门限签名（Threshold Signature Scheme，简称 TSS）是一种让 n 个参与方各持一份密钥分片、其中任意 t 个共同协作就能生成一个有效签名的密码学方案。完整的私钥从生成到签名始终不存在于任何一处，最终输出的却是一个普通的 ECDSA 或 EdDSA 签名，区块链无法区分它和单人签名。门限签名是 MPC 钱包最核心的密码学组件。
t-of-n 门限是什么意思？
n 是分片的总数，t 是生成签名至少需要的分片数。以 2-of-3 为例，三份分片分别放在服务器、风控设备和备份环境，任意两份就能签名。少于 t 份分片既签不了名，也推算不出私钥，所以一份被盗无法转走资产；只要还有 t 份可用，丢一份也不影响使用。门限的选择就是在安全性和可用性之间做权衡。
分布式密钥生成（DKG）怎样工作？
如果先生成一把完整私钥再拆开，生成的那一刻就存在单点风险。DKG 让各参与方各自生成一个秘密随机数，再用可验证秘密共享把它拆成小份发给其他人。每个人把收到的小份加起来，就得到自己的密钥分片；各方公开的承诺值合在一起，就是钱包的公钥和地址。理论上的完整私钥是所有秘密之和，但它从未被任何人计算出来。
DKG 的每一步都需要可验证，否则恶意参与方可以发送错误的数据。DKG 门限提升漏洞就是一个例子：攻击者可以悄悄提高实际门限，导致分片结果和预期不符，极端情况下资产无法签出。
门限签名怎样生成？
签名时，至少 t 个参与方对同一笔交易发起协议：各自生成签名随机数的一部分，经过几轮消息交换，再各自用分片算出一个“部分签名”，最后合并成完整签名。整个过程中没有一方能看到别人的分片，也没有一方能单独决定签名结果。
链上只看到一个普通签名，所以手续费和单签交易一样，签名者的数量和身份不会公开。门限、参与方和审批规则都在链下管理，调整时不需要换地址。
为什么门限 ECDSA 比门限 Schnorr 更复杂？
Schnorr 和 EdDSA 的签名是线性的，各方的部分签名直接相加就是完整签名，协议相对简单，其中 FROST 方案已经在 2024 年成为 IETF 标准（RFC 9591）。
ECDSA 则不同，它的签名公式里包含随机数的逆元 k⁻¹ 以及它和私钥的乘积，分片不能简单相加。协议需要借助同态加密或不经意传输来完成分片之间的乘法，并配合大量零知识证明防止作弊，轮数更多、计算更重，也更容易实现出错。常见的协议有多方的 GG18、GG20、CMP，以及两方场景的 Lindell 17。由于比特币和以太坊都用 ECDSA，门限 ECDSA 是企业钱包绝大多数场景绕不开的部分。
密钥分片怎样刷新和恢复？
门限签名支持定期刷新分片：各方重新生成一组新分片，公钥和地址保持不变，旧分片立即作废。这意味着攻击者即使在不同时间先后偷到几份分片，只要不属于同一轮，也凑不出门限。同样的机制也可以用来更换参与方或调整门限，比如员工离职后移除其设备上的分片。
恢复方面，分片丢失数量未超过容忍范围时，剩余分片可以重新生成新的一组；企业还应准备加密备份和经过演练的应急流程，确保服务商停止运营时仍能独立取回资产。
企业评估门限签名方案应关注什么？
一是协议本身：用的是哪个协议、是否修复了已知漏洞、零知识证明是否完整、代码是否开源或经过第三方审计。二是分片放在哪里：分片应分布在不同设备、不同网络甚至不同机构手中，否则门限形同虚设。三是刷新、备份和应急退出是否完善。四是密钥之外的控制，门限签名只解决“谁能签”，还需要策略引擎和多人审批来决定“这一笔该不该签”，这也是降低加密资产托管风险的关键一环。
结语
门限签名让多个参与方在不拼出完整私钥的前提下共同签名，并支持分片刷新和恢复，从密码学层面消除了私钥单点。它的安全性最终取决于协议实现、分片布局和外层的审批策略。Safeheron 的 MPC 钱包即服务为企业提供 MPC 密钥管理和策略引擎。
想用门限签名替代单一私钥管理企业资产？ 联系 Safeheron 销售团队，预约一对一演示