以太坊L2弃用签名机制以应对量子威胁

Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

核心要点

自9月30日起在以太坊主网上线。
协议默认设置：每个哈希链包含1,000次支付。
发现并修复了前运行（Front-running）漏洞，修复措施于10月21日生效。
以“Hadamard”为名的创始人于10月24日在Ethereum Research发帖描述了该设计，并寻求批判性反馈。

量子威胁与无签名架构

普通以太坊账户使用ECDSA签名授权交易，而足够强大的量子计算机若运行Shor算法，理论上可破解此类签名。尽管目前尚无机器能做到这一点，但对钱包密钥泄露的警告促使开发者寻找替代方案。BB84是OP Stack Rollup在以太坊主网上的一个实例（链ID为42069000），其网络完全移除了签名机制。

每个账户由一个通过Keccak-256反复哈希生成的秘密衍生而来，形成一条值链。只有链中的最后一个值是公开的。进行支付时，钱包会揭示前一个值，任何人都可以通过一次哈希运算来验证。网络随后记录该值，并将账户沿链向下移动一步。协议默认步数为1,000步，而BB84的开发工具CLI（命令行界面）为每个一次性地址创建包含10个步骤的短链。即使支付失败，也会消耗一个步骤，且链将拒绝任何常规签名的交易。

支付仅支持桥接的USDC和EURC。用户提交承诺（commit）和揭示（reveal）交易均免费，付款人为每个接收方创建全新的一次性地址。

安全权衡分析

文章阐述了其中的安全权衡。在网络内部，一切依赖于Keccak-256难以逆转的特性，Grover量子搜索算法仅将其安全性降低至约2^128次操作。然而，地址被缩短为160位，这使得地址本身仅保留约2^80的抗量子能力。BB84的文档宣传的是128位后量子安全性，但未注明此局限性。此外，以太坊主网仍使用ECDSA：存款从普通以太坊钱包开始，取款也支付到这些钱包。

撰写文章时发现的安全漏洞

由于揭示秘密意味着使其公开，任何旁观者都可能将其复制到自己的交易中用于收款。为防止这种情况，钱包首先发送一笔承诺交易，在不显示秘密的情况下将其锁定给特定的支付。默认情况下，揭示必须在五块内完成。

弱点在于承诺交易没有签名，因为此时没有东西可供签名。在第一个版本中，新的承诺只是简单地替换待处理的承诺。攻击者若在待处理的揭示中发现秘密，可以插入一个将该秘密绑定到自己支付的承诺。Hadamard表示，团队在撰写文章时发现了这一漏洞，并于10月21日通过新规则进行了修复。根据新规则，第一个提交的承诺获胜；只有在匹配的揭示或过期后，插槽才会清除；钱包在揭示前等待其承诺上链；公共RPC不暴露待处理交易。