作者：Antoine Poinsot
许多人似乎倾向于通过一种新的 Tapscript 操作码向比特币加入后量子签名，从而让 CRQC（有密码学意义的量子计算机）抗性依赖于未来能废止 Taproot 输出的密钥花费。我则支持另一种想法：通过一种新的输出类型来加入后量子签名，而不是依赖于废止现有输出类型的一种花费方法。
首先，我们要搞清楚希望实现什么目标。我们需要接受这样一个事实：因为网络面临一种不确定的生存威胁，所以，在某些情况下，网络无法存活，尽管出现这种情况的概率很小。并不是所有看上去有希望的未来都值得努力挽救。比如说，如果 PoW 在椭圆曲线密码学被攻破的仅仅几年之后就会被攻破，或者所有比特币用户都 必须 在短短几年内迁徙。
我认为，首先有两种情形是值得努力的：
- CRQC 永远不会成熟，用户能够继续从依赖于传统密码学假设的比特币网络的属性中获益；
- CRQC 会到来，但要在很久以后，久到与今天服役的方案具备相同属性的后量子（PQ）签名方案能够设计出来、通过审核并获得采用，并且绝大部分用户能够提前迁移。
并且，因为祈祷不算是一种策略，所以拥有一种 “打破玻璃、按下按钮” 的紧急计划，以应对 CRQC 在较短（但还算值得应对的）时间内出现的情形。我认为，眼下的基于哈希函数的 PQ 方案就适合这种情形。如果它们成了唯一一种可用的安全选项，则毫无疑问比特币的吸引力将下降许多。不过，部署它们，是一种很好的缓解风险的措施，不论 CRQC 最终是否会出现。
常常有人说，（面对量子计算机，我们）无论如何都需要冻结一些钱币，因此，我们不妨立即禁用 Taproot 密钥花费路径并加入 PQ 签名方案。我并不同意这种看法，但更重要的是，我们应该将两件事情分开：（1）部署一种 PQ 签名方案；（2)冻结量子脆弱的钱币。然而，在脆弱的 Taproot 输出中加入一种 PQ 方案，会将我们锁定在最终冻结脆弱钱币的道路上，因为它不可避免会将这种 PQ 方案的用户都转变成冻结计划的支持者。
这种方法，会让 PQ 方案的可用性，与取得对未来冻结的共识相绑定。直白地说，我并不觉得后者是可以实现的，更不用说在现在这个阶段，CRQC 马上就会成熟的证据是如此至少。相反，纯粹作为一种缓解风险的措施而在近期内加入一种 PQ 方案，显得更有道理。将两个决定捆绑在一起，必然会拖延 PQ 方案的部署，并且不必要地加剧风险（不论 CRQC 是否会到来）。
专设 PQ 输出类型的一个缺点在于，这些输出与 Taproot 可以区分，因此，在 CRQC 永远不来的情形中，并不是最理想的做法。但我认为，哪怕在这种情形中，代价也是极小的。因为最有可能马上就采用 PQ 输出的用户，是使用很少一组密钥来保护大量 BTC 的用户，他们的使用模式与 Taproot 用户已经有很大不同：他们常常会重复使用相同的地址，并且使用传统的输出类型（并且对升级没有什么兴趣）。