Starkware首席产品官兼BIP-360联合作者Avihu Levy于2026年4月9日发布了一项名为量子安全比特币（QSB）的研究论文及开源实现。该方案在不进行任何软分叉、不新增操作码、无需社区协调的前提下，仅利用比特币现有遗留脚本的201个操作码和10000字节限制，就能使比特币交易具备抗量子计算攻击能力。
量子威胁为何紧迫？
比特币当前依赖的ECDSA签名算法（基于secp256k1椭圆曲线）可被Shor算法在足够强大的量子计算机上完全破解。攻击者能从公开的签名公钥中恢复私钥，伪造交易并转移资金。无论是P2PK输出、传统地址还是Taproot密钥路径均面临风险。QSB将安全性从椭圆曲线硬度转移到RIPEMD-160哈希函数的原像抗性上——量子计算机只能通过Grover算法攻击哈希，仅获得平方加速而非完全破解。160位哈希对抗量子攻击时仍有约80位原像抗性，留有充足安全余量。
QSB如何运作？
Levy的构造改进了Robin Linus早期提出的Binohash方案，修复了两个关键缺陷：一是签名尺寸工作量证明谜题依赖小椭圆曲线r值（Shor算法轻松破解），二是未解决的sighash标志漏洞。QSB采用“哈希到签名”谜题：发送方反复调整交易参数，直到交易衍生公钥的RIPEMD-160哈希恰好产生一个有效的DER编码ECDSA签名（概率约1/70万亿）。由于采用硬编码的SIGHASH_ALL标志，sighash漏洞被彻底消除。
发送方随后使用HORS风格的Lamport签名结构进行两轮摘要生成，通过遗留脚本的FindAndDelete机制选择伪造签名的子集来改变交易哈希。每轮选择出能产生有效DER签名的子集作为该轮摘要，并在见证数据中揭示对应的原像，完成量子安全花费。推荐配置（Config A）在201操作码限制内实现约118位原像抗性和78位碰撞抗性。量子攻击者使用Grover算法进行二次原像攻击仍需约2^69工作量，且Shor算法无法提供任何优势。
成本与局限
链下计算成本根据当前云GPU定价约为每笔交易$75至$150，计算任务可并行化，初步测试中数小时即可完成。GPU仅处理公开计算（密钥恢复和哈希），私有的HORS原像永不离开发送方安全设备。QSB交易在共识层有效但非标准——超出默认中继策略，需通过Marathon的Slipstream等服务直接提交给矿池。方案尚未覆盖闪电网络通道，完整链上组装和广播仍在开源实现中。Levy强调该方案是应急措施而非标准比特币使用的通用替代。
社区反响与下一步
Starkware联合创始人Eli Ben-Sasson公开称赞：“这太重大了！比特币今天就能实现量子安全。即便出现能破解常规签名的量子计算机，QSB展示了用现有协议规则创造安全交易的实践方法。”Taproot Wizard Eric Wall评价：“Starkware拥有世界上最好的黑客，很高兴看到他们用技术行善。”Levy已将完整论文、GPU加速CUDA代码、Python流水线和比特币脚本托管在GitHub。对于普通比特币持有者，目前没有现成的消费级钱包支持量子安全选项。但Levy证明了一条路径：利用比特币已有规则，以约一张机票价格的GPU成本即可实现。未来需要钱包提供商集成、工程适配和时间检验。