链上转账要签名，这事跟人要呼吸一样基本。BB84 偏不。

这是一条跑在以太坊主网上的 OP Stack rollup，chain ID 42069000，9 月 30 日上线，交易里一个签名都没有。创始人 Hadamard 上周在以太坊研究论坛发帖，标题很直白：《一条只有哈希的 rollup》。他顺手把自己设计的破绽列了一页，这点挺少见。

账户不是公钥，是一条哈希链

普通账户的地址背后是公钥，量子计算机拿 Shor 算法能从公钥反推私钥。BB84 把账户换成一串哈希：s0 一路 keccak 到 s1000，公开的只有 s1000。要付钱，就亮出 s999，谁都能哈希一次验证。亮完，账户往下走一格。

所以它不需要签名，只需要”你手里有下一个原像”。协议默认一条链 1000 格，钱包 CLI 给每个一次性地址开 10 格。

原像一亮，全世界都看得见

这是设计的死穴。preimage 一广播，别人也能拿去花。所以他们加了提交-揭示两步：先落一笔 HashCommitTx，把原像和交易摘要绑住，再落 HashRevealTx 揭示。第一版有漏洞——提交这一步本身没法认证，攻击者可以顶掉你的提交，把同一个原像绑到他自己的收款地址上。10 月 21 日 00:00 UTC 上共识规则修掉：先提交者占坑，钱包等提交进块之后再揭示。

还剩个恶心但不丢钱的问题：谁都能往你的地址塞一个垃圾提交，把你卡住 5 个块。限流能挡一部分，挡不住有心人。

真正的代价不在量子，在账户变成了消耗品

一笔交易失败，链格照扣。1000 格用完，得在最后一格顺手换一条新链，错过了地址就死。作者说他们生产环境真踩过：钱包本地状态和链上对不上，直接把自己锁在门外。

这不是小毛病。以前私钥是静态的，抄在纸上十年不变；现在账户是状态机，钱包得像记账一样盯着自己走到第几格。安全和可用性在这里硬碰硬，没有优雅解。

别被”抗量子”三个字带跑

说实话，现在没有能破 ECDSA 的量子计算机。这条链真正该被质疑的是信任假设：没有故障证明，出根靠许可制 proposer，争议游戏立即结算，按 L2BEAT 的标准连 Stage 0 都够不上；排序器自己跑；提款等 7 天。地址还被截到 160 位，量子下的第二原像阻力只剩 2^80。

所以它更像一个干净的实验：把 ECDSA 从热路径里抽掉，看看会塌在哪。作者自己也在问，这套东西是不是该做成 EIP-7702 那样的验证模式，装进通用 L2，而不是再造一条链。

我觉得这个问题比”抗量子”本身值钱得多。

免责声明：以上内容仅供娱乐交流，不构成任何投资建议。DYOR。

#cryptocurrencies #blockchain #pickful