Blockstream Research 在让比特币抵御量子攻击的竞赛中选出了领跑者。一篇于2026年8月6日发表的同行评审论文将 Falcon-1024 列为比特币网络最强的基于格的签名候选方案。这项工作的紧迫性来自其背景：比特币目前使用椭圆曲线签名——ECDSA 以及 Taproot 升级后的 Schnorr——来保障交易安全，而足够强大的量子计算机可以利用 Shor 算法破解这两类签名，Falcon 等抗量子方案正是为抵御这种攻击而设计的。然而，选出首选方案并不等于确定上线时间：论文还花了大量篇幅解释为什么该方案短期内还无法直接部署到比特币中。

三个候选方案，一个明确的领跑者

论文评估了三种基于格的后量子签名方案——Dilithium、Falcon 和 Hawk——考察每种方案在比特币约束条件下的适用程度。基于格的构造并非支流：它是当前标准机构全球后量子密码工作中研究最深入的方案家族之一。

体积优势

Falcon-1024 在紧凑性上胜出。其公钥与签名合计为3,073字节，而 Dilithium 在 Category 3 级别下完成同样的工作需要5,261字节。Falcon 的体积约为 Dilithium 的一半多一点——在区块链上，每个字节都在争夺有限的区块空间，这一差距意义重大。比特币的共识规则将区块容量上限设定为400万权重单位，因此更庞大的签名会直接推高用户支付的费用。

Blockstream 还强调了 Falcon-1024 的高效验证时间。网络上的每个节点都需要校验签名，因此验证速度快的方案有助于控制比特币运行成本的膨胀。

一长串注意事项

在对比中胜出并不意味着 Falcon-1024 健康无虞。论文列出了几项阻碍该方案走向实际应用的部署挑战：

• **内存需求：**Falcon 的签名过程需要约90 KB，报告将其标记为较高的要求。
• **实现复杂性：**该方案依赖浮点运算——即处理小数的数学运算——报告指出这使得正确实现变得更加复杂。
• **缺乏层级确定性派生：**Falcon 缺乏对层级确定性密钥派生的原生支持，这一缺陷对普通用户的影响可能最大。
• **标准化未完成：**Falcon-1024 尚未完成最终标准化。NIST 早在2022年就选择了该方案进行标准化，但其最终规范至今仍未发布——在此之前，将比特币的长期安全锚定在该方案上，意味着押注一个仍可能变动的目标。

并行推进的保守路线

Falcon 论文只是 Blockstream 量子研究的一部分。该公司还在推进以基于哈希的签名为核心的更保守方案。基于哈希的方案被广泛视为后量子密码学中最保守的分支，因为其安全性仅依赖哈希函数，而哈希函数被认为比当今签名背后的数论算法更能抵御量子攻击——这也是 NIST 在2024年定稿其自有基于哈希方案 SPHINCS+（以 SLH-DSA 发布）的同一原因。

Blockstream 的基于哈希的构造方案 SHRINCS 已于2026年8月下旬进入 BIP 草案阶段。比特币改进提案（BIP）是建议协议变更的正式途径，草案状态标志着公开评审的开始，而非批准。

SHRINCS 已在实验室之外进行了测试。Blockstream 在其运营的 Liquid 侧链——一条联邦化的比特币侧链——上进行了试验，包括2026年3月完成的一笔引人注目的后量子交易。

对比特币意味着什么

综合来看，这项研究指向的是分阶段过渡，而非一次性切换。Blockstream 将 Falcon-1024 定位为以标准成熟为前提的战略性长期选项，而非立即部署计划。

对于持币者和交易者而言，实际的结论是：比特币当前的安全模型暂时依然完好。目前尚不存在能够破解比特币签名的量子计算机——制造这样一台机器需要纠错量子比特的规模远超现有硬件——论文中的任何内容都没有改变这一点。

尽管如此，体积对比提醒我们，后量子安全并非没有代价。即使是最紧凑的基于格的方案，每个密钥和签名也重达数千字节，因此任何最终迁移都可能迫使人们在区块空间和费用之间做出权衡。

钱包开发商面临的工作最为繁重。HD 派生的缺失和90 KB的签名需求将直接落在硬件和软件钱包上，这些钱包必须先行适配，任何基于格的方案才能触达普通用户。

对于关注后续进展的人来说，里程碑位于标准制定机构而非链上：Falcon 的最终规范能否落地，以及 SHRINCS 草案 BIP 的公开评审将如何推进。比特币的共识变更从提案到激活历来需要数年——SegWit 和 Taproot 都是如此——因此任何签名迁移都将以 BIP 讨论和评审周期来衡量，而非以周计。