以太坊的 2028 大考：抗量子路線圖撞上發版瓶頸

撰文：@yq_acc

編譯：AididiaoJP，Foresight News

Devcon 8 給以太坊定下了一個比官方計劃更激進的時間表：2028 年 12 月完成抗量子轉型。研究團隊認為密碼學能跟上，但今年秋天的發版節奏說明，真正卡脖子的不是算法，而是能不能按時推出硬分叉。

孟買定調：2028 年目標，比官方計劃早一年

Devcon 8 於 2026 年 11 月 3 日至 6 日在孟買 Jio 世界中心舉行，這是 Devcon 首次在印度舉辦。開幕當天上午，以太坊基金會研究員 Justin Drake 定下全場最重磅的消息：希望到 2028 年 12 月完成抗量子和後 AI 轉型，這意味著在 Glamsterdam 之後，24 個月內要推出三個硬分叉。

這比以太坊基金會的正式計劃早一年。EF 在 9 月發布的優先級文章中承諾，到 2029 年 12 月實現三層抗量子，並明確這一日期在 2027 年 1 月與外部專家復審前不會改變。換句話說，研究人員現在按 2028 年推進，2029 年是預設的截止日。

同一周發生的事，正好說明這個差距為什麼重要。10 月 22 日，下個硬分叉 Glamsterdam 被撤出第二個測試網。Devcon 最後一天，EF 解釋原因：一次 gas 重新定價打破了已部署合約依賴的假設。抗量子以太坊的密碼學已接近就緒，約束在於怎麼把它一個分叉接一個分叉地推上線，同時不弄壞已經能跑的東西。

孟買會場本身也在收縮。四天裡 370 場演講、399 位講者，場次比曼谷 Devcon 7 少約 43%。這是有意為之：EF 今年裁了 54 個崗位，約占員工總數的五分之一。主會場三分之二的演講被打上 EF 章程中「CROPS」屬性標籤，即抗審查、開源、隱私和安全。安全類演講 70 場最多，隱私類 65 場，AI 類 57 場排第三。Vitalik Buterin 開幕演講的主旨，據媒體報導，是技術讓人信任得太多、能驗證的太少，內容涉及操作系統和芯片、健康科技、通信與 AI。下一屆 Devcon IX 將於 2027 年 10 月 11 日至 13 日在里斯本舉行。

24 個月三個分叉，以太坊近年沒跑過這麼快

EF 的路線圖草案按分叉順序排列，後面的分叉先用字母占位：H* 是 Hegotá，之後是 I*、J*、K*、L*。抗量子以太坊就沿著這些分叉搭起來。

Hegotá 在 2027 年，不是抗量子分叉，但會引入框架交易，讓每個賬戶自己選擇簽名方案。這是擺脫 ECDSA 的路徑。I* 引入 leanVM，一個最小證明虛擬機，以及抗量子的「lean」交易。J* 引入基於哈希的驗證者簽名和抗量子數據採樣，EF 稱這是「最小可行抗量子」里程碑。K* 和 L* 引入強制執行證明，以及 Lean 架構重構的其餘部分。

24 個月三個分叉，等於每八個月一個。以太坊近年的間隔是 11 個月、14 個月和 7 個月，而 Glamsterdam 已經 11 個月還沒完。按 EF 自己的算法，要在 2029 年 12 月到達 L*，需要每 7.2 個月一個分叉。按 12 個月的速度，只有 J* 能按時到。

緊迫感來自兩頭。

一頭是攻擊成本在下降。今年 3 月，Google Quantum AI、UC Berkeley、以太坊基金會和斯坦福的研究人員聯合發表論文，估算攻破以太坊椭圆曲线簽名所需的邏輯量子比特不到 1200 個，物理量子比特不到 50 萬個，運行時間以分鐘計。這個速度快到足以趁一筆交易還在內存池排隊時就發起攻擊。

另一頭是 Drake 所說的「後 AI」風險。7 月，Anthropic 報告稱，其一個模型找到一種攻擊方法，把格簽名方案 HAWK-256 的密鑰恢復難度從約 2^64 次運算降到約 2^38 次------難度大幅下降。10 月，Drake 呼籲行業「冷靜開始規劃地堡模式」，也就是為最壞情況做準備：萬一 AI 輔助數學搶在任何量子計算機之前攻破 ECDSA。

兩條線指向同一個方向：哈希函數。在密碼學原語裡，它依賴的假設最少，也最難被攻破。

Glamsterdam 卡殼：一次 gas 重新定價打亂主線

Glamsterdam 從 10 月 6 日起在 Sepolia 測試網運行。兩個核心改動本身設計不錯：內嵌提議者 - 構建者分離把構建者報價納入協議，把執行移出 slot（時隙）關鍵路徑；區塊級訪問列表提前聲明每個區塊的讀寫集，客戶端可以並行執行。

問題出在重新定價。EIP-8037 把新狀態定價為每字節 1530 gas，以放慢狀態增長。寫入一個新存儲槽從 22100 gas 漲到 110020 gas，部署一個 24 kB 合約成本漲約 8 倍。這個量級的成本放不進每筆交易 224 的 gas 上限（原文如此，疑為 2^24 之誤）。於是超過上限的 gas 進入一個獨立的狀態 gas 儲備池，全額傳給被調用合約，調用回滾時再退回。

ChainSecurity 指出，這會讓過去因 gas 耗尽而中止的錯誤處理器現在能跑完，從而繞過常見的防惡意干擾檢查。EF 列出八條被打破的不變量，即協議必須始終成立的規則；AllCoreDevs 摘要統計有 13 個 DeFi 項目受影響。Hoodi 測試網被推遲，且沒有給出 Hoodi 或主網日期。All Core Devs 協調人 Nixo 寫道，這「很可能把 Glamsterdam 主網推到 2027 年」。

教訓不只是一條 EIP。區塊鏈真正的接口是每一個可觀察行為------gas 成本、63/64 規則、賬戶能否運行代碼------每一項都是遷移風險。這之所以重要，是因為 Hegotá 的框架交易把 EIP-8037 列為要求。

Hegotá：抗審查與簽名可替換

Hegotá 有兩個關鍵機制。FOCIL（EIP-7805）要求每個時隙 16 個驗證者各發布一份包含列表，最多 8 KiB 交易池交易。下一個區塊必須包含這些交易，除非交易無效或區塊已滿，證明者通過分叉選擇強制執行。要審查一筆交易，現在得讓所有看到它的包含者一起動手，而不是只搞定一個構建者。

框架交易（EIP-8141）讓賬戶自己定義如何授權，因此可以遷移到抗量子簽名，而不必每換一種方案就分叉一次。被否決的提案更能說明設計哲學：可選執行證明、內嵌隱私池、block-in-blobs，後者被否是因為會加深對 KZG 承諾的依賴。LUCID 加密內存池被推遲到後續分叉。以太坊反覆選的是讓協議成為更好平台的機制，而不是把某個應用內建進去的機制。

抗量子共識的代價：簽名變長，聚合補位

驗證者要先在現有密鑰之外再註冊一把休眠的基於哈希的密鑰（EIP-8450 草案）。leanXMSS 簽名是 2404 字節，BLS 只要 96 字節。BLS 簽名可以相加，基於哈希的簽名不能，所以聚合器改為證明自己檢查了全部簽名。leanVM 在一台筆記本上每秒聚合約 965 個簽名，把 1500 個簽名變成 265 KiB 證明，7.4 毫秒驗證完。

數據層，KZG 承諾讓位給 LeanDA，後者用 Merkle 承諾加 leanVM 證明，證明數據被正確編碼。用戶端，錢包拿到 leanSPHINCS，簽名 7740 字節，但在內存池裡聚合後（EIP-8288），每個成本約 33000 gas；直接驗證一個要 15 萬到 20 萬 gas。

「形式化驗證」有個需要說明的地方。Drake 宣布 leanVM 端到端形式化驗證。項目的 Lean 4 工作證明了指令語義和約束的可靠性，但 Rust 實現只做了差分測試，遞歸證明的可靠性仍是開放問題，代碼也還沒到生產就緒。

EIP-8288：把密碼學搬進內存池

如果說有一個提案最能代表 Vitalik Buterin 想讓以太坊往哪走，那就是 EIP-8288「內存池內簽名與證明聚合」。他 6 月與 Thomas Coratger 合寫草案。10 月 19 日的一系列帖子把論點說得很直白：預編譜和 EVM 都不適合承載以太坊的大部分密碼學支持，因為兩者處理的數據都必須進入鏈上。他 9 月的文章已經把簽名和證明在內存池內並行處理，列為以太坊 2030 設計的一部分。

它解決的是體積問題。一個基於哈希的簽名 2 到 3 KB，在 EVM 裡驗證要 15 萬到 20 萬 gas。隱私協議需要的 STARK 是 128 到 512 KB。一個個發上鏈，抗量子賬戶會貴得離譜，隱私交易也不現實，而且兩者都太大，過不了 FOCIL 包含列表。

EIP-8288 把重數據擋在區塊外。交易只聲明、不攜帶：框架交易（EIP-8141）新增一種幀模式，把依賴列成 96 字節引用------方案、數據哈希、密鑰哈希。一筆交易最多聲明 16 個 leanSPHINCS 簽名和一個 STARK。節點在交易到達時檢查真實簽名和證明，每秒把它們折疊成遞歸 STARK。建構者和 FOCIL 包含者對自己打包的內容做同樣的事。區塊頭只加一個遞歸 STARK，覆蓋區塊內所有依賴，驗證者只驗這一個。

這帶來幾個結果。抗量子簽名變便宜：一個 leanSPHINCS 簽名約 33000 gas，3000 來自幀本身，30000 是它在區塊 STARK 裡的分攤；直接驗證要 15 萬到 20 萬。隱私變得可負擔：STARK 依賴一旦打開（當前草案中已預留），鏈上驗證要幾百萬 gas 的隱私證明，約 6 萬 gas 即可。不必為每種方案加預編譯：新簽名方案可以包進證明，不用等分叉。核心開發者已經往這個方向走：10 月他們否決了為 Hegotá 加 ML-DSA 預編譜，偏好基於哈希的方案。區塊開銷有上限：規範把建構者開銷控制在每個聚合區間約 256 KB，不管裡面有多少簽名。

但它還很早。EIP-8288 是草案，STARK 依賴只是預留，聚合密鑰和依賴哈希仍標著「待定」。交易回滾也收費，作者承認會增加內存池拒絕服務攻擊的風險，並稱遞歸證明的可靠性「廣受相信」但尚未證明。Coverage 稱它面向 Hegotá 之後的分叉，但沒有任何排期。它還依賴 Hegotá 推出框架交易，而後者又依賴正在複審的 Glamsterdam 重新定價。

最終性、證明與其餘進展

以太坊的最終性目前約需 16 分鐘。EIP-8453 草案「解耦共識」把這件事拆成兩部分：一條快速可用鏈，由約 512 個驗證者組成的委員會投票確認；一個獨立的最終性組件，由全部驗證者運行。首要目標是把最終性至少加快四倍。更長遠的目標寫在 finality.watch 上：從探索性的 36 秒（該網站標註「不是預測」），一路指向一秒出塊、兩秒最終確認的北極星。與此同時，Fast Confirmation Rule 能讓交易所和跨鏈橋把存款確認時間縮短到 12 至 24 秒。

用證明替代重新執行後，速度問題已經解決。11 月 8 日，三個證明者在 4 至 16 塊消費級 GPU 上達到 Ethproofs 的實時標準，每區塊證明成本約 0.003 至 0.007 美元。新的瓶頸變成了安全性保證。EF 的下一個里程碑在 12 月初，目標是 128 位可證明安全。正如 Cody Gunton 在 Devcon 所說，「還沒有團隊拿出經過形式化驗證的驗證器實現」。證明集成已經暫停：Hegotá 沒有納入可選證明，路線圖草案把強制證明放到 K*。gas 上限提升也還在等後續分叉：主網仍是每區塊 6000 萬 gas，Sepolia 約 2 億，而 gigagas 目標是要做到今天吞吐量的 200 倍。

其餘進展可以一筆帶過。

Blob 方面，自 1 月以來目標值是 14、上限 21，6 至 9 月平均每區塊只用約 4.4 個，每個 blob 遠低於一美分，容量跑在需求前面。

Rollup 方面，數據平台 L2BEAT 已改名 ETHBEAT，多數 rollup 的價值仍停留在 Stage 1，Base 約 140 億美元，Arbitrum 約 90 億美元。

互操作方面，Ethereum Economic Zone 在 devnet 上演示了 L1 與 L2 的原子調用，Gnosis Chain 計劃 2027 年春季加入。

隱私方面，EF 的 Kohaku 錢包棧展示了經 Privacy Pools 和 Tornado Cash 的隱私轉帳，代碼尚未審計。

安全方面，10 月 29 日 Binance 被盜約 63.6 億美元，被歸因於朝鮮 TraderTraitor。攻擊利用 50 個預簽名的 EIP-7702 授權掃空了一個熱錢包。TRM Labs 稱，這次升級放大了攻擊，但不是起因。

接下來看什麼

接下來有幾件事值得盯。

• 11 月 12 日的 ACDC #191 和 11 月 19 日的 ACDE #249，將討論 EIP-8037/8038 的修復方案，並給出新的 Hoodi 測試網日期。
• 2027 年 1 月，看 2028 年 12 月會不會被正式定為抗量子截止日。
• Hegotá 開發網能否讓 FOCIL 和框架交易同時跑通。
• 抗量子密鑰註冊表最終選哪一種，放進哪個分叉。
• leanVM 最終選用哪種哈希函數和有限域，以及能否給出其證明系統的可靠性證明。
• 12 月，EF 的 128 位 zkEVM 安全里程碑能否達成。

以太坊現在已經知道抗量子版本該怎麼設計。孟買留下的開放問題是：它能不能一邊推進設計，一邊保持每八個月一個硬分叉的交付節奏。