比特币密码学，大多数研究人员估计威胁至少在3年到10年内不会到来。但一旦用户从某个地址发起交易，公钥就会暴露在区块链上，计时开始。从未进行过发送交易的地址中的比特币风险较低，而重复使用或已使用过的地址则面临威胁。在量子门限到来前转移资金比之后更重要。QSB尚未集成到任何消费级钱包中，用户目前无法打开标准钱包开启量子安全设置。Levy提供的是密码学证明——路径已存在，建立在比特币已有规则之上，计算成本约相当于一张机票。未来需要的是技术实现、普及和时间。持有BTC的用户应关注钱包提供商的量子安全支持，避免重复使用地址，并在主流软件提供该选项时将资金转移至量子安全地址。