以太坊加速抗量子转型：2028年完成升级面临发版瓶颈

Devcon 8 在孟买宣布以太坊 2028 年 12 月前完成抗量子转型，比官方计划提前一年。Glamsterdam 因 gas 重新定价卡关，量子攻击成本降至分钟级，Anthropic 模型已能降低格签名难度。

以太坊面临一场前所未有的时间赛跑。Devcon 8 上，研究员宣布要在 24 个月内推出三个硬分叉，目标是 2028 年底完成抗量子转型。但 Glamsterdam 的延迟暴露了现实困境：量子攻击成本已降至分钟级，Anthropic 的 AI 模型更证明格签名不再是绝对安全。

Devcon 8 给以太坊定下一个比官方计划更激进的时间表：2028 年 12 月完成抗量子转型。研究团队认为密码学能跟上，但今年秋天的发版节奏说明，真正卡脖子的不是演算法，是能不能按时推出硬分叉。

Devcon 8 于 2026 年 11 月 3 日至 6 日在孟买 Jio 世界中心举行，这是 Devcon 首次在印度举办。开幕当天上午，以太坊基金会研究员 Justin Drake 定下全场最重磅的讯息：希望到 2028 年 12 月完成抗量子和后 AI 转型，这意味著在 Glamsterdam 之后，24 个月内要推出三个硬分叉。

这比以太坊基金会的正式计划早一年。EF 在 9 月发布的优先顺序文章中承诺，到 2029 年 12 月实现三层抗量子，并明确这一日期在 2027 年 1 月与外部专家复审前不会改变。换句话说，研究人员现在按 2028 年推进，2029 年是预设的截止日。

同一周发生的事，正好说明这个差距为什么重要。10 月 22 日，下一个硬分叉 Glamsterdam 被撤出第二个测试网。Devcon 最后一天，EF 解释原因：一次 gas 重新定价打破了已部署合约依赖的假设。抗量子以太坊的密码学已接近就绪，真正的限制在于怎么把它一个分叉接一个分叉地推上线，同时不弄坏已经能执行的东西。

孟买会场本身也在收缩。四天里 370 场演讲、399 位讲者，场次比曼谷 Devcon 7 少约 43%。这是有意为之：EF 今年裁了 54 个职位，约占员工总数的五分之一。主会场三分之二的演讲被打上 EF 章程中「CROPS」属性标签，即抗审查、开源、隐私和安全。安全类演讲 70 场最多，隐私类 65 场，AI 类 57 场排第三。Vitalik Buterin 开幕演讲的主旨，据媒体报导，是技术让人信任得太多、能验证的太少，内容涉及作业系统和晶片、健康科技、通讯与 AI。下一届 Devcon IX 将于 2027 年 10 月 11 日至 13 日在里斯本举行。

孟买宣言：2028 抗量子比官方早一年

EF 的路线图草案按分叉顺序排列，后面的分叉先用字母占位：H* 是 Hegotá，之后是 I*、J*、K*、L*。抗量子以太坊就沿著这些分叉搭起来。

Hegotá 在 2027 年，不是抗量子分叉，但会引入框架交易，让每个帐户自行选择签名方案。这是摆脱 ECDSA 的路径。I* 引入 leanVM，一个最小证明虚拟机器，以及抗量子的「lean」交易。J* 引入基于杂凑的验证者签名和抗量子资料取样，EF 称这是「最小可行抗量子」里程碑。K* 和 L* 引入强制执行证明，以及 Lean 架构重构的其余部分。

24 个月三个分叉，等于每八个月一个。以太坊近年的间隔是 11 个月、14 个月和 7 个月，而 Glamsterdam 已经 11 个月还没完。按 EF 自己的演算法，要在 2029 年 12 月到达 L*，需要每 7.2 个月一个分叉。按 12 个月的速度，只有 J* 能按时到。

紧迫感来自两头。

一头是攻击门槛降低。今年 3 月，Google Quantum AI、UC Berkeley、以太坊基金会和史丹佛的研究人员联合发表论文，估算攻破以太坊椭圆曲线签名所需的逻辑量子位元不到 1200 个，物理量子位元不到 50 万个，执行时间以分钟计。这个速度快到足以趁一笔交易还在记忆体池排队时就发起攻击。

另一头是 Drake 所说的「后 AI」风险。7 月，Anthropic 报告称，其一个模型找到一种攻击方法，把格签名方案 HAWK-256 的金钥恢复难度从约 2^64 次运算降到约 2^38 次——难度大幅下降。10 月，Drake 呼吁产业「冷静开始规划地堡模式」，也就是为最坏情况做准备：万一 AI 辅助数学抢在任何量子电脑之前攻破 ECDSA。

Glamsterdam 延迟：gas 定价打破协议不变数

两条线指向同一个方向：杂凑函式。在密码学原语里，它依赖的假设最少，也最难被攻破。

Glamsterdam 自 10 月 6 日起在 Sepolia 测试网执行。两个核心改动本身设计不错：内嵌提议者－建构者分离把建构者报价纳入协议，把执行移出 slot（时隙）关键路径；区块级存取列表提前宣告每个区块的读写集，客户端可以并行执行。

问题出在重新定价。EIP-8037 把新状态定价为每位元组 1530 gas，以放慢状态增长。写入一个新储存槽从 22100 gas 涨到 110020 gas，部署一个 24 kB 合约的成本约涨 8 倍。这个量级的成本放不进每笔交易 224 的 gas 上限（原文如此，疑为 2^24 之误）。于是超过上限的 gas 进入一个独立的状态 gas 储备池，全额传给被呼叫的合约，呼叫回滚时再退回。

ChainSecurity 指出，这会让过去因 gas 耗尽而中止的错误处理器现在能跑完，从而绕过常见的防恶意干扰检查。EF 列出八条被打破的不变数，即协议必须始终成立的规则；AllCoreDevs 摘要统计有 13 个 DeFi 专案受影响。Hoodi 测试网被推迟，且没有给出 Hoodi 或主网日期。All Core Devs 协调人 Nixo 写道，这「很可能把 Glamsterdam 主网推到 2027 年」。

启示超越单一提案。区块链真正的介面是每一个可观察行为——gas 成本、63/64 规则、帐户能否执行程式码——每一项都是迁移风险。这之所以重要，是因为 Hegotá 的框架交易把 EIP-8037 列为要求。

Hegotá 有两个关键机制。FOCIL（EIP-7805）要求每个时隙 16 个验证者各发布一份包含列表，最多 8 KiB 交易池交易。下一个区块必须包含这些交易，除非交易无效或区块已满，证明者透过分叉选择强制执行。要审查一笔交易，现在得让所有看到它的包含者一起动手，而不是只搞定一个建构者。

量子威胁逼近：分钟级攻击已成现实

框架交易（EIP-8141）让帐户自行定义如何授权，因此可以迁移到抗量子签名，而不必每换一种方案就分叉一次。被否决的提案更能说明设计哲学：可选执行证明、内嵌隐私池、block-in-blobs，后者被否是因为会加深对 KZG 承诺的依赖。LUCID 加密记忆体池被推迟到后续分叉。以太坊反复选择的是让协议成为更好平台的机制，而不是把某个应用内建进去的机制。

验证者要先在现有金钥之外再注册一把休眠的基于杂凑的金钥（EIP-8450 草案）。leanXMSS 签名是 2404 位元组，BLS 只要 96 位元组。BLS 签名可以相加，基于杂凑的签名不能，所以聚合器改为证明自己检查了全部签名。leanVM 在一台笔记型电脑上每秒聚合约 965 个签名，把 1500 个签名变成 265 KiB 证明，7.4 毫秒验证完。

资料层方面，KZG 承诺让位给 LeanDA，后者用 Merkle 承诺加 leanVM 证明，证明资料被正确编码。使用者端，钱包拿到 leanSPHINCS，签名 7740 位元组，但在记忆体池里聚合后（EIP-8288），每个成本约 33000 gas；直接验证一个要 15 万到 20 万 gas。

「形式化验证」有个需要说明的地方。Drake 宣布 leanVM 端到端形式化验证。专案的 Lean 4 工作证明了指令语意和约束的可靠性，但 Rust 实作只做了差分测试，递回证明的可靠性仍是开放问题，程式码也还没到生产就绪。

如果要说有一个提案最能代表 Vitalik Buterin 想让以太坊往哪走，那就是 EIP-8288「记忆体池内签名与证明聚合」。他 6 月与 Thomas Coratger 合写草案。10 月 19 日的一系列贴文把论点说得很直白：预编译和 EVM 都不适合承载以太坊的大部分密码学支援，因为两者处理的资料都必须进入链上。他 9 月的文章已经把签名和证明在记忆体池内并行处理，列为以太坊 2030 设计的一部分。

它解决的是体积问题。一个基于杂凑的签名 2 到 3 KB，在 EVM 里验证要 15 万到 20 万 gas。隐私协议需要的 STARK 是 128 到 512 KB。一个个发上链，抗量子帐户会贵得离谱，隐私交易也不现实，而且两者都太大，过不了 FOCIL 包含列表。

Hegotá 蓝图：框架交易与抗审查

EIP-8288 把重资料挡在区块外。交易只宣告、不携带：框架交易（EIP-8141）新增一种帧模式，把依赖列成 96 位元组参照——方案、资料杂凑、金钥杂凑。一笔交易最多宣告 16 个 leanSPHINCS 签名和一个 STARK。节点在交易到达时检查真实签名和证明，每秒把它们折叠成递回 STARK。建构者和 FOCIL 包含者对自己打包的内容做同样的事。区块头只加一个递回 STARK，涵盖区块内所有依赖，验证者只验这一个。

这带来几个结果。抗量子签名变便宜：一个 leanSPHINCS 签名约 33000 gas，3000 来自帧本身，30000 是它在区块 STARK 里的分摊；直接验证要 15 万到 20 万。隐私变得可负担：STARK 依赖一旦启用（目前草案中已预留），链上验证原本要几百万 gas 的隐私证明，约 6 万 gas 即可。不必为每种方案加预编译：新签名方案可以包进证明，不用等分叉。核心开发者已经往这个方向走：10 月他们否决了为 Hegotá 加 ML-DSA 预编译，偏好基于杂凑的方案。区块开销有上限：规范把建构者开销控制在每个聚合区间约 256 KB，不管里面有多少签名。

但它还很早。EIP-8288 是草案，STARK 依赖只是预留，聚合金钥和依赖杂凑仍标著「待定」。交易回滚也收费，作者承认会增加记忆体池阻断服务攻击的风险，并称递回证明的可靠性「广受相信」但尚未证明。Coverage 称它面向 Hegotá 之后的分叉，但没有任何排期。它还依赖 Hegotá 推出框架交易，而后者又依赖正在复审的 Glamsterdam 重新定价。

以太坊的最终性目前约需 16 分钟。EIP-8453 草案「解耦共识」把这件事拆成两部分：一条快速可用链，由约 512 个验证者组成的委员会投票确认；一个独立的最终性元件，由全部验证者执行。首要目标是把最终性至少加快四倍。更长远的目标写在 finality.watch 上：从探索性的 36 秒（该网站标注「不是预测」），一路指向一秒出块、两秒最终确认的北极星。与此同时，Fast Confirmation Rule 能让交易所和跨链桥把存款确认时间缩短到 12 至 24 秒。

用证明替代重新执行后，速度问题已经解决。11 月 8 日，三个证明者在 4 至 16 块消费级 GPU 上达到 Ethproofs 的即时标准，每区块证明成本约 0.003 至 0.007 美元。新的瓶颈变成了安全性保证。EF 的下一个里程碑在 12 月初，目标是 128 位元可证明安全。正如 Cody Gunton 在 Devcon 所说，「还没有团队拿出经过形式化验证的验证器实作」。证明整合已经暂停：Hegotá 没有纳入可选证明，路线图草案把强制证明放到 K*。gas 上限提升也还在等后续分叉：主网仍是每区块 6000 万 gas，Sepolia 约 2 亿，而 gigagas 目标是要做到今天吞吐量的 200 倍。

其余进展可以一笔带过。

签名革命：从 BLS 到杂凑的代价

Blob 方面，自 1 月以来目标值是 14、上限 21，6 至 9 月平均每区块只用约 4.4 个，每个 blob 远低于一美分，容量跑在需求前面。

Rollup 方面，资料平台 L2BEAT 已改名 ETHBEAT，多数 rollup 的价值仍停留在 Stage 1，Base 约 140 亿美元，Arbitrum 约 90 亿美元。

互通性方面，Ethereum Economic Zone 在 devnet 上演示了 L1 与 L2 的原子呼叫，Gnosis Chain 计划 2027 年春季加入。

隐私方面，EF 的 Kohaku 钱包堆叠展示了经 Privacy Pools 和 Tornado Cash 的隐私转帐，程式码尚未审计。

安全方面，10 月 29 日 Binance 被盗约 63.6 亿美元，被归因于北韩 TraderTraitor。攻击利用 50 个预签名的 EIP-7702 授权扫空了一个热钱包。TRM Labs 称，这次升级放大了攻击，但不是起因。

接下来有几件事值得盯。

• 11 月 12 日的 ACDC #191 和 11 月 19 日的 ACDE #249，将讨论 EIP-8037/8038 的修复方案，并给出新的 Hoodi 测试网日期。
• 2027 年 1 月，看 2028 年 12 月会不会被正式定为抗量子截止日。
• Hegotá 开发网能否让 FOCIL 和框架交易同时跑通。
• 抗量子金钥登入档最终选哪一种，放进哪个分叉。
• leanVM 最终选用哪种杂凑函式和有限域，以及能否给出其证明系统的可靠性证明。
• 12 月，EF 的 128 位元 zkEVM 安全里程碑能否达成。

下一步观察：六项关键里程碑

以太坊现在已经知道抗量子版本该怎么设计。孟买留下的开放问题是：它能不能一边推进设计，一边保持每八个月一个硬分叉的交付节奏。