Vitalik Buterin力挺EIP-8288:以太坊(ETH)量子隐私成本有望降超99%

Vitalik瞄准I-star升级

抗量子密码学对以太坊(ETH)而言一直是昂贵的负担,而联合创始人Vitalik Buterin给出了压缩成本的方案。9月9日,Buterin在X上详细介绍了他关于递归STARK内存池的笔记EIP-8288,表示希望该提案能进入I-star——即继Hegotá之后的下一次网络升级。EIP-8288由Buterin与研究员Thomas Coratger于6月3日起草,目前仍处于草案状态,尚未分配至任何分叉。其核心思路并不复杂:与其在执行路径中逐一验证后量子签名和STARK证明,不如把大批量验证请求聚合为一个递归STARK——一种证明“其他证明正确性”的证明,无需重新执行底层计算。

他关于递归STARK内存池的笔记EIP-8288https://x.com/VitalikButerin/status/2097711433073172837?ref_src=twsrc%5Etfw

该提案建立在框架交易(EIP-8141)之上。框架交易把一笔交易拆分为认证、Gas支付与执行三个独立帧,将签名方案与交易格式本身解耦。正如EIP-8141文本所指出的,正是这种解耦为从当前椭圆曲线认证迁移到抗量子方案打开了通道。Frames已获得Hegotá的“已排定纳入”状态,以太坊基金会的协议团队在该升级的优先级评估中将其列为最高等级——“必须交付”。从机制上看,EIP-8288让庞大的密码学数据彻底远离区块:一笔交易只需声明一个依赖项,即一段96字节的声明,说明某条消息由特定密钥签名、或某组数据满足某个证明。实际签名则进入内存池,节点——角色接近于区块验证者——在其中生成一份递归STARK,为整批声明作证。区块构建者只需随其打包的交易附上一份覆盖全部内容的证明。按提案规范,链上足迹缩减为一份STARK加每项被证条件96字节。对于以太坊基础层而言,验证成本不再随区块中“异构签名”的数量线性增长。

从1000万Gas降至数万

这一方案的底气来自EIP文本本身的原始数字。基于哈希的后量子签名通常需要约2至3千字节的数据,验证成本约150,000至200,000 gas——对任何Gas费都是沉重负担。STARK证明更为笨重:超过128千字节,为速度优化生成时可达约512千字节,链上验证成本以数百万gas计。Buterin的算例聚焦隐私交易:一笔精心设计的隐私交易目前成本约300,000 gas,而加上抗量子能力后,这一数字膨胀至约1000万——溢价高达33倍。他估计,在EIP-8288之下,两种成本都将压缩至数万gas的量级,降幅超过99%。

这笔账直接打开了实用的后量子隐私协议空间。基金会研究员Nicolas Consigny于6月提议为EVM采用的基于哈希的签名方案SPHINCS-,将不再需要把约3 KB的签名放上链;而Falcon、ML-DSA等方案,只要客户端能用STARK证明某次验证确实正确执行,即可直接使用——无需修改EVM,也无需为每种方案暴露新的智能合约逻辑。这类聚合在经济性上已在Layer 2网络上得到验证;EIP-8288实质上是把同样的技巧搬进L1流水线。Buterin还勾勒了隐私账户抽象的图景:账户的认证逻辑保持隐藏,而其名下所有头寸的所有权变更可在一笔交易内完成,且不泄露具体变更了哪些。更长远看,递归证明需要一套统一的陈述语言,目前领先候选是源自芯片设计的开放指令集RISC-V。将其确立为以太坊事实上的标准ISA,用Buterin的话说是一个需要审慎对待的“重大决定”,但却是通往他所称的“证明奇点”的必经之路。 希望实时跟踪行情的读者，可在Binance查看现货与合约的实时价格。

2029年12月的抗量子目标

两条线索指向同一个时间轴。基金会协议部门的目标是在2029年12月前于执行层、共识层和数据层全面实现抗量子能力;Buterin在8月表示,量子安全已升至L1优先级列表的前列,并点名leanSPHINCS签名聚合等具体工作流。EIP-8141的官方条目确认Frames已排入Hegotá——与此同时,基金会近期却将另一项EIP-8363奖励销毁提案移出优先级列表,说明Hegotá的名单仍在动态博弈之中。无论EIP-8288还是Frames,目前都没有最终分叉归属,能否进入I-star也未定。COINOTAG的判断是:应将此帖视为对以太坊升级路线的议程设定,真正的排期信号要看后续Hegotá与I-star的EIP清单——这次重构平台级的力度,令人想起当年的Ethereum 2.0。