Ledger CTO Charles Guillemet：比特币今天没有量子计算机问题
Ledger首席技术官Charles Guillemet发文称，比特币今天没有量子计算机问题，有的是可能耗时数年才能做对的迁移问题，并把讨论从签名方案本身推到必须跑这套方案的钱包层。
他点名SHRINCS是首份认真做端到端取舍的比特币专用后量子草案：哈希基、依托比特币已依赖的SHA-256，单枚48字节公钥同时承诺紧凑有状态路径（Flexible XMSS与WOTS+C）和无状态SLH-DSA回退。草案作者包括Conduition、Ethan Heilman、Mikhail Kudinov、Oleksandr Kurbatov、Jonas Nick等，并非Bitcoin Core机构提案。
验证端被他称为意外惊喜，主体是SHA-256，草案报告最差情况下单位签名字节成本低于BIP340 Schnorr。有状态路径用一次性密钥，每个槽位只能签一次；计数器不得回退，必须在签名离机前写入持久存储，也绝不能从备份恢复。同一槽位签两条不同消息，观察者即可盗走资金。
SHRINCS比纯有状态方案更稳：状态丢失或不确定时，种子仍能导出无状态密钥，损失的是效率而非本金。代价是钱包状态从应用数据变成密码学状态，回滚可直接吞资金——成百上千个UTXO对应成百计数器，跨多设备与多软件钱包，而哈希基密钥生成在硬件上已可达数分钟。
他列明迁走后拿不回来的能力：非硬化BIP32派生，以及今天这种观察钱包；紧凑Schnorr风格门限签名。规格自身也写明：非标准SLH-DSA参数、NIST标准之外的构造、安全证明待完成。当前草案公钥48字节，有状态签名约548至4619字节，无状态回退约5777字节，对照Schnorr的64字节。
市场机制上，这是共识升级预期驱动的定价与工程再分配，而非“量子机已至”的即期冲击。算力与研发预算从选算法转向钱包状态机、硬件固件与遗失币处置；硬件钱包与需要重写派生/门限栈的基础设施承压，能在Liquid侧链已落地验证的哈希基路径与区块空间更省的方案相对受益。从未被所有者移动过的币构成第三问，几乎所有公开讨论仍停在相对最容易的第一问：选哪套方案。
Blockstream方面估过：全网若用Schnorr约6.5笔/秒，标准SLH-DSA可降至约0.36笔/秒，SHRINCS紧凑路径可回到约3笔/秒；该构造已在Liquid主网用Simplicity合约做过验证签名。
来源：公开信息
ABAB AI 解读
Blockstream Research的Jonas Nick与Mikhail Kudinov在2025年12月以ePrint《Hash-based Signature Schemes for Bitcoin》和Delving帖抛出SHRINCS，2026年5月跟进OP_CHECKSHRINCS，8月形成草案BIP，并在Liquid主网用Simplicity跑过验证。Ledger作为硬件钱包商，Guillemet过去已把Q-Day叙事从“十年后10%”拧到“迁移已迟到”，并强调弃币与暴露公钥地址才是刺。两人路径不同：一边把签名压到区块经济学可活的尺寸，一边把成本记账本从字节数改到设备状态机。
资本与工程资源正从“再发一篇算法论文”转向三类硬投入：硬件里数分钟级哈希密钥生成、跨设备不可回滚的计数器存储、以及无法再做非硬化BIP32与Schnorr门限的产品线重写。Liquid先落地是把侧链当试验田，把主链治理成本外置；StarkWare同期用约3100 GPU小时打出一笔主网量子安全交易并设2万美元优化奖，说明另一条路径是不改共识、用计算换证明。动机都是同一句：迁移窗口按年计，量子机日程按不确定计。
类比2017年隔离见证与2021年Taproot：真正耗时的不是椭圆曲线公式，是钱包、交易所、观察地址与脚本生态的同步。NIST已标准化的SLH-DSA与ML-DSA若直接塞进比特币，吞吐会掉到1笔/秒以下；SHRINCS把这一刀收成约一半到三分之一的容量损失。行业处在方案竞赛转入钱包与治理的阶段，不是算法发现期。
结构判断属于监管变化之前的协议层定价权转移。谁定义“可接受的签名字节、可接受的状态机风险、弃币是否冻结”，谁就定义下一轮区块空间与硬件钱包的成本曲线。机制是：哈希假设与比特币挖矿同源，政治上更好过；有状态一次性签名把用户失误从“丢助记词”升级为“备份回滚即丢币”，于是安全边界从曲线数学迁到固件与UX。选方案仍是三问里最容易的一问，正因为后面两问会改产业链利润分配。
ABAB News · 认知定律
算法好选，会跑算法的钱包难迁。
状态一旦变成密钥，备份就变成攻击面。
系统真正的期限不是威胁到达，是协同完成。