运行在以太坊主网、链 ID 为 42069000 的 OP Stack rollup——BB84——已完全取消了网络中的交易签名，代之以 Lamport 风格的哈希链，这一设计旨在削弱传统密码学面临的长期量子威胁。该网络自 9 月 30 日起在主网上运行。其创始人以化名 Hadamard 发布文章，在10 月 24 日的 Ethereum Research 帖子中介绍了这一系统，并征求批评性反馈。

普通以太坊账户依靠 ECDSA 签名授权交易，而足够强大的量子计算机运行 Shor 算法即可将其破解。目前尚无具备这种能力的机器，但关于钱包密钥暴露的警告已推动开发者寻找替代方案——一旦账户发出过交易，其密钥就会公开可见。基于哈希的构造也是最早的后量子候选方案之一：Leslie Lamport 于 1979 年提出了基于哈希的签名方案，NIST 2024 年的后量子标准中也包含一种基于哈希的方案 SLH-DSA。

哈希链账户，一步一步推进

每个 BB84 账户都由一个秘密构建，该秘密通过 keccak-256——以太坊自身也使用的哈希函数——反复哈希，形成一条值链，其中只有最后一个值是公开的。付款时，钱包揭示当前位置之前的那个值，任何人只需对其哈希一次即可验证。随后网络记录该值，并将账户沿链向下移动一步。

协议默认每条哈希链支持 1,000 笔支付，而 BB84 的开发者 CLI 会为每个一次性地址创建 10 步的链。即使支付本身失败，一步也会被消耗，且该链会拒绝任何以传统方式签名的交易。

支付仅支持跨链桥接的 USDC 和 EURC。commit 和 reveal 交易对用户均免费，付款方会为每个收款人创建一个全新的一次性地址。

安全性上的权衡

帖子详细说明了该设计的局限。在网络内部，一切都依赖于 keccak-256 难以逆转，而 Grover 量子搜索算法只会将其降低到约 2^128 次运算。然而，地址被缩短至 160 位，这意味着地址本身的量子抗性约为 2^80。BB84 的文档在宣传 128 位后量子安全性时并未提及这一保留条件。以太坊主网本身仍使用 ECDSA：充值从普通以太坊钱包开始，提款也支付到这些钱包。

撰写帖子时发现的抢跑漏洞

揭示秘密即意味着将其公开，因此任何旁观者都可能将其复制到一笔向自己付款的交易中。为防止这一点，钱包会先发送一笔 commit 交易，在不展示秘密的情况下将其锁定到某一笔确切的支付。默认情况下，reveal 必须在五个区块内完成。

薄弱之处在于 commit 不携带签名，因为没有可用于签名的东西。在最初的版本中，新的 commit 会直接替换待处理的 commit。攻击者若在待处理的 reveal 中发现秘密，就可以插入一个将该秘密绑定到自己付款的 commit。Hadamard 表示，团队在撰写帖子时发现了这一漏洞，并于 10 月 21 日通过一项新规则将其修复。根据修订后的规则，首个 commit 优先，只有在对应的 reveal 完成或到期后该槽位才会清空，钱包需等待其 commit 被写入区块后再进行 reveal，且公共 RPC 不暴露待处理交易。

修复未能覆盖的问题

垃圾交易攻击（riefing）仍然可行：任何人都可以提交无效 commit，将一个地址阻塞最多五个区块，但无法动用其资金。恶意排序器是另一项残余风险：如果一笔诚实的 commit 在其 reveal 待处理期间到期或被重组剔除，秘密就不再处于锁定状态。目前只有 BB84 自己的排序器能看到待处理交易。

Hadamard 建议采用更严格的“Guy Fawkes”规则，即 commit 只追加而非替换，但他表示尚未实现。文档的说法比帖子更进一步，声称 commit 和 reveal 机制意味着排序器无法窃取提款。

一个绝不能数错步数的钱包

由于每条链的步数固定，钱包必须在最后一步通过在最终支付中包含新的承诺来续期。如果错过这一步，该地址即告作废。准确计数同样重要：Hadamard 表示，应用与链曾在生产环境中出现不同步，因此钱包必须能够从链上数据重新同步。

秘密仍需像密钥一样加以保护。CLI 警告其钱包文件以未加密方式存储支出密钥，并将加密列为路线图事项。取消签名改变的是消费授权的方式，而不是保护秘密安全的必要性。

提款依赖受信任的运营方

BB84 没有故障证明。一个需许可的提议者通过一个立即裁决的自定义争议游戏将网络状态发布到以太坊，且由于没有证明系统，Hadamard 写道，按照 L2BEAT 的框架，这条链“甚至达不到 Stage 0”。该框架根据用户需要在多大程度上信任运营方而非证明系统，将 rollup 从 Stage 0 到 Stage 2 进行分级。因此提款依赖对提议者的信任。文档仍将提款描述为遵循 OP Stack 故障证明流程并带有七天成熟期延迟，但正如 Optimism 的说明文档所述，故障证明的意义在于可以对错误状态发起挑战——而在这里，等待期间没有任何东西可以被挑战。排序器同样由 BB84 运营。

什么会改变这一局面

帖子结尾提出了超越单条链的问题。其中最大的问题是，哈希链账户能否成为通用 layer-2 网络上 EIP-7702 风格或原生的账户抽象验证模式，这将使这一想法无需迁移到专用链即可使用。EIP-7702 自 2025 年 5 月以太坊 Pectra 升级以来已上线，允许普通账户加载智能合约代码。Hadamard 补充说，额外的检查足够简单，可以用 Optimism 现有的 Cannon 工具进行证明；只追加的 commit 规则可以同时堵住垃圾交易攻击和排序器两个缺口；包含完整规则的更长篇论文正在为 arXiv 准备中。以太坊更广泛的迁移计划，见诸其量子路线图，还涵盖验证者签名、数据承诺和证明系统。

本文仅供参考，不构成财务或投资建议。实验性网络存在技术和托管风险。

来源：Coindoo