MPC 钱包与门限签名的工程坑

全文分三层：

1. 通俗理解：从"拆钥匙"到"永远不拼钥匙"
2. 实际用处：机构托管、交易所、个人 MPC 钱包，以及真实漏洞
3. 原理与工程要点：门限 Schnorr 与门限 ECDSA 的难度差异、份额刷新、实现检查清单

第一层：通俗理解

1.1 从"拆钥匙"到"永远不拼钥匙"

1.2 一个比喻

三个人各知道一个数字的一部分，他们要一起算出"这个数字乘以某个公开的数"的结果。通过一套精心设计的交换信息的规则，三人最终都得到了正确结果，但谁也没有得知那个完整的数字。门限签名就是在做类似的事，只是"乘法"换成了签名运算。

第二层：实际用处

• 机构托管和交易所：Fireblocks、Coinbase 等机构的托管系统大量使用 MPC，把份额分布在不同的服务器、不同的云、硬件安全模块中。
• 个人 MPC 钱包：典型配置是"手机一份、服务商一份、备份一份"，丢了手机可以用另外两份恢复，没有助记词。
• 链上无感：MPC 产生的是标准签名，链上看起来就是普通地址。这一点和EOA与智能合约钱包里的多签不同：不额外花手续费，但规则也不在链上强制执行。

真实漏洞：

这些都不是协议论文里的数学错误，而是实现时为了性能或省事跳过了检查。

第三层：原理与工程要点

3.1 门限 Schnorr 容易，门限 ECDSA 难

Schnorr签名的签名值 $s = k + c\,x$ 对私钥 $x$ 和随机数 $k$ 都是线性的。如果 $x$ 和 $k$ 都用Shamir秘密分享拆开，各方算出自己的 $s_i$，再用拉格朗日系数加起来就是完整签名。FROST 协议就是这样做的。

ECDSA 的签名值是

$$s = k^{-1}(h + r\,x) \bmod n,$$

里面有一个 $k^{-1}$，还有 $k^{-1}$ 和 $x$ 的乘积。分片之后的乘法和求逆都不能简单地"各算各的再相加"，需要额外的密码学工具：常见做法是用 Paillier 同态加密（见《同态加密》）或不经意传输（OT）来做"秘密分享的乘法"，并配合大量零知识证明保证每一方都诚实。协议步骤多、参数多，出错的地方也多。

3.2 份额刷新（proactive refresh）

如果攻击者能慢慢地一份一份偷，总有一天会凑够门限。对策是定期刷新：各方协同把份额换成一组新的，对应的私钥不变，旧份额作废。这样攻击者必须在同一个刷新周期内偷够门限份额。

刷新协议本身也要小心：刷新中途失败、或者有一方离线，不能留下"一半新一半旧"的混乱状态。

3.3 实现检查清单

3.4 MPC 不能解决的问题

• 策略在链下：MPC 服务端"只在满足策略时才参与签名"，这个承诺靠的是服务端代码和运维，而不是链上规则。服务端被攻破，策略就可能失效。
• 前端被篡改：所有参与方都对同一笔被篡改的交易签名，MPC 照样会产出一个有效签名（参见《Bybit事件与前端完整性》）。
• 服务商依赖：如果某一方是服务商，服务商倒闭或拒绝服务时能否用剩余份额恢复？这一点在选择产品时要问清楚。

总结