機構金鑰等量子電腦來了再換，來得及嗎？
Trust, Privacy and Security
- Daniel BSOS
- Changwu imToken
- 陳品 BSOS
- Po-Chun Kuo 智根科技
影片
影片與逐字稿來源：ETHTaipei
場次摘要
這場座談從量子威脅、機構金鑰管理談到隱私。Po-Chun Kuo 轉述研究團隊對破解 secp256k1 所需量子設備的估算，提醒機構及早規劃遷移；這不是已能在 2028 年破解的事實。其他講者用 Bybit 的錢包事件說明，合約本身安全仍不足以防住供應鏈與簽署介面攻擊。
值得記下的 5 件事
- 鏈提供抗量子遷移方案後，部分持有人仍須主動提供證明並把資產移到受新簽章保護的帳戶。
- 合約本身沒有漏洞，也可能因前端供應鏈遭攻擊而誤導簽署者。
- MPC 可由門檻數量的參與者共同產生一份合法簽章，鏈上仍只看到一個簽章值。
- passkey 綁定網域，可降低簽署者被假網站誘導的風險，工具選擇也要考慮實際操作者。
- 不同金融應用採用不同隱私機制，可能失去原本的可組合性；保護必須涵蓋整段操作流程。
逐字稿
開場：機構天天問的信任、隱私與安全
大家好，我是 BSOS 的執行長 Daniel。那我們公司是專門服務機構做區塊鏈的基礎建設，所以今天的這個題目，很大部分都是我這幾年來天天被機構問的問題。那我們常常在外面開會常聽到一句話，大家都會說：「技術不是問題。」但是呢，每聽到這句話，我都在想說，那是因為你有找到好的技術方；你如果找到不好的技術方，你每天的問題只剩下技術，你都不用去想業務的問題了。
那第二個，有一些問題確實是跟技術有關的。比如說今天講的這個跟資安、底層的資安跟隱私相關的，這個都是必須要靠真正的技術去推進的這個進程。那今天請到這三位啊，都是我認為後面通常都會被冠一個大神等級的，就是三神。聚集啊，這個是很難得的。這三個人在現場，我都覺得好有安全感這種感覺。就是任何的區塊鏈的密碼學技術，台灣有他們三個在，我都覺得任何問題他們答不出來的，大概就是現在全球技術還沒有到的程度。那我先請三位簡單自我介紹一下。大家好，我是 Changwu，那我現在任職於 imToken。
那 imToken 是一個加密貨幣錢包。那目前的話主要還是做研究啊。那我過去從 protocol 底層，然後再到錢包應用，再到 DEX 都有做過。對，那我們管理的資產的規模，或者是 DEX 的交易量，其實都還蠻大的。對，所以大概是這樣。嗨，大家，我是陳品，目前是 BSOS 的 CTO。那我比較多也是在做以太坊本身的技術研究。那我可能稍微比較多著重一點在 DeFi 跟智慧合約的開發上面。那也有一些推出 DeFi 的經驗。
喂喂喂，啊，有了，慢一點而已。好，大家好，我是郭博鈞，那我是智根科技的創辦人。那我們主要做兩件事，第一件事情是做後量子密碼學的硬體開發，這個是非常急的事情，因為大家已經開始要做遷移了。另外一方面，我們做零知識證明。後量子的零知識證明可以應用在各式各樣的環境裡面，那我自己也在政治大學教後量子密碼學這樣子。好，謝謝。今天有兩位都是博士等級的，在密碼學的領域。那第一個問題我就想先請教郭博鈞，你們常常被問就是，那量子電腦來了怎麼辦？因為區塊鏈、比特幣跟以太坊，它都蠻依賴橢圓曲線的簽章。那以太坊就算了，它可能還可以透過智慧合約的這個升級，不用從底層去面對這個量子的攻擊。
量子威脅是明天醒來資產不見，還是還有過渡期
那比特幣現在有些機構，它開始在經營 VASP，未來會去經營這個交易所，它的資產可能會擁有比特幣。當然我們都會跟客戶講有一段距離，但是這個只是我們看到研究報告、看到新聞的體感。那真正的水溫，我覺得只有密碼學家才能夠回答出那個真正水溫在哪裡。這個機構的主管是會覺得，明天一早醒來，哇，怎麼資產都不見了，是這種程度嗎？還是說，其實它漸進會有個跡象在？中間還有一個過程可以去過渡的，那可不可以讓我們知道一下，應該怎麼去看待這個後量子的這種疑慮的這個觀點。好，這個其實可以從很多面向來看。
第一個，我們先回答量子電腦威脅是不是真的會來臨。好，第一個，這個物理學家都在做這個量子電腦，而且可以看到現在大型的科技公司，Google 啊。Amazon、Honeywell、Microsoft 全部都在做量子電腦，而且用不同的技術去做量子電腦，其實就把某種東西做成量子態這樣子。那目前其實沒有看到哪一個技術是絕對做不出來的。確實每個技術可能碰到一些瓶頸，但是可能只是慢而已，有可能它一做出來，就像是我們過往在矽晶片上面的開發，有可能做出來之後，可能就會有這個量子電腦的摩爾定律，每年可能就在翻倍它的計算量，這是有一定威脅的。另外一方面，我們要做的一些這個演算法，像大家可能聽過這個 Shor's algorithm，可以去破解我們現在在用的密碼系統，像 RSA 啊、ECDSA 啊。
這方面目標還在往我們的這個地方靠近。什麼意思呢？就是說，雖然這演算法被做出來了，但是我們要實現它，可能原本需要一個非常大規模的量子電腦。那後來這個電腦科學家很認真地去把它精簡，發現原本可能是，比如說 2040 年我們才可以做出量子電腦，2030 年可能就夠用了。今年有兩篇這個研究，一篇來自於這個 Google Quantum AI 的團隊，做了這件事情，去做了這個估計。在前幾天 IonQ 也是一家這個做量子電腦的新創，也做了這個估計，而且估計它給了非常非常明確的一些數字，就是預計在某種這個規模的量子電腦，很有可能在他們的路線圖裡面，2028 年就可以做出來了。
那做出來可以在一個月內解掉我們現在在用的橢圓曲線 secp256k1 這樣子。那當然這個估計是有一點太……對使用這個密碼學的人來講可能有點悲觀啦，很快就要去更換這樣子。但是這些估計我覺得也不是這種空穴來風。這是有一定的威脅性，2028 年即使做不出來，有可能慢個兩年、四年。那在我們的角度來看，確實如果大家有能力的話，就要儘早去做這樣的一個遷移。那比如說以這個美國來講，這個川普簽了這個總統令嘛，對不對？2030 年就要全部更換。那 Google 說更早，我們 2029 年就要全部換過去。好，這個是量子電腦的威脅。那另外一面。
一次性地址擋不住十秒破解後的搶跑
量子電腦對區塊鏈的威脅是什麼？好，量子電腦對區塊鏈有沒有威脅？有，因為我們剛剛說量子電腦會破解這個簽章嘛。那區塊鏈上面其實大量使用簽章和 hash，hash 的威脅不大，但是簽章的威脅非常的大。那當然會有人說啦，那我就可以像 Bitcoin 這樣子，我每次那個帳戶都不要重用。每個帳戶都是這種一次性的，那我公鑰不要洩漏，我是不是就可以保障我的安全了？那這就要提到這個一些攻擊這樣子。其實這種攻擊，你確實可以抵擋一類的攻擊叫做靜態攻擊，就是你不洩漏公鑰，或者是你是壞人的角色，就是你看到公鑰，你可以慢慢破解。像比如說你可以花一個月、半年的時間慢慢破解，那對它有威脅。OK。
那你確實用這個東西，你一次性的帳戶可以抵抗這種攻擊。但是如果今天量子電腦規模大到是，比如說十秒鐘就可以破解掉了，那你這個帳戶還安全嗎？這答案是否定的，因為當你要花錢的時候，你的交易送出去，別人看到了，他事實上就可以用量子電腦去破解這個簽章嘛，對不對？他就可以……有點像搶跑攻擊這樣子，可以同時送一千筆進去，讓你的交易都是無效的。這個是所謂的未花費攻擊。當然未花費攻擊可能是更晚一點才會出現的，也有一定的影響力。所以其實有些人提這個方法，就是用合約錢包，我可以在合約錢包裡面去實作一個後量子簽章，那是不是就可以抵抗了。那如果碰到這種類似這種搶跑攻擊，事實上會讓你的交易一直送不出去，一直跟別人競爭。
所以從區塊鏈的角度來講，我們還是建議能盡早去做遷移會是最好的方式，不然很有可能大家的資產可能不會被別人偷走，但是你可能變成沒辦法動你的資產。好，我知道時間非常的不夠，因為……這個題目非常的好，我覺得我可以講一個小時。那再來，可能會遇到哪些問題？遷移之後可能會遇到哪些問題？其實我這個就要跟大家講，其實我覺得遷移就是要看大家對這個東西的理解在哪裡。這個區塊鏈是一個去中心化的一個世界嘛，所以大家要對一些技術的熟悉度夠了，大家才知道要做這個。去做遷移啊什麼的，其實我覺得技術不是太大的問題，因為我們有像 BSOS 這樣的廠商可以幫我們去處理技術問題。那如果這個群眾對這東西有一定的意識，有一定的概念，那我想遷移會是一個比較好的方式。
而且有些帳戶你一定要主動地去更換這個東西，即使你的鏈提供了這個遷移的方案，你的帳戶還是要做出一個證明，去把你的……資產移到一個後量子簽章保護的一個帳戶裡面這樣子。好，然後我想我先回答到這裡。那我補充一下 Bitcoin 這邊開發者的一些想法好了。那對 Bitcoin 來講，其實 Bitcoin 現在，Bitcoin 的開發者其實對於量子電腦這些提案，他們有另外一種想法，因為我們都知道 Bitcoin 其實是比較 cypherpunk。就是說他們喜歡隱私，然後就是說，我目前的 Bitcoin 好好的，你為什麼要我去動它？所以 Bitcoin 的人其實是不喜歡自己現在主動去簽署一個交易，去轉移到剛剛郭博說的，因為現在他們的公鑰已經洩漏了。
比特幣遷移卡在共識，不是技術
所以要轉到一個不洩漏公鑰的另外一個地址的時候，他們反而是抗拒做這件事情的。所以我們剛剛談的現在已經不是技術問題了，已經是另外一個共識問題了。那所以開發者在考慮這個問題的時候，又會想另外一件事情就是說，那我們有沒有什麼方法可以解決這件事情？反正量子電腦的攻擊都還沒出現，所以他們就在考慮說，那我能不能夠先在……某個時間點下，我來證明說我現在在鏈上的 Bitcoin 有多少的 amount，我有多少的 UTXO。那我把這個 UTXO，我寫到一個 commitment 裡面去，寫到鏈上去證明這件事情。當然這個證明本身是必須要就是不公開的，所以它其實不會洩漏裡面有多少 amount，而且它是一個 off-chain 的操作。所以說其實沒有人知道說，其實，假設證明者是一個 Bitcoin 的……擁有者，他做了這個操作其實沒有人知道，所以其實就比較符合剛剛講的就是說，Bitcoin 的開發者比較喜歡 cypherpunk 的特性，而且他們不希望他們去動這個資產是被人家發現的。
好，那這個紀錄寫上去之後呢，接下來可以做什麼事情？接下來就可以透過像我們講的節點，以後未來真的要分叉。那他可以做到一件事情，就是說，我把 Bitcoin 在抗量子之前的這個簽章，我們說這種是會被威脅的、會被攻擊的，那以後我們就把這樣的一個 Bitcoin 的 UTXO 都把它廢掉。那廢掉之後，那我再透過當初證明過我有的那個 Bitcoin 的那個 amount，我再重新去把它領到一個新的。地址，那這邊可能就透過零知識證明的方式去把它領出來。那這部分我剛剛講的，其實是它不只包含就是技術，它還有一些社會共識，還有節點共識。所以我覺得在 Bitcoin 這個上面其實是一個蠻有趣的議題，大家如果有興趣也可以去追蹤一下。好，謝謝，以上我補充。
那剛剛他講到這個 Bitcoin cypherpunk，讓我想到一件事，因為我剛好也是那個……Liquid Network 這個 Bitcoin 的側鏈的一個 director，那每年，像今年我們就會去義大利去討論接下來要怎麼樣去升級。那他們真的就是很 chill，我們台灣人都覺得好像遲到十分鐘已經很緊張了，過去一個人都沒有，早上開會慢慢來，都快中午了才開始開會。那開一開，欸，肚子餓了，去旁邊吃義大利麵。吃義大利麵之後下雨了，這時候我們台灣人，我跟我老婆就一直緊張說，待會下午的議程怎麼辦？delay 了，他們不會。Adam Back 就坐我對面啊，就發明 PoW 的人，但是好整以暇，不覺得下午沒開也不會怎麼樣啊的那種感覺，很 chill，有點這種。
慢慢來的感覺，我也替他們緊張啦，但希望沒事。OK，好，那第二個是要問的是陳品，就是我們在跟機構的合作當中，現在的機構其實他們很容易聽得懂的是 EOA 錢包，就是我們花了好多時間，終於他們知道 EOA 是什麼了。OK，那現在的很多的保管機制也都是……基於 EOA 在做保管的，但是你如果去看一下鏈上的這些持有資產的大戶，我去看了一下像 Tether 的黃金代幣，它也是二、三十億美元的量。一看，它的那個最終的 owner 是一個這個多簽錢包。
機構為何少用多簽：熟悉 Web2 與 Bybit
那我們去看這個大的交易所。他手上的這個資產是數十億美元等級的。你看上次那個 Bybit，他也是用多簽錢包，他也沒有說花了好幾千萬去買了一個 HSM。OK，那這個是屬於大家對於這個技術的不同的理解做出的選擇，還是說這個多簽錢包真的沒那麼安全？因為多簽錢包是用合約做的嘛，那陳品是智慧合約的專家。那我想請教就是說，我們在選擇把資產存進去一個地方的時候，選擇 EOA 跟選擇多簽錢包的考量點會是什麼？
那機構為什麼比較少去用多簽錢包來當作自己的資產儲存的一個這個位置？好，首先如果是以機構，尤其是保管大量資金的帳號來說，它不論是 EOA 或合約錢包，應該必然都不會是可以被單點控制的。就是即便它在區塊鏈上看起來是一個沒有合約程式碼的地址，它滿有可能背後可能是比方說它有用到 MPC 的技術。或者是它有用比較高等級的 HSM，然後那個可能它有 air gap，或它用一些實體的方式去限制說，怎麼樣的人，基於怎麼樣的流程，才有辦法去使用那把，就是握有大量資產的私鑰。
對，那所以這種避免單點故障，或避免內……內部人員可以一個人就把錢轉走的機制，我相信一定都是存在的。對，那從機構的角度，確實會覺得說，好像比較熟悉的會是一些 Web2 時代就有的技術，比方我有這個 Secure Element，我可能放在……不管是專用的 HSM，或者是放在比方說晶片裡面那種 enclave，對，那它的確可以達到比較好的遷移，就是對機構而言，它不需要重新去學習一套不同的，我們會講 primitive，就不同的建構的概念。
對，因為合約錢包它的……依賴確實就多了一個，是合約本身的安全性嘛。對，那剛剛 Daniel 有舉到一個例子是 Bybit，那其實在 Bybit 的例子裡面，合約本身是沒有漏洞的。對，它應該用的是那個 Safe 的錢包。對，那但它比較倒楣一點是，它就被供應鏈攻擊，而且還是那種就是……定向的，就是魚叉式攻擊，就是駭客找到了一個供應鏈的漏洞之後，他就只針對 Bybit 的那個人去攻擊。對，所以世界上沒有其他的受害者出現，它就必然會是第一個。那它是在，就是前端顯示跟它的那個，就是冷錢包簽名的時候，上面出現的值都沒有辦法核對的情況下，就盲信了。
Bybit：前端被攻破，冷錢包只能看到雜湊
對，因為它的前端被攻破了，所以它前端會騙它說，就是你現在簽的是一個把錢從冷錢包轉到交易所熱錢包的一個交易，可是實際上是轉給駭客。對，那又因為它的冷錢包其實沒有辦法很好地顯示交易的細節。它只能看到說這是一個智慧合約的互動，然後就只有 hash，所以我按下同意之後，其實它並沒有二次核對的效果。所以在這個例子裡面，確實可以說冷錢包的使用某種程度上導致了它並沒有就是第二重驗證。應該講說冷錢包跟……合約多簽的使用，這兩個的一個就是組合導致的。
對，那也會有一種說法就是說，那我如果都放在 EOA 裡面，我的冷錢包就可以很好地顯示出我轉帳到底轉到哪，那我是不是就可以阻止這次駭客攻擊。對，那我相信確實有些機構會買單這樣的說法、這樣的做法，那我能理解。對，可是這可能不是很現實，因為你除了比方說 ETH，比方說可能 ERC-20，它是有，就是應該大部分冷錢包都有解析，你一定還會有很多其實也是高價值的，不管是轉帳或者是權限操作，它某程度其實應該是需要被保護的，比方說。呃，設定合約的 owner 或 minter，那如果你的冷錢包解析不出這筆交易的話，你確實有可能就被騙了。對，所以從這個角度來說，我會覺得長期而言，使用合約錢包仍然是難以避免的。
那尤其像剛剛也有討論到，我們其實有這個遷移密碼學的需要嘛，因為……呃，量子的威脅會讓我們本來用的 ECDSA 不可用。那現在，比特幣本來就有這個 UTXO script 可以做支援。那以太坊的話，可能就是會在合約層級去支援一些後量子的密碼學。對，那所以長期來說，使用到合約錢包應該是不可避免的。那……它是不是 EOA 可能到那個時候也不是那麼重要了，因為所有的 EOA 經過升級之後，也全部都是有，就是它預設是有一些驗證的邏輯的。對，那只是說現在確實因為 EOA 還堪用的情況下，機構確實有可能會覺得，那我對合約錢包，可能尤其是多簽的採用會慢一點。
對，那只是，如果一定要說的話，可能也是越早採用越好。對，那當然這裡面還有一個滿重要的關鍵，就是盡量去用那些，比方說有被多輪審計過的，然後還有一個是經濟上安全的。就是所謂經濟上安全不是真正安全，而是說，它裡面曾經放過很多錢，然後有很多的使用者，以至於如果真的有某種零日漏洞存在於世界上的話，會有別的受害者。對，那雖然這樣有點缺德，但我們如果以 Bybit 的例子就是，它被駭讓所有其他的這個 Ledger 跟 Safe 的使用者免於這個災難。對，那。
長期仍得用合約錢包，下兩個硬分叉後沒有純 EOA
呃，當然，如果你是世界第一有錢的，用這個方案的，那你可能就會比較倒楣一點。但我相信對於大部分人來說，呃，這可能是一個就是保險吧，就是怎麼樣都還是比你用一個跟別人完全不一樣的供應鏈 來得好一些。所以整體看起來，還是覺得未來會往多簽的這個，更多的是轉移到多簽這個方向去邁進的，對嗎？您的觀點。呃，就是不一定是多簽，但一定是合約錢包。對，因為到了，就是應該下兩個 hard fork 之後，它可能就不是，就沒有純 EOA 這個概念了，就是所有的交易都是可以被……就是這個簽名邏輯跟交易邏輯分開的，然後尤其那時候如果又有量子密碼學的這個升級考量的話，那本來的 ECDSA 根本就是已經是不安全，那你勢必得換嘛。對。了解。
對，那其實現在很多機構都可能要重新再去思考這件事情了，因為現在大部分都還是用 EOA 的這個概念，那這裡面其實沒有什麼商業，我們談的都是純粹技術的觀點，大家用多簽或是說合約錢包，對我們也不一定是有什麼商業上的利益，而是所有的方案一定是要避免單點錯誤嘛。那但是單簽可能它把這個單點錯誤放在鏈下，多重審核，但是你就是有個單點在鏈上。那合約錢包你是把這個避免單點的這個情況把它放在這個鏈上，那就算這個多簽裡面也是用 EOA 簽的嘛，這個每一個 EOA 都可以放 HSM 嘛，所以乍聽之下，如果這個合約是安全的，前提是合約是安全的，它理論上應該更安全才對，因為它是多把的 HSM 簽出來的結果。
當然你 HSM 還可以再做分散。好，那。剛剛有提到一個議題，就是說，那這個多簽是要放在鏈外，還是放在鏈上？放在鏈上的多簽合約，我們是看得到它現在是幾取幾的。但是還有另外一種技術叫 MPC，它看起來還像是一個 EOA 的錢包，但是它在鏈下去做了一些技術，讓它可以分散。OK，那這個我就要請教昶吾，就是可不可以大概介紹一下 MPC 跟剛剛陳品講的合約錢包，機制上有什麼不一樣？然後在安全上面，怎麼去看這兩者的差別？哇，這不容易解釋。
好，那我們先從多簽比較簡單。多簽……呃，不論多簽或 MPC，如果照剛剛 Daniel 的邏輯，一個在鏈上，一個在鏈外，那它們想做的事情都是跟密碼學裡面有一個我們講就是 threshold cryptography，就是門檻式密碼學很像的，就是說我可以做到幾取幾。好，例如說所謂的二取二，就是說我要兩把 key，然後這裡面要兩個簽名，然後我才可以完成這筆交易。那我如果說五取三，那就是五把 key 裡面有三個人同意，我才可以簽這筆交易。那 MPC 跟多簽比較不一樣的地方是，如果我們剛剛講的是合約上的多簽，它認的就是說，有幾個簽名被我收集在這裡面了，如果滿足了三個或滿足了兩個，那我就放行這樣的一個交易的轉移。
MPC 拼出一個簽章，鏈上多簽看得見幾取幾
那 MPC 的部分，它……比較不一樣，因為它是我覺得數學上一個很美妙的東西啊。就是說，它的概念是，一開始的時候，它們可以產生出一些 secret share，這種我們講 secret 就好了，一些秘密的東西。那這些秘密的東西，它一樣可以取，比如剛剛講的，就是它可以五取三，它也可以二取二。但是它很不同的地方是。它看到的簽名值會只有一個，但是你那個取簽，就是你幾取幾的時候，你拼起來的時候，你只會拼出那個簽名而已。那它更有趣的是，它不是真的去把那個 key 給切段，它是過程當中，它連 key 都不出現，它就是直接就把簽章給組出來了，就是一個合法的簽章就這麼出來。所以大家會覺得 MPC 好像，欸。
是一個什麼樣的魔法，或者是什麼樣很厲害的東西。好，那如果我們今天真的要去比較這兩個東西的時候，我們還是會考慮說，呃，如果說以機構的角度啦，從我的角度，我可能會覺得，呃，其實多簽這件事情還是好的。好，那多簽。我們常常在講的多簽，從概念上來講，通常在講的是有幾把 key 或者幾個簽名，我滿足這個條件。可是我覺得多簽這個東西在智慧合約，就剛剛陳品談到的智慧合約上，我覺得可以再把我們的角度再放遠一點。我通常不去想已經是那個幾個簽名了，而是它能夠支援幾種演算法。所以我剛剛講的五取三，或許那個三，其中一個是。ECDSA，另外一個可能是某個 MPC 產生的簽名，那第三個可能是一個 HSM 產生的簽名，甚至有一個是量子的簽名。
反正它們都是簽名啊，所以對我來講要取幾個，那是我怎麼樣去設定這個規則的事情。但是它的好處是什麼？它好處是可以更彈性。好，那從機構的角度來講，我反而會比較考慮的是合規啊，可以做稽核啊，這等等的事情。舉例來講，例如說以台灣來講，那可能我們會說金融業裡面 HSM 一定要放在自建的機房，或者我一定要用硬體。那這個硬體它又有規範，我要符合什麼樣的標準？例如說 HSM 一定要買 FIPS，假設 Level 2 或 Level 3。這樣的一個標準我才能用。可是在 MPC 的世界裡面，這個我覺得就比較可惜一點，就是現在標準其實還在制定，甚至之前才在第一個 public draft 當中。也就是說現在如果 MPC 如果被要求要做在硬體內，實際上現在是沒有標準的。那這個時候縱使 MPC 是一個很好的技術，我好像也不一定可以採納它。
所以我不是說 MPC 不好，我是說，那我們在規範這些事情的時候，反而要去考慮的是哪些東西是合規可控，那我能夠選擇什麼樣的東西一起進來。然後第二個，反而是，第二個我想表達的可能是我做錢包這麼多年，其實我有時候更考慮的並不是這些東西有多酷炫，而是使用者到底是誰。好，舉例來講，如果說今天銀行只是要很簡單的行員做轉帳這件事情，所以我今天，假設我是行員，然後陳品要來銀行辦事，然後他要轉一筆錢，那可能陳品這邊簽了一個名，換我這邊簽了一個名。好，那如果我是一個行員，我到底要在行員的電腦上配備什麼？我到底是要配備一個 HSM，還是我應該要配備一個 MPC？好，實際上我覺得配備一個 passkey 就好了。那為什麼要配備 passkey？其實反而是我覺得在現今有 AI 之下，其實釣魚這件事情變得更容易發生。
行員電腦用 passkey，隱私是機構商業需求
就拿陳品剛剛講的，有供應鏈攻擊、有釣魚攻擊。所以我們現在常常看到的網站，甚至它 domain 被換掉了，或者什麼被換掉了，那我們裡面簽名當然就會簽到一些錯的東西。那 passkey 有一個好處就是說，它可以綁域名，所以說不會因為你被釣魚網頁騙到，然後你就簽錯名。那這個東西對於一般的行員它有它的好處，為什麼？因為一般的行員他一定是每天開著電腦啊，他每天開著電腦，你怎麼知道他的電腦會不會中毒？他每天要處理這麼多客戶的事情，說不定這個行員說，我這個 USB 往你這邊插一下，我跟你調個資料，那就中毒了。所以有些時候倒不是說我後面到底是選擇什麼，而是因為使用者的關係，所以我反而要選擇一些比較慎重的東西。
所以我覺得在剛剛你比較的 MPC 或多簽，那我覺得其實從標準或合規上，我其實覺得都可以選擇，那只是說就看機構上怎麼樣是更符合他們的法遵。對。好，這樣一輪聽下來，我覺得好像合約錢包是一個未來可以容納更多的彈性跟升級空間的一個載體。這是我個人聽下來的感覺。那接下來的另外一個議題也是要硬技術去解決的，就是隱私的議題。那隱私……它不只是說人的這個人權的這種隱私，對機構來講，它的隱私有時候是商業性的需求。
比如說它不希望被跟單，不希望我有個大筆資金移動的時候被別人看到，以至於它在交易上面被別人搶先一步，或者是有任何的商業上面交易的這個資訊不對稱，或是……任何的這種可能性。那這個對去中心化鏈目前的進展來講一直是一個難題，因為去中心化鏈你這個像以太坊帳戶模型，你一定要知道餘額，節點才能做加加減減。過去我們在一些聯盟鏈看到一些號稱隱私的技術，比如說像 Besu 或 Quorum，它都網路上你都查得到這些，但是這個現在都已經……就是慢慢退場了。那那種的技術通常是 P2P 的資料交換，也就是我 A 銀行跟 B 銀行之間的 P2P，我用一個雙方知道的加密方式互相傳檔案這樣子而已。
這樣子的檔案它並不構成一個共同的帳本，它是沒有運算的、沒有交易的這個可能性的。那真正是可以運算的帳本類型的隱私技術呢，我們也看到有一些是，像剛剛的 Canton，它其實是好多個帳本，那中間在一個中心化的或是半中心化的幫忙排序，或是幫忙做某些驗證。那這樣看起來更像是很多條鏈，但是有個基礎建設在做跨鏈的一個協定，但是帳本還是切割的。在同一套帳本上面要做到隱私，那我想三位都有不同的觀點去看，就是怎麼樣去做到隱私，有哪些目前的進展，以及多久會用到。因為機構問我們，我們也都會跟他講說，未來這個會做，這個也是以太坊現在的路線圖。那到什麼程度？它有多難？這不是我們做應用端的人，可以去感受得到它到底多難，差在哪邊。台下有那個廖思偉教授，專攻代數密碼，如果那個待會補充到這個隱私，可以把那個隱私一起來討論。那我們先請郭博好了。
郭博鈞：隱私該押後量子零知識證明
好，那其實大家有聽到很多這種比較這個，我們有時候叫它花俏密碼學，比較前瞻的一些密碼技術。來做一些各種隱私的交易，這種機密交易啊，然後環狀簽章 來保護什麼樣的各式各樣的東西這樣子。那其實我個人的看法是，我更傾向去推動的是零知識證明，因為幾乎所有的東西，零知識證明都可以做到。那這個東西有可能會變成要標準化。有可能，很有可能就像現在 NIST 在推這些後量子的標準一樣，它會變成一個標準。而且再來是這個零知識證明的東西，也是各式各樣花俏密碼學的一個基石。MPC 裡面會用到 ZKP，FHE 剛剛提到的全同態加密裡面也會用到這個 ZKP 這樣子。什麼東西都要用 ZKP，那我們為什麼不直接用 ZKP 就好了？而且像……比如說這個金融業裡面很常要證明的，比如說我有個客戶滿足什麼特性，那當你要證明他是你的客戶的時候，往往就是要證明一個簽章嘛。
那這個東西就不是其他的這種 ring signature 什麼可以容易做到的事情，但是 ZKP 可以直接做到。所以我覺得 ZKP 反而會是一個下一個我們開始大量去使用的密碼的 primitive。而且很有可能是後量子的 ZKP，所以我們公司為什麼一開始就押寶後量子的 ZKP。像剛剛提到的這個 Bitcoin，如果你要用 ZKP 證明，那你現在抵抗的是什麼？抵抗的其實就是量子電腦攻擊嘛。那如果你今天用 pre-quantum 的 ZKP，那就不合理啦。所以你今天如果要證明你的資產什麼的，那你就應該用 post-quantum 的 ZKP，對吧？所以。我會覺得這種前瞻的東西，我們反而更要一開始就用這種後量子的東西，因為現在在用密碼系統都已經要做遷移了。
如果你現在在用的，你接下來這個可能會普及，一年後、兩年後、三年後會普及的東西，你還不用後量子的東西，也是有點奇怪這樣子。所以我個人這邊會傾向。使用這個零知識證明相關的技術。對，那我也在這邊推廣一下，這個數發部裡面其實有用一些這個數位皮夾，其實在接下來可能可見的未來，很有可能就會用到這個零知識證明來保護大家的隱私這樣子。所以這個國家很有可能就在推動這個東西，所以我更應該要押寶這塊。那請問這個大概……呃，這個可見的範圍大概要多久，才可以讓大家用得到這種？可見的範圍很有可能是明年可能就會有一些開源的一些工具，大家可以看到了。
那接下來這些工具很有可能也會開始放到這種區塊鏈，就有一些 library 可以直接去取用。那我先跳著問一下 Hsiao-Wei 好了，就是那……就你所知，以太坊這邊在這個隱私方面的進展大概怎麼樣？長遠來講，跟郭博講的應該會比較類似啦，就是以太坊最終的路線圖應該是會把我們現在的 EVM 換成 zkEVM。也就是說，其實還是走 ZK 零知識證明這塊，因為……零知識證明不是單純只是可以用來解決隱私，它也可以用來解決擴展的一些問題。對，所以這個問題。呃，我想要幫兩位可能多補充的是，其實現在就已經有很多現成的隱私工具了，那。
陳品：隱私推不動是成本、政策、可組合性
呃，不管是昨天的一些開發者分享，或今天機構日像剛剛的那個 ETHSystem，都有不管是對個人或對機構的一些隱私解決方案。所以我可能比較反面論述是，為什麼還沒什麼採用？那我猜大概有三大議題啦。第一個是成本。就如果一個普通的鏈上轉帳是，可能一毛錢、兩毛錢，但你做一筆隱私交易要五塊錢的話，這個會很明確地就是讓很多人卻步，這是第一個。那目前技術發展方向也是希望可以把這些，不管是基於零知識證明或者是別的密碼學。
的這種鏈上運算的成本開銷可以降低。像昨天 Vitalik 就說，如果整個 block 可以共用一個 proof 的話，那就會變便宜。對，希望，應該是蠻有希望的，畢竟他都喊了。對，那第二個可能跟機構更有關的就是政策問題吧，就是因為隱私現在有分成。比方說，你的交易的對象的隱私，然後還有是交易的金額的隱私，然後還有如果是講 DeFi 智慧合約，可能還有一種是交易的意圖的隱私。就是你這筆交易是在轉帳給誰，然後轉的金額是多少，或你今天是在跟 DEX 互動的話，你在做多還是做空。那。
也有全部的隱私，所以現在你不管是講 privacy pool 或 rollup，或像 Aztec 那種就是整條鏈預設隱私的方案，其實全部都有了。然後也有只有做這個混淆或這個匿名的，像那個 Fluidkey，它就是可追蹤，但還沒有花掉的時候不可識別。對，那它現在……推廣的。就剛剛講，第二個政策問題就會是，如果還是有監管的必要，比方說你走進交易所的時候，你很多隱私池的錢是會被卡的。對，那或者你假設有用過這類型的鏈上隱私工具，然後它有被比方說進到 OFAC 制裁的 address 的話，那你這筆錢可能就是……就會很難進到一些機構。對，那或者說，即便是做成可能只有混淆，但是可追蹤的，那誰可以追蹤也是個問題嘛。
就是你是要有一個官方的 list 來讓你，就是公告說，就是你只跟白名單的地址互動，但你不用揭露是誰，還是說你要直接做成是……執法有後門，就你有個自願的後門是別人看不到，但是政府看得到。對，就是總是會有一些折衷。那現在比較像是沒有定見。對。然後第三個可能會是我們講的可組合性問題，就是一方面是會沒有標準，然後再來是如果不同的這些 DeFi 的積木，這些金融積木。用的隱私化不同的話，那你可能就沒辦法像沒有隱私的版本一樣，是可以，比方說穩定幣串 DEX，然後又進 Lending Protocol 去槓桿做空等等的。
蟲洞 EIP：燒掉再證明領回，現成方案多是 UTXO
對，那這也會是一個蠻大的限制，因為你不會永遠只有轉帳嘛，你一定還是會在上面有就是純粹轉錢以外的應用。那。有沒有辦法讓你使用的那些隱私工具也那麼的可程式化，就是整個覆蓋到全過程，不會中間有個破綻露出來，是蠻重要的。那目前的話可能就是還沒。那我來補充一下剛剛陳品提到的可組合這件事好了，可組合隱私就是。其實現在有一個 EIP，它還是一個草稿啦，那它是 Wormhole 蟲洞。我們都知道蟲洞就是，你可以從這邊就直接傳到那裡。好，那過去我們有，其實現在有很多的隱私方案，就像陳品剛剛提到的，它可能是把金額藏起來，它也可能是……把金額藏起來就不代表說你那個地址有藏起來。那有的是把地址跟金額同時藏起來。
所以說有些時候，如果說你沒有把，你只是把地址混淆，那實際上你進到交易所之後，你還是會被人家知道你是誰啊。對啊，所以說這個東西就你避不掉。那另外一方面，其實大家可能忘記一件事情，我們談那麼多方案，那其實交易是誰發送的？是我們從我的設備，我設備可能就有一個設備 ID，然後再連上我們現在有的這種 Wi‑Fi 基地台。那如果真的要被追蹤，其實網路裡面本來就有很多的這種追蹤工具，可以追蹤我交易發送的 IP 來源是哪，然後再重新識別回到底是誰發送的，也是一種方式。那我不一定要真的做到鏈上的隱私。好，那我剛剛講的蟲洞，其實它是 Vitalik，應該是 Vitalik 提出來的。那我覺得它是，如果按照 Daniel 剛剛說的，它可能是非常長期的，因為我昨天問他，他跟我說，嗯，可能還要再幾年，所以我不確定它。
因為那個東西要推動，它必須要去改以太坊的 protocol，但它的好處是，它是在以太坊的 level，就是 protocol 層直接去改動這件事情。也就是說。以前我們在轉帳這件事情，我們是轉給他人，但是有沒有可能我現在轉帳的時候，那個錢就燒掉了，燒掉了。例如說我現在轉二十塊，燒掉了。那個燒掉以後，我講得很容易啊，可是它燒掉以後，其實它是會放在一個某個地方，而且這個地方是需要有某個 proof 才可以去把它領出來。所以我可能燒掉了二十塊，可是當我要花十五塊的時候，我用的就是剛剛郭博講的 ZKP，我去領出十五塊，或者我去領出十三塊，那裡面我只要能夠證明說二十塊減十三塊還有七塊的餘額，其實我還可以持續領。
所以這個時候，它就真的把地址跟那個金額整個分開跟混淆掉了。那這個是屬於比較新的東西啦，但我覺得這個是可能比較……長期，所以就沒有談那麼多。好，謝謝。對，就我實作的角度來看，目前號稱說，而且真的今天就能做的，大部分都是跟 UTXO 相關的，包含就是剛剛講的 Liquid Network，但是它就少了前面講的可組合性。那像早上的 Arc，我們去研究它，它其實有點混搭，一邊用帳戶模型，另外一邊再用 UTXO。那你轉到 UTXO 有了隱私，但是可能就沒有可組合性，你就要兩邊轉來轉去。但是都還不是這種完全的，像前面講的完整的一個解決方案。那我們期待就是。
下一步：零知識生活、passkey、全同態
或許三年到五年後，我們一樣站在這個地方，然後 Vitalik 帶來一些更好的消息，或是他就宣布什麼技術大家已經突破了，然後這些節點也願意一起去做這個 EVM 的升級。那你剛剛講到未來嘛，那我想最後一個問題是請教三位，很快的時間，以……就是用這個技術的角度、技術的演進，你期待下一個想像中下一個節點會發生在什麼時候，會有一個有影響力的技術突破，然後它給我們的想像會是什麼樣子？那大家可能各舉一個自己有感覺的，或是有意思的突破。我自己當然是非常希望是零知識證明，這個東西應該是要實現在人們的這個所有的生活周遭，包括今天來註冊的時候，你可能就是要證明我確實是我註冊過這個活動的人，你不用特別去洩漏各式各樣的資訊。
今天要去各個地方，你以前要拿出身分證，跟別人證明你叫什麼名字。你滿十八歲，你怎麼樣，你應該都要用零知識證明來保護，包括你在線上申辦所有的東西，那包括用這個區塊鏈，用各種先進科技的東西，全部都用零知識證明來做到。因為這些證明的東西其實會比你以前在用各式各樣密碼，甚至是第二因素什麼的，都還要更安全。我覺得這應該是接下來。改變我們這種數位生活一個很重要的一個點。我覺得會是有辦法大規模採用的，就是既有設備或既有的使用者群的這種嫁接，比方說現在。
你已經可以在 EVM 上面直接用 passkey 去簽名，然後可以被便宜地驗證，就是一個預編譯合約已經上了。對，那最近做比較多金融機構的專案，那當然目標就是希望可以把區塊鏈帶給更多更多的人。對，那以前也有過做這種純鏈上 DeFi 的時代，就是。很窄、很小眾，但是用的人不多嘛。所以那個時候其實就有一個比較大膽的預言，就說以太坊要怎麼活下來，就是以後提到 fintech，指的就是 crypto，就是 blockchain 或 DeFi 的時候，那區塊鏈就會活下來。就是 fintech 等於區塊鏈的那個時候，應該是可以期待的。那，呃。
把人導進來這件事差不多做到了，就是進入的門檻變低了。那下一步可能就是提供更多的誘因或目的。對，那這裡面就包含著把更多的，不管是資產標的或交易的行為，從就是網銀啊、券商啊，一個一個地都放到區塊鏈上。因為講的是隱私的議題，我其實比較期待的可能是 FHE 吧，完整的全同態加密這東西。因為我們都知道 Uniswap，Uniswap 很好，Uniswap 就是一個開源的，大家想要上架任何的幣種，然後就可以直接在上面做交易。好，但它唯一的缺點就是說，欸，我……也因為它設計的關係啊，所以它很容易被人家搶跑，或者被做後跑等等的。
全同態若變便宜，記憶體池搶跑就難做
那如果這東西，這個交易本身，當它發送出去，沒有人知道它在整個記憶體池裡面要怎麼樣去執行的時候，其實它又帶來更好的意義。那所以我認為，如果說未來全同態可以更進步的話，然後解決掉全同態現在運算昂貴的問題的時候。因為說要做到全同態會很昂貴，那如果我們現在可以有比較便宜的做法，然後可以做到這件事情，其實我自己覺得會還蠻興奮。好，那今天我們時間也到了，謝謝三位今天精彩的那個演講，謝謝。
