後量子時代共識層分化：以太坊保去中心化，Monad 保速度

Monad 抢跑後量子時代：放棄簽名聚合，用「數票」守住 100 毫秒出塊。

撰文：@r2Jamong

編譯：AididiaoJP，Foresight News

10 月 27 日，Monad 的開發方 Category Labs 發布了 Quantum Cadence------一個後量子共識協議。它是 Cadence 的抗量子版本，而 Cadence 本身是 Monad 今年 7 月才推出的多提議者共識協議，至今尚未上主網。

一個還沒落地的共識協議，先出了抗量子版。與其說這是一個產品發布，不如說這是 Monad 在提前亮牌：一條高性能 L1，打算怎麼迎接後量子時代。

值得注意的是，Monad 的選擇和以太坊幾乎完全相反。以太坊的思路是把容易被量子計算機攻破的簽名打包方案，重建成抗量子的形態；Monad 則乾脆把簽名包從共識裡整個拿掉。兩條鏈跑的是同一個執行環境------EVM，為什麼路線分叉得這麼徹底？

簽名包：高性能共識的命門

眼下大多數高性能區塊鏈共識，都依賴一種叫「法定人數證書」（quorum certificate，QC）的機制。所謂 QC，就是一捆簽名，證明至少三分之二的驗證者給同一個區塊投了票，驗證者之間互相傳遞這些簽名包。BLS 簽名讓這件事變得便宜：幾百個簽名可以聚合成一個 96 字節的簽名。

問題在於，量子計算機能破 BLS。

而抗量子簽名個頭大，還聚合不動。BLS 的本事是把幾百個驗證者的簽名壓成一個 96 字節的小包，不管多少人投票，傳的都是這一小包。換成抗量子簽名就不行了：NIST 標準化的 ML-DSA-44 一個簽名就是 2420 字節，而且至今沒有後量子簽名能像 BLS 那樣聚合。壓不成小包，一份「法定人數證書」就只能把幾百個簽名一個個列出來，變成幾百 KB 的大列表。Monad 要 100 毫秒出塊，每個 slot 都廣播這個，帶寬扛不住。

Monad 的 Cadence 目標出塊間隔是 100 毫秒，還允許多個提議者同時提交區塊。要讓每個驗證者在每個 slot 裡都廣播這樣的證書，它承受不起。

Monad 的解法：不簽名了，自己數票

Monad 沒有等一個更小的後量子聚合方案出現，而是直接把沉重的簽名包從共識裡剔除。每個驗證者自己清點收到的票，自行判斷是否達到法定人數。安全性和活性建立在認證通道和哈希之上，而不是簽名之上。後量子簽名只保留一個用途：指認作惡的驗證者。每個驗證者每個 slot（出塊時隙）最多簽兩次票。

10 月 23 日發表的論文做了模擬：200 個驗證者、1Gbps 鏈路、無故障路徑、5000 字節簽名。在 100 個提議者的情況下，每個驗證者的上行流量反而降了 27%，從原版 Cadence 的 772Mbps 降到 561Mbps。最終確認時間是 231 毫秒，原版是 229 毫秒，幾乎沒差別。

以太坊的難題是去中心化，Monad 的難題是速度

以太坊截至 10 月初約有 86 萬個活躍驗證者。任何人都能加入，讓這麼分散的一群人直接互相數票，不現實。所以以太坊選擇重建簽名包：用基於哈希的 leanXMSS 替換 BLS，再用 SNARK 把那些本來就無法直接合併的簽名壓縮聚合。生成證明要花時間，但以太坊 12 秒的 slot 留足了吸收這份開銷的餘地。

Monad 正相反。100 毫秒的 slot 間隔，等不起 SNARK 聚合。而 200 個驗證者的小集合，又讓「每個人直接數所有人的票」成為可能。面對量子威脅，以太坊選的是保住去中心化的設計，Monad 選的是保住速度。

抗量子簽名不是萬能藥

NIST 確實標準化了能扛住量子計算機的簽名算法，但這些標準並不能原封不動地套到每個網絡的每種場景裡。在區塊鏈共識層面，換成後量子簽名並不解決所有問題。每個網絡都得趁早為自己的問題做準備，而不是等別人來解。

對 Monad 來說，抗量子的關鍵不在簽名算法，而在於把問題放到共識結構層面去解決------那套建立在交換證書之上的結構。其他區塊鏈網絡面臨同樣的問題。EVM 兼容鏈在遷移賬戶簽名時，或許可以借用以太坊的成果；但共識層是自己的功課，沒人替你寫。

能威脅區塊鏈網絡的量子計算機還不存在，多數預測認為要到 2030 年代初中期才會出現。但剩下的時間並不寬裕。就連以太坊也預計，僅 L1 的過渡就要跑到 2029 年，而共識結構的改動從研究到主網動輒數年。這大概就是為什麼 Monad 在 Cadence 還沒上主網時，就先放出了抗量子版本。抗量子這件事，等不來別人定標準。它是每個網絡必須在自己架構上獨立完成的作業.