Эфириум и экзамен 2028 года: дорожная карта постквантовой безопасности упирается в узкие места релизов

Автор: @yq_acc

Перевод: AididiaoJP, Foresight News

Devcon 8 поставил перед Эфириумом более амбициозный срок, чем официальный план: завершить переход на постквантовую безопасность к декабрю 2028 года. Исследовательская команда считает, что криптография успевает, но темпы релизов этой осенью показывают: узким местом являются не алгоритмы, а способность вовремя выпускать хардфорки.

Мумбаи задаёт тон: цель 2028 года — на год раньше официального плана

Devcon 8 прошёл с 3 по 6 ноября 2026 года в конференц-центре Jio World Centre в Мумбаи — впервые в Индии. Утром в день открытия исследователь Ethereum Foundation Джастин Дрейк озвучил самую значимую новость: он хочет завершить переход на постквантовую и пост-ИИ безопасность к декабрю 2028 года. Это означает, что после Glamsterdam за 24 месяца нужно выпустить три хардфорка.

Это на год раньше официального плана Ethereum Foundation. В сентябрьской статье о приоритетах EF обязалась достичь трёхуровневой постквантовой безопасности к декабрю 2029 года и заявила, что эта дата не изменится до пересмотра с внешними экспертами в январе 2027 года. Иными словами, исследователи сейчас работают с ориентиром на 2028 год, а 2029 год остаётся запасным дедлайном.

События той же недели показывают, почему этот разрыв важен. 22 октября следующий хардфорк Glamsterdam был отозван из второй тестовой сети. В последний день Devcon EF объяснила причину: переоценка стоимости газа нарушила допущения, на которые опираются уже развёрнутые контракты. Криптография постквантового Эфириума почти готова; настоящая проблема — как выкатывать её форк за форком, не ломая то, что уже работает.

Сама конференция в Мумбаи тоже сократилась. За четыре дня прошло 370 докладов и выступило 399 спикеров — примерно на 43% меньше, чем на Devcon 7 в Бангкоке. Это было осознанно: в этом году EF сократила 54 позиции, около пятой части штата. Две трети докладов на главной сцене получили теги из устава EF — «CROPS»: устойчивость к цензуре, открытый исходный код, приватность и безопасность. Больше всего докладов было по безопасности — 70, по приватности — 65, по ИИ — 57. Главный посыл вступительной речи Виталика Бутерина, по сообщениям СМИ: технологии заставляют людей слишком много доверять и слишком мало проверять; речь затрагивала операционные системы и чипы, медицинские технологии, связь и ИИ. Следующий Devcon IX пройдёт в Лиссабоне с 11 по 13 октября 2027 года.

Три форка за 24 месяца — Эфириум в последние годы так быстро не двигался

Черновик дорожной карты EF упорядочен по форкам, причём более поздние форки пока обозначены буквами: H* — это Hegotá, затем идут I*, J*, K*, L*. Постквантовый Эфириум будет строиться именно на этих форках.

Hegotá в 2027 году не является постквантовым форком, но введёт фреймовые транзакции, позволяющие каждому аккаунту выбирать собственную схему подписи. Это путь ухода от ECDSA. I* вводит leanVM — минимальную виртуальную машину для доказательств — и постквантовые «lean»-транзакции. J* вводит подписи валидаторов на основе хешей и постквантовую выборку доступности данных; EF называет это вехой «минимально жизнеспособной постквантовой безопасности». K* и L* вводят обязательные доказательства и оставшуюся часть рефакторинга Lean-архитектуры.

Три форка за 24 месяца — это один форк каждые восемь месяцев. В последние годы интервалы у Эфириума составляли 11, 14 и 7 месяцев, а Glamsterdam идёт уже 11 месяцев и ещё не завершён. По собственным расчётам EF, чтобы добраться до L* к декабрю 2029 года, нужен форк каждые 7,2 месяца. При темпе в 12 месяцев вовремя выйдет только J*.

Срочность исходит с двух сторон.

С одной стороны, стоимость атак снижается. В марте этого года исследователи из Google Quantum AI, UC Berkeley, Ethereum Foundation и Стэнфорда опубликовали совместную статью, оценив, что для взлома подписей Эфириума на эллиптических кривых требуется менее 1200 логических кубитов и менее 500 000 физических кубитов, а время работы измеряется минутами. Этого достаточно, чтобы атаковать транзакцию, пока она ещё находится в мемпуле.

С другой стороны — риск «пост-ИИ», о котором говорит Дрейк. В июле Anthropic сообщила, что одна из её моделей нашла метод атаки, снизивший сложность восстановления ключа для решётчатой схемы подписи HAWK-256 примерно с 2^64 операций до примерно 2^38 — значительное снижение. В октябре Дрейк призвал индустрию «спокойно начать планировать режим бункера», то есть готовиться к худшему сценарию: если ИИ-ассистированная математика взломает ECDSA раньше любого квантового компьютера.

Обе линии указывают в одном направлении: хеш-функции. Среди криптографических примитивов они опираются на наименьшее число допущений и их труднее всего взломать.

Glamsterdam буксует: одна переоценка газа спутала планы

Glamsterdam работает в тестовой сети Sepolia с 6 октября. Два ключевых изменения сами по себе спроектированы неплохо: встроенное разделение proposer-builder включает заявки строителей в протокол и убирает исполнение из критического пути слота; списки доступа на уровне блока заранее объявляют наборы чтения и записи для каждого блока, что позволяет клиентам выполнять операции параллельно.

Проблема в переоценке. EIP-8037 устанавливает цену нового состояния в 1530 газа за байт, чтобы замедлить рост состояния. Запись в новый слот хранилища подорожала с 22 100 до 110 020 газа, а развёртывание контракта размером 24 кБ подорожало примерно в 8 раз. Такие затраты не вписываются в лимит газа 224 на транзакцию (так в оригинале; вероятно, имеется в виду 2^24). Поэтому газ сверх лимита уходит в отдельный резервный пул газа состояния, полностью передаётся вызываемому контракту и возвращается при откате вызова.

ChainSecurity отметила, что из-за этого обработчики ошибок, которые раньше прерывались из-за нехватки газа, теперь могут выполняться до конца, обходя распространённые проверки защиты от griefing-атак. EF перечислила восемь нарушенных инвариантов — правил, которые протокол должен соблюдать всегда; в сводке AllCoreDevs указано 13 затронутых DeFi-проектов. Тестовая сеть Hoodi отложена, даты для Hoodi или основной сети не названы. Координатор All Core Devs Nixo написал, что это «вероятно, отодвинет основную сеть Glamsterdam на 2027 год».

Урок не ограничивается одним EIP. Настоящий интерфейс блокчейна — это каждое наблюдаемое поведение: стоимость газа, правило 63/64, возможность аккаунта исполнять код. Каждый из этих пунктов — риск при миграции. Это важно, потому что фреймовые транзакции Hegotá указывают EIP-8037 как обязательное требование.

Hegotá: устойчивость к цензуре и заменяемые подписи

У Hegotá два ключевых механизма. FOCIL (EIP-7805) требует, чтобы в каждом слоте 16 валидаторов публиковали список включения объёмом до 8 КиБ транзакций из мемпула. Следующий блок обязан включить эти транзакции, если они не недействительны и блок не заполнен; пруверы обеспечивают это через выбор форка. Чтобы подвергнуть транзакцию цензуре, теперь нужно заставить действовать всех, кто её видел, а не одного строителя.

Фреймовые транзакции (EIP-8141) позволяют аккаунту самому определять способ авторизации, поэтому можно мигрировать на постквантовые подписи без отдельного форка под каждую схему. Отклонённые предложения ещё лучше показывают философию дизайна: опциональные доказательства исполнения, встроенные пулы приватности, block-in-blobs — последнее отклонено, потому что усилило бы зависимость от обязательств KZG. Шифрованный мемпул LUCID отложен до последующих форков. Эфириум снова и снова выбирает механизмы, которые делают протокол лучшей платформой, а не встраивают конкретное приложение.

Цена постквантового консенсуса: подписи длиннее, агрегация компенсирует

Валидаторам нужно дополнительно к существующим ключам зарегистрировать «спящий» ключ на основе хешей (черновик EIP-8450). Подпись leanXMSS занимает 2404 байта, тогда как BLS — всего 96 байт. Подписи BLS можно складывать, а подписи на основе хешей — нет, поэтому агрегатор вместо этого доказывает, что проверил все подписи. leanVM агрегирует около 965 подписей в секунду на ноутбуке, превращая 1500 подписей в доказательство размером 265 КиБ, которое проверяется за 7,4 мс.

На уровне данных обязательства KZG уступают место LeanDA, которая использует обязательства Меркла плюс доказательства leanVM, подтверждающие корректность кодирования данных. На стороне пользователя кошельки получают leanSPHINCS с подписью 7740 байт, но после агрегации в мемпуле (EIP-8288) каждая стоит около 33 000 газа; прямая проверка одной подписи обходится в 150 000–200 000 газа.

По поводу «формальной верификации» нужно пояснение. Дрейк объявил о сквозной формальной верификации leanVM. Работа проекта на Lean 4 доказала надёжность семантики инструкций и ограничений, но реализация на Rust прошла только дифференциальное тестирование, надёжность рекурсивных доказательств остаётся открытым вопросом, а код ещё не готов к продакшену.

EIP-8288: перенос криптографии в мемпул

Если и есть предложение, которое лучше всего отражает, куда Виталик Бутерин хочет вести Эфириум, то это EIP-8288 «Агрегация подписей и доказательств в мемпуле». В июне он написал черновик совместно с Томасом Коратже. Серия постов 19 октября изложила аргумент прямо: прекомпиляции и EVM не подходят для размещения большей части криптографической поддержки Эфириума, потому что данные, которые они обрабатывают, должны попадать в цепочку. В своей сентябрьской статье он уже включил параллельную обработку подписей и доказательств в мемпуле в дизайн Эфириума 2030 года.

EIP-8288 решает проблему объёма. Подпись на основе хешей занимает 2–3 КБ, а её проверка в EVM стоит 150 000–200 000 газа. STARK, необходимые протоколам приватности, занимают 128–512 КБ. Если отправлять их в цепочку по отдельности, постквантовые аккаунты станут непомерно дорогими, приватные транзакции — нереалистичными, и оба типа данных слишком велики, чтобы пройти через списки включения FOCIL.

EIP-8288 не пускает тяжёлые данные в блок. Транзакция только объявляет зависимости, но не несёт их: фреймовые транзакции (EIP-8141) добавляют новый режим фрейма, в котором зависимости перечисляются как 96-байтовые ссылки — схема, хеш данных, хеш ключа. Одна транзакция может объявить до 16 подписей leanSPHINCS и один STARK. Узлы проверяют реальные подписи и доказательства при поступлении транзакции и каждую секунду сворачивают их в рекурсивный STARK. Строители и составители списков FOCIL делают то же самое для того, что упаковывают. В заголовок блока добавляется только один рекурсивный STARK, покрывающий все зависимости блока, и валидаторы проверяют только его.

Это даёт несколько результатов. Постквантовые подписи становятся дешевле: одна подпись leanSPHINCS стоит около 33 000 газа — 3000 за сам фрейм и 30 000 как доля в STARK блока; прямая проверка обошлась бы в 150 000–200 000. Приватность становится доступной: когда зависимости STARK будут включены (в текущем черновике они уже зарезервированы), доказательства приватности, проверка которых в цепочке стоила бы миллионы газа, обойдутся примерно в 60 000 газа. Не нужно добавлять прекомпиляции под каждую схему: новые схемы подписей можно упаковывать в доказательства, не дожидаясь форка. Разработчики ядра уже движутся в этом направлении: в октябре они отклонили добавление прекомпиляции ML-DSA для Hegotá, предпочтя схемы на основе хешей. Накладные расходы блока ограничены: спецификация удерживает расходы строителя на уровне примерно 256 КБ на интервал агрегации, сколько бы подписей внутри ни было.

Но предложение ещё очень раннее. EIP-8288 — это черновик, зависимости STARK только зарезервированы, ключи агрегации и хеши зависимостей всё ещё помечены как «TBD». Откат транзакций тоже тарифицируется; авторы признают, что это повышает риск DoS-атак на мемпул, и отмечают, что надёжность рекурсивных доказательств «широко признаётся», но ещё не доказана. Coverage указывает, что предложение нацелено на форки после Hegotá, но никакого расписания нет. Оно также зависит от того, что Hegotá введёт фреймовые транзакции, а те, в свою очередь, зависят от пересматриваемой переоценки газа в Glamsterdam.

Финальность, доказательства и остальной прогресс

Сейчас финальность Эфириума занимает около 16 минут. Черновик EIP-8453 «Развязанный консенсус» разделяет этот процесс на две части: быструю цепочку доступности, подтверждаемую комитетом из примерно 512 валидаторов, и отдельный компонент финальности, который запускают все валидаторы. Первоочередная цель — ускорить финальность как минимум в четыре раза. Более долгосрочная цель описана на finality.watch: от исследовательских 36 секунд (сайт помечает это как «не прогноз») до путеводной звезды — блок за одну секунду и финальность за две секунды. Параллельно правило быстрого подтверждения позволит биржам и кроссчейн-мостам сократить время подтверждения депозитов до 12–24 секунд.

После замены повторного исполнения доказательствами проблема скорости решена. 8 ноября три прувера на потребительских GPU (от 4 до 16 карт) достигли стандарта реального времени Ethproofs; стоимость доказательства на блок составила около $0,003–0,007. Новым узким местом стали гарантии безопасности. Следующая веха EF — в начале декабря, цель — доказуемая безопасность на 128 бит. Как сказал Коди Гантон на Devcon, «ни одна команда ещё не представила формально верифицированную реализацию верификатора». Интеграция доказательств приостановлена: Hegotá не включает опциональные доказательства, а черновик дорожной карты откладывает обязательные доказательства до K*. Повышение лимита газа тоже ждёт последующих форков: в основной сети по-прежнему 60 млн газа на блок, в Sepolia — около 200 млн, а цель gigagas — достичь 200-кратной сегодняшней пропускной способности.

Остальной прогресс можно перечислить кратко.

По блобам: с января целевое значение — 14, максимум — 21; с июня по сентябрь в среднем использовалось лишь около 4,4 блоба на блок, каждый блоб стоит значительно меньше цента, так что пропускная способность опережает спрос.

По роллапам: платформа данных L2BEAT переименована в ETHBEAT; большинство роллапов по-прежнему находятся на Stage 1, у Base около $14 млрд, у Arbitrum около $9 млрд.

По интероперабельности: Ethereum Economic Zone продемонстрировала в devnet атомарные вызовы между L1 и L2; Gnosis Chain планирует присоединиться весной 2027 года.

По приватности: стек кошельков Kohaku от EF показал приватные переводы через Privacy Pools и Tornado Cash; код ещё не прошёл аудит.

По безопасности: 29 октября у Binance было украдено около $6,36 млрд, атаку приписывают северокорейской группировке TraderTraitor. Атака использовала 50 предварительно подписанных авторизаций EIP-7702, чтобы опустошить горячий кошелёк. TRM Labs отмечает, что это обновление усилило атаку, но не было её причиной.

За чем следить дальше

В ближайшее время стоит следить за несколькими вещами.

• ACDC #191 12 ноября и ACDE #249 19 ноября обсудят исправления для EIP-8037/8038 и назовут новую дату тестовой сети Hoodi.
• В январе 2027 года станет ясно, будет ли декабрь 2028 года официально утверждён как дедлайн постквантового перехода.
• Сможет ли devnet Hegotá одновременно запустить FOCIL и фреймовые транзакции.
• Какой реестр постквантовых ключей будет выбран и в какой форк он попадёт.
• Какие хеш-функции и конечные поля выберет leanVM и сможет ли она предоставить доказательство надёжности своей системы доказательств.
• Будет ли в декабре достигнута веха EF по безопасности zkEVM на 128 бит.

Эфириум уже знает, как спроектировать постквантовую версию. Открытый вопрос, оставшийся после Мумбаи: сможет ли он одновременно продвигать дизайн и выдерживать темп поставки одного хардфорка каждые восемь месяцев.