發生什麼：花一筆，連同被拖下水的幣一起搬
2026-10-19（UTC），開發者 Zeeshan Ali Khan 在 bitcoin-dev 郵件列表發表「Exposure-aware transaction construction for wallets」，提出一套錢包可自行選用的組交易規則，目標是在未來出現能破解橢圓曲線的量子電腦（文件稱 CRQC）時，保住比特幣輸出對「長期曝光攻擊」的抵抗力。作者明言這是錢包端的安全、隱私與易用性政策，不是共識規則。
問題出在地址重用。提案舉例：若多筆 P2WPKH 輸出付到同一個腳本，花掉其中一筆就會在鏈上公開公鑰，其餘仍留在原地的幣從此可被離線推算私鑰。規則要求錢包先算出「曝光集合」：把這次花費會新公開的金鑰、腳本與路徑資料，和過去已公開的資料合併，找出所有因此變得可被重建完整花費條件的錢包輸出，並反覆計算到集合不再擴大。
接著，錢包應在資料離開信任邊界之前，為曝光集合裡所有已確認、且目前不需等時間鎖或其他人配合就能花的輸出準備好交易，與原本那筆一起送進網路；找零必須送到公鑰仍未公開的新條件。做不到完整覆蓋時，錢包不應宣稱提供這項保護，除非使用者明確選擇略過。
它依附的分級草案：P2TR 被列為公鑰已在鏈上
這份提案是 bitcoin/bips PR #2294 的配套。該 PR 由 duncan0k 於 2026-09-18 開出，標題為「Output Public Key Exposure Classification」，屬資訊類（Informational）草案，當前版本 v0.6.1，尚未取得 BIP 編號。它把每筆輸出分成四級：EXPOSED_AT_REST（鏈上已有足以花費的公鑰，可離線攻擊）、EXPOSED_ON_SPEND（花費交易廣播後、確認前才暴露）、NOT_EXPOSED（每條花費路徑都需後量子簽章）與 UNDETERMINED（無法辨識腳本）。草案寫明，目前沒有任何已部署的輸出類型屬於 NOT_EXPOSED。
草案採「失敗即從嚴」原則：資料無法區分兩級時，一律判為較曝光的一級。依其對照表，P2PK、裸多簽與 P2TR 屬 EXPOSED_AT_REST，理由是 P2TR 的輸出公鑰本身就寫在 scriptPubKey，即使內部金鑰不可花費也擋不住對輸出公鑰的密鑰路徑簽署；P2PKH、P2WPKH、P2SH、P2WSH 在未被先前交易揭露前屬 EXPOSED_ON_SPEND。草案的動機段落指出，已發表的「曝光供給」估計從約 25% 到超過 34% 不等，差異來自很少被說明的定義選擇，例如是否把 P2TR 與已花過的重用地址算進去。
兩份文件都以 BIP 360 為詞彙基礎。BIP 360 提出 Pay-to-Merkle-Root（P2MR）新輸出類型，移除 Taproot 的密鑰路徑，以抵抗長期曝光攻擊；它目前仍是需軟分叉的草案，且文件自己說明，P2MR 對花費時在記憶池暴露公鑰的「短期曝光攻擊」沒有防護，那可能需要後量子簽章。
與既有做法差在哪：從同地址分組到「完整花費條件」
類似思路已有實作。Bitcoin Core 的 -avoidpartialspends 參數會把同地址的輸出分組，要嘛全選要嘛不選；依原始碼說明，它對啟用 avoid_reuse 的錢包永遠開啟，其餘錢包預設關閉（DEFAULT_AVOIDPARTIALSPENDS 為 false），並可能因輸入變多而多付手續費。BitGo 則於 2026-07-22 宣布為 BTC 多簽錢包加入量子風險管理，其中一項選幣方法是只要選到某地址的一筆 UTXO，就盡量把該地址全部 UTXO 一起花掉，另有量子風險分數與「修復已曝光地址」流程。
新提案認為兩者都只是盡力而為的「同地址分組」，而它要按錢包知道自己即將揭露的一切來推算：曝光不只來自鏈上，還包括交出 xpub 或描述符、PSBT 的衍生路徑資料、在其他協定重用金鑰，以及對已知訊息的 ECDSA 簽章（可從中還原公鑰候選）；文件也指出 BIP 340 Schnorr 簽章沒有這種可還原公鑰的性質。帳戶 xpub 一旦離開信任邊界，整個子樹就不能宣稱受保護。
限制與代價：隱私、等待與資料遺失
提案自己列出幾項取捨。把跨腳本輸出併在一起花，會增加輸入之間的關聯，削弱隱私；CoinJoin、Payjoin、手動選幣、時間鎖或共同簽署人不在線，都可能讓錢包無法完整覆蓋。別人付來、尚未確認的款項可能被付款方替換，因此預設應等確認，並在可設定的時限後詢問使用者是否放寬，作者承認這帶來無法避免的騷擾與阻斷取捨。
找零條件也是難題：新的 P2WPKH 只有在衍生資料一直留在信任邊界內才算未曝光；P2TR 因輸出公鑰公開而無法擔任受保護的找零，作者把 P2MR 視為可用後的方向。用種子或描述符還原錢包時，無法重建過去所有鏈下揭露紀錄，提案主張這時應回報「未知」而非「安全」。
進度方面，PR #2294 作者在 10-19 表示已依審查者意見修改，請求移除「需作者處理」標籤；10-20 回覆 Zeeshan Ali Khan，表示待配套提案有獨立文件與穩定連結後，願意從附錄 A 指向它。郵件列表上的配套提案在本文查閱時仍是單篇、無人回覆。
AI 觀點分析與推論
AI 觀點：真正有價值的是讓工具給出同一個答案
我傾向認為，這兩份草案中較可能先落地的是分級標準，而不是「花一筆就搬全部」的組交易規則。分級只需讀鏈上資料、不改錢包行為，卻能解決目前曝光估計從 25% 到 34% 以上各說各話的問題；託管機構要決定先搬哪些幣、做稽核報告，最需要的是不同工具對同一筆輸出給出一致結論。
組交易規則的受益者主要是重用地址、持有大量 UTXO 的機構，BitGo 已用較寬鬆的同地址版本上線就是訊號；受影響的是重視隱私的個人用戶，他們得接受更多輸入關聯與更高手續費，換取的卻是對一個時間表未知的威脅的保護。若可用量子電腦遙遙無期，這些成本對一般錢包並不划算，因此作者把它設成選用是合理的。
反面情境也值得注意：P2TR 在分級中直接列為 EXPOSED_AT_REST，代表這套規則對已大量使用 Taproot 的錢包幫助有限，真正的出路仍取決於 P2MR 或後量子簽章能否啟用。會讓我改變判斷的訊號有三個：PR #2294 取得 BIP 編號並被主流錢包或區塊瀏覽器採用；Bitcoin Core 或硬體錢包出現實作配套規則的程式碼；或 BIP 360 進入啟用討論。若三者都沒動，這兩份文件可能長期停在託管業的內部參考。
