Le grand défi d'Ethereum en 2028 : une feuille de route anti-quantique face à un goulot d'étranglement de version

Rédigé par : @yq_acc

Traduit par : AididiaoJP, Foresight News

Devcon 8 a fixé un calendrier plus agressif pour Ethereum que celui prévu par les autorités : achever la transition anti-quantique d'ici décembre 2028. L'équipe de recherche estime que la cryptographie peut suivre le rythme, mais le rythme de publication de cet automne montre que le véritable goulot d'étranglement n'est pas l'algorithme, mais la capacité à lancer les hard forks à temps.

Mumbai se fixe un objectif : 2028, un an plus tôt que le plan officiel

Devcon 8 s'est tenu du 3 au 6 novembre 2026 au Jio World Center de Mumbai, marquant la première fois que Devcon se déroule en Inde. Le matin de l'ouverture, le chercheur de la Fondation Ethereum, Justin Drake, a annoncé la nouvelle la plus importante de l'événement : l'objectif est de terminer la transition anti-quantique et post-AI d'ici décembre 2028, ce qui signifie qu'il faut lancer trois hard forks dans les 24 mois suivant Glamsterdam.

Cela est un an plus tôt que le plan officiel de la Fondation Ethereum. Dans un article de priorités publié en septembre, l'EF a promis d'atteindre une triple résistance quantique d'ici décembre 2029, précisant que cette date ne changerait pas avant une révision par des experts externes en janvier 2027. En d'autres termes, les chercheurs avancent maintenant selon le calendrier de 2028, tandis que 2029 est la date limite prédéfinie.

Les événements de la même semaine illustrent pourquoi cet écart est important. Le 22 octobre, le prochain hard fork Glamsterdam a été retiré du deuxième testnet. Le dernier jour de Devcon, l'EF a expliqué la raison : une nouvelle tarification du gas a rompu l'hypothèse sur laquelle reposaient les contrats déployés. La cryptographie d'Ethereum anti-quantique est presque prête, mais la contrainte réside dans la manière de déployer chaque fork sans endommager ce qui fonctionne déjà.

Le lieu de Mumbai lui-même a également été réduit. En quatre jours, il y a eu 370 présentations et 399 intervenants, soit environ 43 % de moins que lors de Devcon 7 à Bangkok. C'était intentionnel : l'EF a réduit 54 postes cette année, soit environ un cinquième de son personnel total. Deux tiers des présentations principales ont été marquées par l'attribut "CROPS" dans la charte de l'EF, c'est-à-dire anti-censure, open source, confidentialité et sécurité. Les présentations sur la sécurité étaient au maximum 70, celles sur la confidentialité 65, et celles sur l'IA 57. Le discours d'ouverture de Vitalik Buterin a, selon les médias, souligné que la technologie inspire trop de confiance et offre trop peu de vérifiabilité, abordant les systèmes d'exploitation et les puces, la technologie de la santé, les communications et l'IA. La prochaine Devcon IX se tiendra à Lisbonne du 11 au 13 octobre 2027.

Trois forks en 24 mois, Ethereum n'a jamais été aussi rapide ces dernières années

Le projet de feuille de route de l'EF est organisé par ordre de forks, les forks suivants étant d'abord désignés par des lettres : H* est Hegotá, suivi de I*, J*, K*, L*. Ethereum anti-quantique sera construit sur ces forks.

Hegotá, prévu pour 2027, n'est pas un fork anti-quantique, mais introduira des transactions de cadre, permettant à chaque compte de choisir son propre schéma de signature. C'est le chemin pour se débarrasser de l'ECDSA. I* introduit leanVM, une machine virtuelle de preuve minimale, ainsi que des transactions "lean" anti-quantiques. J* introduit des signatures de validateurs basées sur le hachage et un échantillonnage de données anti-quantique, que l'EF considère comme un jalon "minimum viable anti-quantique". K* et L* introduisent des preuves d'exécution et le reste de la reconstruction de l'architecture Lean.

Trois forks en 24 mois équivalent à un fork tous les huit mois. Les intervalles d'Ethereum ces dernières années étaient de 11 mois, 14 mois et 7 mois, tandis que Glamsterdam a déjà 11 mois et n'est pas encore terminé. Selon l'algorithme de l'EF, pour atteindre L* d'ici décembre 2029, il faut un fork tous les 7,2 mois. À un rythme de 12 mois, seul J* peut arriver à temps.

Le sentiment d'urgence provient de deux directions.

D'une part, le coût des attaques diminue. En mars de cette année, des chercheurs de Google Quantum AI, de l'UC Berkeley, de la Fondation Ethereum et de Stanford ont publié un article estimant que le nombre de qubits logiques nécessaires pour briser la signature elliptique d'Ethereum est inférieur à 1200, et le nombre de qubits physiques est inférieur à 500 000, avec un temps d'exécution mesuré en minutes. Cette vitesse est suffisamment rapide pour lancer une attaque pendant qu'une transaction est encore en attente dans la mémoire.

D'autre part, il y a le risque "post-AI" mentionné par Drake. En juillet, Anthropic a rapporté qu'un de ses modèles avait trouvé une méthode d'attaque qui réduisait la difficulté de récupération de la clé du schéma de signature HAWK-256 d'environ 2^64 opérations à environ 2^38 opérations, une réduction significative de la difficulté. En octobre, Drake a appelé l'industrie à "commencer à planifier calmement un mode bunker", c'est-à-dire à se préparer au pire : au cas où l'IA aiderait les mathématiques à briser l'ECDSA avant tout ordinateur quantique.

Les deux lignes pointent dans la même direction : la fonction de hachage. Dans les primitives cryptographiques, elle repose sur le moins d'hypothèses et est la plus difficile à briser.

Glamsterdam bloqué : une nouvelle tarification du gas perturbe la ligne principale

Glamsterdam a commencé à fonctionner sur le testnet Sepolia le 6 octobre. Les deux modifications clés étaient bien conçues : la séparation intégrée des proposeurs et des constructeurs a intégré les offres des constructeurs dans le protocole, déplaçant l'exécution hors du chemin critique des slots ; la liste d'accès au niveau des blocs déclare à l'avance l'ensemble de lecture/écriture de chaque bloc, permettant une exécution parallèle par le client.

Le problème réside dans la nouvelle tarification. L'EIP-8037 a fixé le nouveau prix d'état à 1530 gas par octet pour ralentir la croissance de l'état. Écrire dans un nouveau slot de stockage est passé de 22100 gas à 110020 gas, et le coût de déployer un contrat de 24 kB a augmenté d'environ 8 fois. Ce niveau de coût ne peut pas être intégré dans le plafond de gas de 224 par transaction (tel que mentionné, ce qui pourrait être une erreur de 2^24). Ainsi, le gas dépassant le plafond entre dans un réservoir de gas d'état indépendant, entièrement transféré au contrat appelé, et remboursé en cas d'annulation de l'appel.

ChainSecurity a souligné que cela permettrait aux processeurs d'erreurs qui avaient été interrompus par l'épuisement du gas de s'exécuter maintenant, contournant ainsi les vérifications courantes contre les interférences malveillantes. L'EF a énuméré huit invariants qui ont été violés, c'est-à-dire des règles qui doivent toujours être respectées par le protocole ; AllCoreDevs a résumé que 13 projets DeFi ont été affectés. Le testnet Hoodi a été retardé, sans date donnée pour Hoodi ou le mainnet. Le coordinateur d'All Core Devs, Nixo, a écrit que cela "retarde probablement le mainnet de Glamsterdam jusqu'en 2027".

La leçon n'est pas seulement une EIP. La véritable interface de la blockchain est chaque comportement observable : coût du gas, règle 63/64, capacité des comptes à exécuter du code, chaque élément représente un risque de migration. Cela est important car la transaction de cadre de Hegotá a classé l'EIP-8037 comme une exigence.

Hegotá : anti-censure et interchangeabilité des signatures

Hegotá a deux mécanismes clés. FOCIL (EIP-7805) exige que 16 validateurs publient chacun une liste contenant des transactions du pool de transactions, d'une taille maximale de 8 KiB, à chaque slot. Le bloc suivant doit inclure ces transactions, sauf si elles sont invalides ou si le bloc est plein, les validateurs étant contraints d'exécuter par le choix du fork. Pour censurer une transaction, il faut maintenant que tous les validateurs qui l'ont vue agissent ensemble, et non plus qu'un seul constructeur.

Les transactions de cadre (EIP-8141) permettent aux comptes de définir eux-mêmes comment autoriser, ce qui permet de migrer vers des signatures anti-quantiques sans avoir à fork à chaque changement de schéma. Les propositions rejetées illustrent mieux la philosophie de conception : preuves d'exécution optionnelles, pools de confidentialité intégrés, block-in-blobs, ce dernier ayant été rejeté car il approfondirait la dépendance à l'engagement KZG. Le pool de mémoire cryptographique LUCID a été retardé pour des forks ultérieurs. Ethereum choisit à plusieurs reprises des mécanismes qui améliorent la plateforme plutôt que d'intégrer une application spécifique.

Le coût du consensus anti-quantique : signatures plus longues, agrégation de remplacement

Les validateurs doivent d'abord enregistrer une clé de hachage dormante en plus de la clé existante (projet EIP-8450). La signature leanXMSS fait 2404 octets, tandis que BLS ne nécessite que 96 octets. Les signatures BLS peuvent être additionnées, tandis que les signatures basées sur le hachage ne le peuvent pas, donc l'agrégateur doit prouver qu'il a vérifié toutes les signatures. LeanVM agrège environ 965 signatures par seconde sur un ordinateur portable, transformant 1500 signatures en 265 KiB de preuve, vérifiée en 7,4 millisecondes.

Au niveau des données, l'engagement KZG cède la place à LeanDA, qui utilise des engagements Merkle et des preuves leanVM pour prouver que les données sont correctement codées. Du côté utilisateur, le portefeuille reçoit leanSPHINCS, une signature de 7740 octets, mais après agrégation dans la mémoire (EIP-8288), chaque coût est d'environ 33000 gas ; la vérification directe d'une signature nécessite entre 150000 et 200000 gas.

Il y a un point à préciser concernant la "vérification formelle". Drake a annoncé la vérification formelle de bout en bout de leanVM. Le travail de Lean 4 a prouvé la fiabilité de la sémantique des instructions et des contraintes, mais l'implémentation en Rust n'a effectué que des tests différentiels, et la fiabilité des preuves récursives reste une question ouverte, le code n'étant pas encore prêt pour la production.

EIP-8288 : déplacer la cryptographie dans la mémoire

S'il y a une proposition qui représente le mieux la direction que Vitalik Buterin souhaite donner à Ethereum, c'est l'EIP-8288 "Agrégation des signatures et des preuves dans la mémoire". Il a coécrit le projet en juin avec Thomas Coratger. Une série de messages du 19 octobre a exprimé l'argument de manière très claire : les précompilations et l'EVM ne sont pas adaptés pour supporter la plupart des cryptographies d'Ethereum, car les données traitées par les deux doivent entrer sur la chaîne. Son article de septembre avait déjà classé le traitement parallèle des signatures et des preuves dans la mémoire comme une partie de la conception d'Ethereum 2030.

Il résout le problème de taille. Une signature basée sur le hachage fait entre 2 et 3 Ko, et la vérification dans l'EVM nécessite entre 150000 et 200000 gas. Les STARK nécessaires pour les protocoles de confidentialité font entre 128 et 512 Ko. Les envoyer un par un sur la chaîne rendrait les comptes anti-quantiques excessivement coûteux, et les transactions de confidentialité ne seraient pas réalistes, car les deux sont trop volumineux pour passer la liste d'inclusion FOCIL.

EIP-8288 bloque les données lourdes en dehors des blocs. Les transactions ne déclarent pas, elles ne transportent pas : la transaction de cadre (EIP-8141) introduit un nouveau mode de cadre, énumérant les dépendances sous forme de références de 96 octets ------ schéma, hachage de données, hachage de clé. Une transaction peut déclarer jusqu'à 16 signatures leanSPHINCS et un STARK. Les nœuds vérifient les signatures réelles et les preuves lorsque la transaction arrive, les repliant en STARK récursif chaque seconde. Les constructeurs et les encapsulateurs FOCIL font la même chose pour le contenu qu'ils emballent. L'en-tête de bloc n'ajoute qu'un STARK récursif, couvrant toutes les dépendances dans le bloc, et le validateur ne vérifie que celui-ci.

Cela entraîne plusieurs résultats. Les signatures anti-quantique deviennent moins chères : une signature leanSPHINCS coûte environ 33 000 gas, dont 3 000 proviennent du cadre lui-même, et 30 000 sont répartis dans le STARK du bloc ; la vérification directe coûte entre 150 000 et 200 000. La confidentialité devient abordable : une fois que la dépendance STARK est ouverte (réservée dans le projet actuel), la vérification sur la chaîne nécessite des preuves de confidentialité coûtant plusieurs millions de gas, environ 60 000 gas suffisent. Il n'est pas nécessaire d'ajouter des précompilations pour chaque schéma : de nouveaux schémas de signature peuvent être intégrés dans les preuves, sans attendre de bifurcation. Les développeurs principaux se dirigent déjà dans cette direction : en octobre, ils ont rejeté l'ajout de précompilation ML-DSA pour Hegotá, préférant un schéma basé sur le hachage. Les frais de bloc ont un plafond : la norme limite les frais des constructeurs à environ 256 Ko par intervalle d'agrégation, peu importe le nombre de signatures à l'intérieur.

Mais c'est encore tôt. L'EIP-8288 est un projet, la dépendance STARK est juste réservée, et les clés d'agrégation et les hachages de dépendance sont toujours marqués « en attente ». Les retours de transaction sont également facturés, et l'auteur admet que cela augmentera le risque d'attaques par déni de service sur le pool de mémoire, affirmant que la fiabilité des preuves récursives est « largement acceptée » mais pas encore prouvée. Coverage indique que cela vise la bifurcation après Hegotá, mais il n'y a aucun calendrier. Cela dépend également de la mise en œuvre des transactions de cadre à Hegotá, qui dépend à son tour de la revalorisation de Glamsterdam en cours de révision.

Finalité, preuves et autres avancées

La finalité d'Ethereum nécessite actuellement environ 16 minutes. Le projet EIP-8453 « découple le consensus » divise cela en deux parties : une chaîne rapide et utilisable, confirmée par un comité d'environ 512 validateurs ; un composant de finalité indépendant, exécuté par tous les validateurs. L'objectif principal est d'accélérer la finalité d'au moins quatre fois. Un objectif à plus long terme est inscrit sur finality.watch : passer d'une exploration de 36 secondes (le site indique « pas une prédiction ») à une étoile polaire de 1 seconde pour le bloc et 2 secondes pour la confirmation finale. Pendant ce temps, la Fast Confirmation Rule permet aux échanges et aux ponts inter-chaînes de réduire le temps de confirmation des dépôts à 12 à 24 secondes.

En remplaçant la réexécution par des preuves, le problème de vitesse est désormais résolu. Le 8 novembre, trois prouveurs ont atteint les normes en temps réel d'Ethproofs sur 4 à 16 GPU de consommation, le coût de preuve par bloc étant d'environ 0,003 à 0,007 USD. Le nouveau goulot d'étranglement est devenu la garantie de sécurité. Le prochain jalon de l'EF est prévu début décembre, avec pour objectif une sécurité prouvable de 128 bits. Comme l'a dit Cody Gunton lors de Devcon, « aucune équipe n'a encore présenté une mise en œuvre de validateur formellement vérifiée ». L'intégration des preuves a été suspendue : Hegotá n'a pas inclus de preuves optionnelles, et le projet de feuille de route a placé les preuves obligatoires dans K*. L'augmentation du plafond de gas est également en attente de bifurcations ultérieures : le réseau principal reste à 60 millions de gas par bloc, Sepolia à environ 200 millions, tandis que l'objectif gigagas est d'atteindre 200 fois le débit d'aujourd'hui.

Les autres avancées peuvent être brièvement mentionnées.

En ce qui concerne les blobs, depuis janvier, l'objectif est de 14, avec un plafond de 21, et entre juin et septembre, environ 4,4 blobs ont été utilisés par bloc, chaque blob coûtant bien moins d'un centime, la capacité dépassant la demande.

Concernant les rollups, la plateforme de données L2BEAT a été renommée ETHBEAT, et la plupart des valeurs des rollups restent au stade 1, Base étant d'environ 14 milliards de dollars et Arbitrum d'environ 9 milliards de dollars.

En matière d'interopérabilité, la zone économique Ethereum a démontré sur devnet les appels atomiques entre L1 et L2, et Gnosis Chain prévoit de rejoindre au printemps 2027.

En ce qui concerne la confidentialité, la pile de portefeuilles Kohaku de l'EF a montré des transferts privés via Privacy Pools et Tornado Cash, le code n'ayant pas encore été audité.

En matière de sécurité, le 29 octobre, Binance a été volé d'environ 6,36 milliards de dollars, attribué à TraderTraitor de Corée du Nord. L'attaque a utilisé 50 autorisations EIP-7702 pré-signées pour vider un portefeuille chaud. TRM Labs a déclaré que cette mise à jour a amplifié l'attaque, mais n'en était pas la cause.

Que regarder ensuite

Il y a plusieurs choses à surveiller.

• Le 12 novembre, l'ACDC #191 et le 19 novembre, l'ACDE #249 discuteront des solutions de correction pour EIP-8037/8038 et fourniront de nouvelles dates pour le testnet Hoodi.
• En janvier 2027, voir si décembre 2028 sera officiellement désigné comme la date limite anti-quantique.
• Si le réseau de développement Hegotá peut faire fonctionner FOCIL et les transactions de cadre simultanément.
• Quel type de registre de clés anti-quantique sera finalement choisi et dans quelle bifurcation il sera intégré.
• Quel type de fonction de hachage et de domaine fini sera finalement utilisé pour leanVM, et si une preuve de fiabilité de son système de preuves peut être fournie.
• En décembre, voir si l'EF peut atteindre le jalon de sécurité zkEVM de 128 bits.

Ethereum sait maintenant comment concevoir sa version anti-quantique. La question ouverte laissée par Mumbai est : peut-elle avancer dans la conception tout en maintenant un rythme de livraison d'une bifurcation majeure tous les huit mois ?