La gran prueba de Ethereum en 2028: la hoja de ruta contra la cuántica se enfrenta a cuellos de botella en la versión

Escrito por: @yq_acc

Compilado por: AididiaoJP, Foresight News

Devcon 8 establece un cronograma más agresivo para Ethereum que el plan oficial: completar la transición contra la cuántica en diciembre de 2028. El equipo de investigación cree que la criptografía puede mantenerse al día, pero el ritmo de lanzamiento de este otoño indica que el verdadero cuello de botella no son los algoritmos, sino si se pueden lanzar bifurcaciones duras a tiempo.

Mumbai establece el tono: objetivo 2028, un año antes que el plan oficial

Devcon 8 se llevará a cabo del 3 al 6 de noviembre de 2026 en el Jio World Center de Mumbai, siendo la primera vez que Devcon se celebra en India. En la mañana del día de apertura, el investigador de la Fundación Ethereum, Justin Drake, anunció la noticia más importante del evento: se espera completar la transición contra la cuántica y post-AI para diciembre de 2028, lo que significa que se deben lanzar tres bifurcaciones duras en los 24 meses posteriores a Glamsterdam.

Esto es un año antes que el plan oficial de la Fundación Ethereum. En un artículo de prioridades publicado en septiembre, la EF se comprometió a lograr tres capas contra la cuántica para diciembre de 2029, y dejó claro que esta fecha no cambiaría antes de la revisión con expertos externos en enero de 2027. En otras palabras, los investigadores ahora avanzan con el objetivo de 2028, siendo 2029 la fecha límite preestablecida.

Lo que ocurrió en la misma semana ilustra por qué esta diferencia es importante. El 22 de octubre, la próxima bifurcación dura, Glamsterdam, fue retirada de la segunda red de prueba. En el último día de Devcon, la EF explicó la razón: un reajuste de gas rompió la suposición de los contratos ya desplegados. La criptografía de Ethereum contra la cuántica está casi lista, pero la restricción radica en cómo implementarla de una bifurcación a otra sin romper lo que ya funciona.

El propio lugar de Mumbai también se está reduciendo. Durante cuatro días, hubo 370 presentaciones y 399 ponentes, un 43% menos que en Devcon 7 en Bangkok. Esto fue intencional: la EF despidió a 54 empleados este año, aproximadamente una quinta parte de su personal total. Dos tercios de las presentaciones en la sala principal fueron etiquetadas con la propiedad "CROPS" en los estatutos de la EF, es decir, resistencia a la censura, código abierto, privacidad y seguridad. Las presentaciones sobre seguridad fueron las más numerosas con 70, seguidas de las de privacidad con 65 y las de AI con 57. El tema del discurso inaugural de Vitalik Buterin, según informes de los medios, fue que la tecnología genera demasiada confianza y se puede verificar muy poco, abarcando sistemas operativos y chips, tecnología de salud, comunicación y AI. La próxima Devcon IX se llevará a cabo del 11 al 13 de octubre de 2027 en Lisboa.

Tres bifurcaciones en 24 meses, Ethereum no ha corrido tan rápido en años

El borrador de la hoja de ruta de la EF está organizado por orden de bifurcación, con las bifurcaciones posteriores ocupadas por letras: H* es Hegotá, seguido de I*, J*, K* y L*. Ethereum contra la cuántica se construirá sobre estas bifurcaciones.

Hegotá, que ocurrirá en 2027, no será una bifurcación contra la cuántica, pero introducirá transacciones en marco, permitiendo que cada cuenta elija su propio esquema de firma. Este es el camino para deshacerse de ECDSA. I* introducirá leanVM, una máquina virtual de prueba mínima, y transacciones "lean" contra la cuántica. J* introducirá firmas de validadores basadas en hash y muestreo de datos contra la cuántica, que la EF describe como un hito de "mínimo viable contra la cuántica". K* y L* introducirán pruebas de ejecución y el resto de la reestructuración de la arquitectura Lean.

Tres bifurcaciones en 24 meses equivalen a una cada ocho meses. Los intervalos de Ethereum en años recientes han sido de 11 meses, 14 meses y 7 meses, mientras que Glamsterdam ya lleva 11 meses sin finalizar. Según el propio algoritmo de la EF, para alcanzar L* en diciembre de 2029, se necesita una bifurcación cada 7.2 meses. A un ritmo de 12 meses, solo J* puede llegar a tiempo.

La urgencia proviene de ambos extremos.

Por un lado, el costo de ataque está disminuyendo. En marzo de este año, investigadores de Google Quantum AI, UC Berkeley, la Fundación Ethereum y Stanford publicaron un artículo que estima que se requieren menos de 1200 qubits lógicos para romper la firma de curva elíptica de Ethereum y menos de 500,000 qubits físicos, con un tiempo de ejecución medido en minutos. Esta velocidad es lo suficientemente rápida como para lanzar un ataque mientras una transacción aún está en la cola de la memoria.

Por otro lado, está el riesgo de "post-AI" mencionado por Drake. En julio, Anthropic informó que su modelo encontró un método de ataque que reduce la dificultad de recuperar la clave del esquema de firma de rejilla HAWK-256 de aproximadamente 2^64 operaciones a alrededor de 2^38, lo que representa una disminución significativa en la dificultad. En octubre, Drake instó a la industria a "calmarse y comenzar a planificar un modo búnker", es decir, prepararse para el peor de los casos: en caso de que la matemática asistida por AI rompa ECDSA antes que cualquier computadora cuántica.

Ambas líneas apuntan en la misma dirección: funciones hash. En los primitivos criptográficos, suposiciones mínimas son las más difíciles de romper.

Glamsterdam se detiene: un reajuste de gas interrumpe la línea principal

Glamsterdam comenzó a funcionar en la red de prueba Sepolia el 6 de octubre. Los dos cambios centrales están bien diseñados: la separación de proponentes y constructores incorpora las ofertas de los constructores en el protocolo y saca la ejecución de la ruta crítica del slot; la lista de acceso a nivel de bloque declara anticipadamente el conjunto de lectura/escritura de cada bloque, permitiendo que los clientes ejecuten en paralelo.

El problema radica en el reajuste de precios. EIP-8037 establece el nuevo precio de estado en 1530 gas por byte, para ralentizar el crecimiento del estado. Escribir en un nuevo espacio de almacenamiento aumentó de 22100 gas a 110020 gas, y desplegar un contrato de 24 kB costó aproximadamente 8 veces más. Este nivel de costo no cabe en el límite de gas de 224 por transacción (así está escrito, lo que parece ser un error de 2^24). Así, el gas que excede el límite entra en un fondo de gas de estado independiente, que se transfiere completamente al contrato llamado, y se devuelve si la llamada se revierte.

ChainSecurity señala que esto permitirá que los procesadores que antes se detenían por falta de gas ahora puedan completarse, eludiendo así las comprobaciones comunes de interferencia maliciosa. La EF enumeró ocho invariantes que se rompieron, es decir, reglas que deben mantenerse en el protocolo; AllCoreDevs resumió que 13 proyectos DeFi se vieron afectados. La red de prueba Hoodi fue retrasada, y no se proporcionaron fechas para Hoodi o la red principal. El coordinador de All Core Devs, Nixo, escribió que esto "probablemente empuje la red principal de Glamsterdam a 2027".

La lección no es solo un EIP. La verdadera interfaz de la blockchain son cada uno de los comportamientos observables: costo de gas, regla 63/64, si una cuenta puede ejecutar código, cada uno es un riesgo de migración. Esto es importante porque la transacción en marco de Hegotá lista a EIP-8037 como un requisito.

Hegotá: resistencia a la censura y firmas intercambiables

Hegotá tiene dos mecanismos clave. FOCIL (EIP-7805) requiere que 16 validadores en cada slot publiquen una lista que contenga hasta 8 KiB de transacciones del pool. El siguiente bloque debe incluir estas transacciones, a menos que sean inválidas o el bloque esté lleno, y los probadores deben hacer cumplir la ejecución a través de la selección de bifurcaciones. Para censurar una transacción, ahora se debe involucrar a todos los validadores que la hayan visto, en lugar de solo resolverlo con un constructor.

Las transacciones en marco (EIP-8141) permiten que las cuentas definan cómo autorizar, por lo que pueden migrar a firmas contra la cuántica sin necesidad de bifurcar cada vez que cambian de esquema. Las propuestas rechazadas ilustran mejor la filosofía de diseño: pruebas de ejecución opcionales, pools de privacidad integrados, block-in-blobs, siendo esta última rechazada por aumentar la dependencia de los compromisos KZG. El pool de memoria criptográfica LUCID se pospuso para bifurcaciones posteriores. Ethereum ha optado repetidamente por mecanismos que mejoren el protocolo como plataforma, en lugar de incorporar aplicaciones específicas.

El costo del consenso contra la cuántica: firmas más largas, agregación de reemplazo

Los validadores deben registrar primero una clave basada en hash inactiva además de la clave existente (borrador de EIP-8450). La firma leanXMSS tiene 2404 bytes, mientras que la BLS solo requiere 96 bytes. Las firmas BLS pueden sumarse, mientras que las firmas basadas en hash no, por lo que el agregador debe demostrar que ha verificado todas las firmas. LeanVM puede agregar aproximadamente 965 firmas por segundo en una laptop, convirtiendo 1500 firmas en 265 KiB de prueba, que se verifica en 7.4 milisegundos.

En la capa de datos, el compromiso KZG cede su lugar a LeanDA, que utiliza compromisos Merkle y pruebas leanVM para demostrar que los datos están correctamente codificados. En el lado del usuario, la billetera obtiene leanSPHINCS, con una firma de 7740 bytes, pero después de la agregación en el pool de memoria (EIP-8288), cada una cuesta aproximadamente 33000 gas; verificar una directamente requiere entre 150000 y 200000 gas.

"La verificación formal" necesita una aclaración. Drake anunció la verificación formal de extremo a extremo de leanVM. El trabajo de Lean 4 del proyecto demostró la confiabilidad de la semántica de instrucciones y restricciones, pero la implementación en Rust solo realizó pruebas diferenciales, y la confiabilidad de las pruebas recursivas sigue siendo un problema abierto, y el código aún no está listo para producción.

EIP-8288: trasladando la criptografía al pool de memoria

Si hay una propuesta que representa mejor hacia dónde quiere llevar Vitalik Buterin a Ethereum, es EIP-8288 "Agregación de firmas y pruebas en el pool de memoria". Él coescribió el borrador en junio con Thomas Coratger. Una serie de publicaciones del 19 de octubre expresaron el argumento de manera muy clara: la precompilación y la EVM no son adecuadas para soportar la mayor parte del soporte criptográfico de Ethereum, porque ambos deben llevar los datos a la cadena. Su artículo de septiembre ya había enumerado el procesamiento paralelo de firmas y pruebas en el pool de memoria como parte del diseño de Ethereum 2030.

Resuelve el problema de volumen. Una firma basada en hash ocupa de 2 a 3 KB, y verificarla en la EVM requiere entre 150000 y 200000 gas. Los STARK necesarios para los protocolos de privacidad son de 128 a 512 KB. Subirlos uno por uno a la cadena haría que las cuentas contra la cuántica fueran extremadamente costosas, y las transacciones de privacidad también serían poco realistas, además de que ambos son demasiado grandes para pasar la lista de inclusión de FOCIL.

EIP-8288 mantiene los datos pesados fuera de la cadena. Las transacciones solo declaran, no transportan: la transacción de marco (EIP-8141) introduce un nuevo modo de marco que lista las dependencias como referencias de 96 bytes ------ esquema, hash de datos, hash de clave. Una transacción puede declarar hasta 16 firmas leanSPHINCS y un STARK. Los nodos verifican las firmas reales y las pruebas cuando la transacción llega, y las pliegan en un STARK recursivo cada segundo. Los constructores y los que contienen FOCIL hacen lo mismo con su contenido empaquetado. La cabecera del bloque solo añade un STARK recursivo, cubriendo todas las dependencias dentro del bloque, y el validador solo verifica este único.

Esto trae varios resultados. Las firmas resistentes a la computación cuántica se vuelven más baratas: una firma leanSPHINCS cuesta alrededor de 33,000 gas, 3,000 provienen del marco en sí, y 30,000 son su parte en el STARK del bloque; la verificación directa requiere entre 150,000 y 200,000. La privacidad se vuelve asequible: una vez que se abre la dependencia STARK (ya reservada en el borrador actual), la verificación en cadena requiere pruebas de privacidad que cuestan millones de gas, alrededor de 60,000 gas son suficientes. No es necesario agregar precompilaciones para cada esquema: los nuevos esquemas de firma pueden incluirse en la prueba sin esperar bifurcaciones. Los desarrolladores principales ya están avanzando en esta dirección: en octubre rechazaron la precompilación de ML-DSA para Hegotá, prefiriendo un esquema basado en hash. El costo del bloque tiene un límite: la norma controla el costo del constructor en aproximadamente 256 KB por intervalo de agregación, sin importar cuántas firmas haya dentro.

Pero aún es temprano. EIP-8288 es un borrador, la dependencia STARK es solo una reserva, y el hash de clave de agregación y las dependencias aún están marcadas como "pendientes". La reversión de transacciones también tiene un costo, y el autor admite que aumentará el riesgo de ataques de denegación de servicio en la memoria, y afirma que la fiabilidad de las pruebas recursivas es "ampliamente creída" pero aún no probada. Coverage dice que está dirigido a bifurcaciones posteriores a Hegotá, pero no hay cronograma. También depende de que Hegotá implemente transacciones de marco, que a su vez dependen de la revalorización de Glamsterdam que está en revisión.

Finalidad, Pruebas y Otros Avances

La finalidad de Ethereum actualmente requiere aproximadamente 16 minutos. El borrador EIP-8453 "desacopla el consenso" dividiendo esto en dos partes: una cadena rápida utilizable, confirmada por un comité de aproximadamente 512 validadores; y un componente de finalidad independiente, operado por todos los validadores. El objetivo principal es acelerar la finalidad al menos cuatro veces. Un objetivo a más largo plazo está escrito en finality.watch: desde 36 segundos exploratorios (el sitio web señala "no es una predicción"), apuntando hacia un bloque por segundo y dos segundos para la confirmación final. Mientras tanto, la Regla de Confirmación Rápida permite a los intercambios y puentes entre cadenas reducir el tiempo de confirmación de depósitos a entre 12 y 24 segundos.

Al sustituir la reejecución por pruebas, el problema de velocidad ya se ha resuelto. El 8 de noviembre, tres probadores alcanzaron el estándar en tiempo real de Ethproofs en 4 a 16 GPU de consumo, con un costo de prueba por bloque de aproximadamente 0.003 a 0.007 dólares. El nuevo cuello de botella se ha convertido en la garantía de seguridad. El próximo hito de EF es a principios de diciembre, con el objetivo de ser seguro a 128 bits. Como dijo Cody Gunton en Devcon, "ningún equipo ha presentado una implementación de validador verificada formalmente". La integración de pruebas se ha detenido: Hegotá no incluyó pruebas opcionales, y el borrador de la hoja de ruta coloca las pruebas obligatorias en K*. El aumento del límite de gas también está esperando bifurcaciones posteriores: la red principal sigue siendo 60 millones de gas por bloque, Sepolia alrededor de 200 millones, mientras que el objetivo de gigagas es alcanzar 200 veces el rendimiento actual.

Los demás avances se pueden resumir brevemente.

En cuanto a los blobs, desde enero el objetivo ha sido 14, con un límite de 21, y de junio a septiembre se utilizó un promedio de aproximadamente 4.4 por bloque, cada blob costando muy por debajo de un centavo, con la capacidad superando la demanda.

En el ámbito de los rollups, la plataforma de datos L2BEAT ha cambiado su nombre a ETHBEAT, y la mayoría del valor de los rollups sigue en la Etapa 1, con Base alrededor de 14,000 millones de dólares y Arbitrum alrededor de 9,000 millones de dólares.

En términos de interoperabilidad, la Zona Económica de Ethereum ha demostrado en devnet la llamada atómica entre L1 y L2, y Gnosis Chain planea unirse en la primavera de 2027.

En cuanto a la privacidad, el stack de billeteras Kohaku de EF ha demostrado transferencias privadas a través de Privacy Pools y Tornado Cash, aunque el código aún no ha sido auditado.

En términos de seguridad, el 29 de octubre, Binance fue robado por aproximadamente 6.36 mil millones de dólares, atribuido a TraderTraitor de Corea del Norte. El ataque utilizó 50 autorizaciones EIP-7702 prefirmadas para vaciar una billetera caliente. TRM Labs afirma que esta actualización amplificó el ataque, pero no fue la causa.

¿Qué Viene a Continuación?

Hay varias cosas a seguir.

• El 12 de noviembre, ACDC #191 y el 19 de noviembre, ACDE #249 discutirán las soluciones para EIP-8037/8038 y darán nuevas fechas para la red de pruebas Hoodi.
• En enero de 2027, se verá si diciembre de 2028 se formaliza como la fecha límite para la resistencia cuántica.
• Si la red de desarrollo de Hegotá puede hacer funcionar simultáneamente FOCIL y las transacciones de marco.
• Qué tipo de registro de clave cuántica se elegirá finalmente y en qué bifurcación se incluirá.
• Qué función hash y campo finito se seleccionará para leanVM, y si se puede proporcionar una prueba de fiabilidad de su sistema de pruebas.
• En diciembre, si se puede alcanzar el hito de seguridad zkEVM de 128 bits de EF.

Ethereum ahora sabe cómo diseñar la versión resistente a la computación cuántica. La pregunta abierta que dejó Mumbai es: ¿puede avanzar en el diseño mientras mantiene un ritmo de entrega de bifurcaciones duras cada ocho meses?