Kunci Transformasi Ethereum: Masa Depan Pembuktian Rekursif STARK dalam Sepuluh Tahun ke Depan

Dalam sepuluh tahun ke depan, Ethereum harus memenuhi tiga tuntutan utama: keamanan pasca-kuantum, perlindungan privasi, dan skalabilitas.

Ditulis oleh: _deanstef

Ethereum sedang mendekati titik balik.

Sepuluh tahun pertamanya telah membuktikan sebuah hipotesis: blockchain publik dapat mendukung aplikasi yang berarti dalam skala besar. Kontrak pintar, DeFi, stablecoin, appchains, dan tokenisasi telah mengubah Ethereum dari platform komputasi terdesentralisasi yang eksperimental menjadi lapisan penyelesaian ekonomi digital yang terus berkembang.

Sepuluh tahun kedua membawa tantangan yang berbeda. Ethereum harus mendukung aktivitas ekonomi yang benar-benar bergantung pada masyarakat. Stablecoin semakin menjadi jalur pembayaran, aset tokenisasi mulai keluar dari fase percobaan, dan lembaga-lembaga mulai membangun langsung di jalur publik.

Dengan Ethereum menjadi infrastruktur kunci, ia harus diperkuat untuk tahun-tahun mendatang, menjadi sistem komputasi yang kuat, aman, efisien, dan beroperasi pada skala (terdesentralisasi). Secara khusus, Ethereum harus:

• Melindungi dari ancaman yang belum ada, terutama komputer kuantum terkait kriptografi (CRQC).
• Memiliki privasi yang cukup untuk memenuhi kebutuhan kerahasiaan aktivitas ekonomi nyata.
• Mencapai skalabilitas tanpa mengorbankan netralitas, keterbukaan, dan ketahanan terhadap sensor yang awalnya membuatnya berhasil.

Misi Yayasan Ethereum baru-baru ini mengklarifikasi visi ini melalui CROPS.

Ethereum harus "yang paling penting adalah tetap tahan sensor, open-source, privasi, dan aman."

Seiring dengan pertumbuhan adopsi, syarat-syarat ini tidak akan menjadi kurang penting; mereka justru menjadi dasar yang diandalkan untuk adopsi. Dua di antaranya—privasi dan keamanan—berada di garis depan penelitian saat ini, dan ini bukan kebetulan.

Peta jalan Ethereum menggambarkan jalur evolusi yang bertahap dan bertahun-tahun menuju Lean Ethereum—sebuah sistem yang bergantung pada pembuktian kriptografi yang ringkas, memperluas jaringan hingga 10K TPS dan meningkatkan ke protokol pasca-kuantum, tanpa mengorbankan desain protokol terdesentralisasi. Tumpukan teknologi ini sebagian besar dibangun di sekitar STARKs (Scalable Transparent Argument of Knowledge). STARK adalah pembuktian berbasis hash yang transparan, tanpa memerlukan pengaturan yang dapat dipercaya; yang perlu dicatat, ia dapat digabungkan, sehingga banyak perhitungan yang berbeda dapat dilipat menjadi satu pembuktian.

Di sepanjang jalur ini, saya melihat tiga pilar penelitian utama:

• Keamanan pasca-kuantum yang menyeluruh: Mempersiapkan setiap lapisan dalam protokol yang rentan terhadap serangan kuantum sebelum tekanan migrasi datang.
• Privasi yang dapat diprogram: Menyediakan kerahasiaan yang dapat hidup berdampingan dengan verifikasi dan kepatuhan, dan mengintegrasikannya ke dalam infrastruktur itu sendiri.
• Skalabilitas: Mempertahankan konsensus, finalitas, dan verifikasi yang cukup efisien agar dua yang pertama dapat diterapkan tanpa mengurangi kinerja jaringan.

Dua yang pertama memiliki biaya kriptografi yang lebih tinggi, dan keberhasilan adopsinya tergantung pada kemampuan sistem untuk menanggung kompleksitas ini. Jalur ketiga adalah perekat. Protokol pasca-kuantum dan protokol privasi sudah ada, tetapi masalah penelitian adalah bagaimana membuatnya dapat digunakan secara besar-besaran. Faktanya, bahkan protokol pasca-kuantum dan privasi yang paling dioptimalkan akan lebih berat daripada kriptografi tradisional yang mereka gantikan, sehingga sulit untuk diadopsi dalam sistem kompleks seperti Ethereum. Untuk membuatnya terjangkau, pada akhirnya hanya ada satu pengungkit: menggunakan pembuktian STARK untuk pembuktian rekursif. Sisa artikel ini akan menguraikan rantai ini.

Keamanan Pasca-Kuantum

Transisi ke Ethereum pasca-kuantum (PQ) harus mencakup setiap komponen yang rentan terhadap serangan kuantum dalam protokol yang ada. Seperti yang dirangkum dalam peta jalan Vitalik dan artikel risiko kuantum Nethermind baru-baru ini, komponen ini mencakup tanda tangan ECDSA, bukti konsensus BLS, komitmen KZG untuk blob, dan SNARK berbasis pasangan yang digunakan untuk menyelesaikan di L1. Kesamaan mereka terletak pada kesulitan masalah logaritma diskrit kurva elips, yang dapat diselesaikan oleh algoritma Shor dalam waktu polinomial pada CRQC.

Alternatif kandidat tersebar di spektrum:

• Skema tanda tangan berbasis kisi (Lattice) (misalnya ML-DSA, Falcon) menjaga tanda tangan tetap relatif kecil, tetapi biaya verifikasi di rantai cukup tinggi, melebihi satu juta Gas, dan teori agregasinya masih belum matang.
• Skema tanda tangan berbasis hash hanya bergantung pada keamanan fungsi hash dasar, tetapi dengan biaya ukuran: ukuran tanda tangan mencapai beberapa KB, dan saat ini biaya verifikasinya bisa mencapai puluhan ribu Gas. Mereka dibagi menjadi varian yang memiliki status, seperti XMSS, yang lebih kecil tetapi mengharuskan penandatangan untuk melacak status kunci; dan varian tanpa status, seperti SPHINCS+, yang lebih besar, lebih mahal untuk diverifikasi, tetapi tidak memerlukan pengelolaan status.
• Sistem pembuktian STARK berbasis fungsi hash dalam model oracle acak. Mereka transparan, secara inheren pasca-kuantum, dan tidak memerlukan pengaturan yang dapat dipercaya. Biaya yang dibayar adalah ukuran dan biaya verifikasi. Sebuah STARK membawa ribuan hash jalur Merkle, sehingga ukuran setiap pembuktian mencapai puluhan hingga ratusan KB; sedangkan dengan pembuktian saat ini, biaya verifikasi di rantai dapat mencapai jutaan unit Gas, lebih tinggi satu urutan besarnya dibandingkan biaya Gas SNARK berbasis pasangan.

Secara keseluruhan, penerapan protokol PQ di berbagai lapisan protokol Ethereum, tantangan utama berasal dari ukuran tanda tangan dan pembuktian yang lebih besar, verifikasi yang lebih mahal, dan protokol yang lebih kompleks:

Konsensus

Ukuran kumpulan validator Ethereum bersifat dinamis, dengan sekitar 1/32 validator melakukan pembuktian setiap slot. Agregasi BLS mengompresi suara mereka di rantai menjadi hanya 8 tanda tangan 96-byte, dan justru agregasi inilah yang membuat kumpulan validator sebesar ini menjadi mungkin. Namun, di hadapan CRQC, kunci pribadi validator dapat diturunkan dari kunci publiknya, sehingga lawan yang menguasai kunci publik validator dapat memalsukan pembuktiannya dan akhirnya memfinalisasi rantai yang tidak valid. Alternatif pasca-kuantum yang alami adalah skema hash yang memiliki status, seperti XMSS, karena validator dapat mengelola status kunci mereka dengan aman saat menandatangani konsensus. Namun, XMSS tidak dapat mengagregasi seperti BLS; dalam kasus sekitar satu juta validator, setiap slot perlu membawa sekitar 31.000 tanda tangan PQ secara terpisah. Dengan setiap tanda tangan sekitar 3 kB, jumlah data per slot sekitar 90 MB, jauh lebih tinggi daripada tingkat yang dapat dicapai oleh agregasi saat ini. Dalam skenario finalitas slot tunggal, situasinya akan lebih buruk. Untuk menyelesaikan setiap blok dalam slot masing-masing, seluruh kumpulan validator harus melakukan pembuktian di setiap slot, menghasilkan jumlah data tanda tangan yang bisa mencapai tingkat GB.

Akun pengguna menggunakan ECDSA untuk otentikasi. Setelah akun melakukan transaksi, kunci publiknya akan terungkap, sehingga CRQC dapat memulihkan kunci pribadi dan menandatangani transaksi atas nama pemiliknya, sehingga dapat menghabiskan dana secara sembarangan. Menggantinya adalah hal yang tidak terhindarkan, tetapi akun yang dimiliki secara eksternal (EOA) tidak dapat mengelola status tanda tangan seperti validator, sehingga mereka memerlukan skema tanpa status, yang akan mendorong biaya verifikasi tanda tangan ke lapisan eksekusi. Saat ini tidak ada pemenang yang jelas. Pekerjaan EF terfokus pada skema hash tanpa status SPHINCS+, meskipun skema berbasis kisi masih dalam pertimbangan, yang sebagian besar tergantung pada biaya verifikasi. SPHINCS+ memiliki biaya verifikasi yang tinggi di EVM, itulah sebabnya beberapa pekerjaan berusaha membuat skema tanpa status itu sendiri menjadi lebih murah: SPHINCS-minus adalah validator asli keccak; sementara pekerjaan lain menghindarinya, menggunakan abstraksi akun untuk mengalihkan kunci sekali pakai, sehingga setiap tanda tangan dapat menggunakan skema sekali pakai yang jauh lebih murah.

Rollup menyelesaikan dengan menerbitkan pembuktian validitas di L1. Cara verifikasi termurah saat ini adalah SNARK berbasis pasangan: pembuktian hanya beberapa ratus byte, dengan biaya verifikasi sekitar 200--500k Gas. CRQC akan merusak asumsi pasangan yang mereka andalkan, sehingga penyerang dapat memalsukan pembuktian validitas untuk transisi status yang tidak pernah terjadi, dan L1 akan menerimanya, memfinalisasi status rollup yang menipu dan penarikan di belakangnya. Ini juga membuat banyak trik yang digunakan rollup untuk menjaga biaya rendah menjadi tidak efektif, seperti membungkus STARK besar dalam SNARK akhir kecil untuk penyelesaian, karena pembungkus luar itu sendiri juga berbasis pasangan. Tanpa itu, rollup harus memverifikasi STARK langsung di L1, dengan biaya mencapai jutaan unit Gas, lebih dari satu urutan besarnya dibandingkan SNARK. Mempertahankan keterjangkauan verifikasi STARK saat ini adalah masalah penelitian terbuka.

Blob Ethereum menggunakan komitmen KZG, yang merupakan skema komitmen polinomial, menghasilkan komitmen 48 byte untuk setiap blob 128 kB. KZG memudahkan pengambilan sampel ketersediaan data, karena ia menyediakan (i) ukuran pembukaan yang konstan, sehingga biaya verifikasi setiap sampel rendah, (ii) linier, mendukung pengambilan sampel 2D, dan (iii) dapat diperbaiki, encoding yang rusak dapat diperbaiki berdasarkan komitmen yang sama. Sayangnya, KZG juga berbasis pasangan, sehingga CRQC dapat memalsukan pembukaan, menyamarkan data yang tidak tersedia sebagai data yang tersedia. Alternatif yang aman dari kuantum harus berasal dari komitmen berbasis hash, masalahnya adalah seberapa banyak jaminan KZG masih dapat dipertahankan. Skema kandidat pasca-kuantum yang ada menghadapi berbagai trade-off dalam efisiensi komputasi dan jaringan, dengan ukuran komitmen yang lebih besar dan biaya pembuktian serta verifikasi yang terus meningkat. FRIDA adalah skema DAS transparan berbasis FRI, dibangun di atas kode Reed-Solomon 1D, yang pengambil sampelnya menguji kedekatan dengan kata kode. Biayanya adalah bandwidth: sampel KZG hanya perlu membawa pembukaan dengan ukuran konstan, sementara setiap sampel FRIDA disertai dengan bukti kedekatan lengkap, sehingga setiap sampel jauh lebih besar. ZODA adalah alternatif lain untuk pengkodean 2D, yang membuat setiap baris dan kolom yang diambil sampel menjadi otentikasi sendiri, dan mewujudkan pengikatan yang tepat dengan data yang dijanjikan, tetapi jaminan tersebut bersifat lokal dan per-sampel (hanya mencakup posisi yang ditanyakan oleh node), dan pengambilan sampel memerlukan pengunduhan seluruh baris dan kolom dari encoding. Metode ketiga membungkus encoding dalam STARK. Ideanya adalah membuktikan bahwa data yang dijanjikan adalah kata kode Reed-Solomon yang valid dalam zkVM. Maka satu pembuktian dapat secara tepat mengautentikasi seluruh encoding—bukan kedekatan, bukan per-sampel—dan tanpa memerlukan pengaturan yang dapat dipercaya. Biayanya adalah throughput pembuktian. Desain leanDA EF dan penelitian benchmark mengukur metode ini: pada CPU kelas atas saat ini, throughput sekitar 0,9 MiB/s, kadang-kadang mencapai sekitar 1 MiB/s. Penelitian saat ini sedang berupaya membuatnya cukup cepat.

Menjembatani kesenjangan dalam adopsi protokol PQ akan menjadi fokus pekerjaan penelitian selama beberapa tahun ke depan. Kita dapat mengelompokkan pekerjaan penelitian yang relevan ke dalam tiga arah lintas disiplin:

Efisiensi protokol, dalam dua aspek:

• Agregasi Tanda Tangan PQ. Tujuannya adalah untuk menggabungkan banyak tanda tangan PQ besar menjadi satu bukti, sehingga tetap rendah biaya di jalur kunci protokol (terutama konsensus). LeanVM dari EF sudah mampu mengagregasi XMSS menjadi bukti kurang dari 200 KiB dengan kecepatan sekitar 1.480 tanda tangan per detik, dan bukti ini dapat digabungkan kembali secara rekursif, sehingga tanda tangan dapat digabungkan secara paralel dan kemudian digabungkan. Pertanyaan terbuka adalah: dapatkah kita merancang protokol yang tetap dapat dilakukan dalam proses menuju finalitas slot tunggal (yaitu seluruh kumpulan validator membuktikan di setiap slot), dan dalam waktu slot yang sesingkat mungkin; selain itu, siapa yang menghasilkan bukti ini dan insentif yang sesuai.
• Verifikasi Identitas Transaksi. Frames (EIP-8141) memungkinkan akun membawa kode mereka sendiri untuk mengotorisasi transaksi, memindahkan verifikasi tanda tangan dari lapisan protokol ke dalam logika yang disesuaikan dengan akun. Verifikasi tidak lagi terikat pada tanda tangan ECDSA tetap, setiap akun dapat memilih skema mereka sendiri. Arah yang perlu dieksplorasi adalah bagaimana verifikasi ini berjalan: apakah dilakukan di rantai melalui pra-kompilasi yang ditetapkan untuk setiap skema, atau melalui bukti yang dapat digabungkan pasca kuantum. Yang terakhir dieksplorasi oleh EIP-8288, yang menggabungkan bukti tanda tangan dari banyak transaksi menjadi satu, sehingga meskipun jumlah transaksi PQ meningkat, ukuran bukti per blok dan bandwidth mempool tetap stabil.

Efisiensi Kriptografi. Mengurangi ukuran dan biaya verifikasi tanda tangan PQ itu sendiri; misalnya, biaya verifikasi SPHINCS-minus di EVM sekitar 94k Gas. Idealnya, komunitas penelitian harus merancang tanda tangan yang ramah zk, sehingga dapat dibuktikan secara efisien di zkVM (EF sedang mengerjakan leanSPHINCS ke arah ini).

Infrastruktur Bukti. Biaya bukti dari primitif PQ terutama ditentukan oleh operasi hash dasar. Fungsi hash standar bukti (seperti Keccak, SHA) adalah operasi non-natif, yang harus di-arithmetize, sehingga menambah beban komputasi. Dua jalur sedang dieksplorasi: hash yang ramah SNARK, seperti Poseidon (cepat, tetapi kurang teruji dalam praktik), dan sistem bukti yang menangani operasi non-natif secara langsung, sehingga kriptografi standar dapat dibuktikan tanpa simulasi bidang yang mahal. Untuk yang terakhir, kemajuan penelitian sangat cepat, dengan pekerjaan terbaru seperti Zinc+ dan komitmen modulo pada bilangan bulat.

Primitif pasca kuantum sudah ada, tetapi ukuran data mereka lebih besar dan biaya verifikasi lebih tinggi. Tujuan penelitian adalah untuk membuat mereka praktis di tingkat protokol saat ini. Misalnya, tanda tangan yang sangat besar di mempool publik akan menyebabkan jumlah data yang harus disimpan dan diverifikasi oleh setiap klien meningkat secara eksponensial, dan memverifikasi tanda tangan ini akan menghabiskan lebih banyak Gas, membebani baik pengguna maupun validator. Teknologi kunci berfokus pada bukti STARK, yang dapat digabungkan secara efisien, mengurangi beban data dan kompleksitas verifikasi dari O(n) menjadi O(1). Klien tidak lagi menangani dan memverifikasi n tanda tangan PQ yang berbeda, tetapi hanya perlu menangani satu bukti agregat. Dan sifat yang sama membuka kunci skalabilitas, yang akan kita bahas selanjutnya.

Privasi yang Dapat Diprogram

Ethereum dibangun di atas transparansi yang mendalam, tetapi dengan keuangan global yang berpindah ke rantai, privasi menjadi hal yang tidak bisa ditawar, dan saat ini hal ini belum terwujud. Solusi yang ada memiliki kekurangan di dua aspek. Beberapa kekurangan dalam hal pemrograman yang diperlukan untuk kasus penggunaan institusi, di mana kerahasiaan yang kuat harus berdampingan dengan kepatuhan yang dapat dibuktikan, karena bagi institusi, keduanya saling melengkapi, bukan saling bertentangan. Yang lainnya terlalu rumit untuk diadopsi: pengalaman pengguna yang buruk, biaya lebih tinggi, dan terkadang memerlukan asumsi kepercayaan tambahan.

Kolam penyembunyian yang ditujukan untuk konsumen, seperti RAILGUN dan Privacy Pools, membawa kerahasiaan ke dompet biasa; sementara platform yang ditujukan untuk perusahaan, seperti Paladin, membawa privasi yang dapat diprogram dan siap untuk kepatuhan. Namun, saat ini belum ada satu pun solusi yang dapat melakukan keduanya pada tingkat institusi dan semudah dompet biasa; dan menggunakan salah satu dari keduanya masih berarti harus menangani status off-chain (seperti pohon Merkle, invalidator, dan kunci kriptografi), dan menghasilkan bukti nol-pengetahuan untuk setiap operasi. Peta jalan privasi Vitalik yang paling sederhana untuk L1 dan peta jalan privasi pcaversaccio dengan baik merangkum arah penelitian privasi yang ada di Ethereum. Arah ini dapat diringkas menjadi empat dimensi yang lebih tinggi:

Ketersediaan

Ada dua masalah di sini. Pertama, membangun transaksi privasi harus terasa seperti mengirim transaksi biasa, tetapi saat ini memerlukan transaksi yang dibangun khusus, status off-chain yang harus dilacak, dan bukti nol-pengetahuan yang harus dihasilkan. Kedua, itu harus murah, tetapi satu transfer privasi mengemas satu SNARK, sehingga membawa lebih banyak data dan biaya verifikasi yang lebih tinggi dibandingkan transfer publik, dan setelah menambahkan tanda tangan dan bukti pasca kuantum, kesenjangan ini hanya akan semakin melebar. Kerangka standar seperti Kohaku dan Paladin yang mampu menyembunyikan kompleksitas ini mulai menyelesaikan masalah pertama, meskipun keduanya masih dalam tahap awal dan sedang aktif dikembangkan. Masalah kedua berfokus pada agregasi bukti (diusulkan untuk EIP-8288), yang merupakan cara ekonomis untuk menggabungkan banyak bukti transaksi menjadi satu dan membagi biaya verifikasi.

Ketidakpercayaan dan Ketahanan Terhadap Sensor

Saat ini banyak protokol penyembunyian bergantung pada relayer untuk mewakili pengguna dalam mengirimkan transaksi, yang merupakan perantara tepercaya yang dapat menyensor, menunda, atau menganonimkan. Menghilangkan ketergantungan ini adalah tujuan. Transaksi Frame (EIP-8141) adalah batu loncatan: mereka memisahkan "siapa yang mengotorisasi transaksi" dari "siapa yang membayar Gas, bagaimana pelaksanaannya", sehingga pihak yang membayar dapat berbeda dari pihak yang menandatangani, dan pengeluaran yang disembunyikan tidak lagi memerlukan akun yang memiliki dana yang cukup dan terkait dengan identitas untuk masuk ke rantai. Dua bagian yang saling melengkapi mengisi kekosongan ini. Bilangan acak dengan kunci EIP-8250 menyediakan domain bilangan acak independen, sehingga operasi penyembunyian dari pengirim yang sama tidak saling bertentangan; akar terbaru (EIP-8272) memungkinkan transaksi untuk menyatakan akar Merkle yang menjadi dasar buktinya, sehingga seiring kemajuan pohon, buktinya tetap valid. Keduanya bersama-sama menyediakan referensi verifikasi stabil dalam protokol untuk transaksi penyembunyian, sehingga validitasnya tidak bergantung pada status yang cepat berubah, dan siapa pun dapat memeriksa secara asinkron. Mengenai daftar yang harus disertakan FOCIL (EIP-7805), penyertaan (includers) dapat memverifikasi secara independen validitas transaksi tersebut dan meminta untuk menyertakannya, sehingga memberikan jaminan ketahanan terhadap sensor yang tidak dapat diberikan oleh metode berbasis relayer.

Pengambilan Data

Membaca sama sulitnya dengan menulis. Status pribadi (lebih teknis, yaitu catatan terenkripsi yang digunakan oleh protokol privasi) tidak ditandai dalam bentuk teks biasa untuk penerima, sehingga klien harus memindai dan menyimpan banyak data hanya untuk menemukan pembayaran yang mereka terima; dan setiap kali mengajukan permintaan ke RPC, akan mengungkapkan data mana yang mereka pedulikan, dan dengan demikian mengungkapkan siapa pemilik data tersebut. Prinsip tanpa perantara yang sama juga berlaku. Pengambilan informasi pribadi (PIR) akan memungkinkan klien membaca dari RPC tanpa mengungkapkan permintaan, sementara skema deteksi pesan yang tidak disengaja akan memungkinkan mereka menemukan catatan mereka tanpa harus memindai semuanya. Namun, kompromi efisiensi dan kematangan yang terbatas membuat adopsi solusi ini tetap menjadi bidang penelitian yang aktif.

Privasi Dalam Protokol

Arah paling ambisius adalah membangun transaksi privasi ke dalam protokol itu sendiri, dengan memasukkan batasan desain PQ dari awal, sehingga saldo yang disembunyikan tidak akan terpapar pada risiko "mengumpulkan terlebih dahulu, kemudian mendekripsi". Tantangannya sangat besar------dari membangun seluruh tumpukan kriptografi di atas PQ (komitmen, invalidator, pengemasan kunci, tanda tangan), hingga menghasilkan bukti di dompet perangkat keras------tantangan ini telah dijelaskan dengan baik dalam perjalanan menuju ETH pribadi pasca kuantum yang asli.

Seperti halnya keamanan pasca kuantum, keempat arah ini bergantung pada bukti dan agregasi yang murah, dan setelah menerapkan batasan PQ, masing-masing akan menjadi lebih sulit. Privasi sedang menjadi kemampuan dari infrastruktur itu sendiri, bukan aplikasi yang ditambahkan setelah fakta di lapisan atas.

Masalah dan Pilar Ketiga

Kedua pilar ini memiliki satu sifat rumit yang sama: mereka mahal secara kriptografi.

1. Tanda tangan PQ lebih besar dan lebih mahal dibandingkan skema kurva elips yang mereka gantikan.
2. Protokol privasi bergantung pada bukti yang berat secara end-to-end, yang meningkatkan kompleksitas dan biaya bagi pengguna.

Jika diterapkan pada skala protokol, keduanya akan meningkatkan biaya verifikasi untuk setiap node di jaringan.

Jawaban yang sama terus muncul. Tanda tangan pasca kuantum digabungkan ke dalam STARK rekursif, ketersediaan data yang aman dari kuantum mengenkode dan membungkusnya dalam STARK, transaksi privasi mengemas bukti mereka ke dalam STARK lain, sementara rollup sudah menyelesaikan dengan cara ini. Pertanyaan yang muncul berulang kali adalah: bagaimana kita dapat membiayai kriptografi yang lebih kuat? Pertanyaan ini selalu kembali ke pertanyaan yang lebih terfokus:

Seberapa rendah biaya dan seberapa tinggi efisiensi kita dapat mengagregasi dan memverifikasi STARK?

Memperluas Lapisan Dasar

Peta jalan yang berfokus pada rollup telah memindahkan eksekusi dari L1, memungkinkan Ethereum untuk fokus pada konsensus, penyelesaian, dan ketersediaan data. Namun, skalabilitas tidak dapat berakhir di Layer 2. Setiap rollup mewarisi segala sesuatu yang disediakan oleh lapisan dasar: konsensus, finalitas, verifikasi, dan ketersediaan data, sehingga meningkatkan lapisan dasar berarti meningkatkan segala sesuatu yang dibangun di atasnya.

Kami fokus pada memperluas di sepanjang dua sumbu: eksekusi dan konsensus *, dan pada keduanya, pengungkit yang menentukan adalah yang sama. Bukti rekursif dan agregasi dapat mewakili banyak bukti, atau banyak pemeriksaan kriptografi yang mahal, sebagai satu bukti yang ringkas. Karena STARK dapat memverifikasi STARK lainnya, agregasi ini dapat digabungkan tanpa batas; dan karena rekursi akan melipat setiap lapisan menjadi pemeriksaan berukuran tetap, biaya verifikasi bukti akhir hampir tidak akan meningkat seiring dengan jumlah bukti yang dilipat, sehingga setiap node hanya perlu memeriksa satu bukti, bukan ribuan.

Eksekusi

Eksekusi adalah memproses lebih banyak transaksi dalam waktu yang lebih sedikit. Agregasi bukti memungkinkan klien eksekusi untuk mengompresi verifikasi banyak transaksi ke dalam satu STARK, dan transaksi ini tidak harus berasal dari jenis yang sama. Verifikasi tanda tangan pasca kuantum, transaksi privasi, dan penyelesaian rollup semuanya dapat dilipat ke dalam agregasi yang sama. Inilah sebabnya mengapa transaksi Frame------yang memungkinkan akun mendefinisikan logika verifikasi transaksi mereka sendiri, bukan tanda tangan yang dikodekan secara keras------menjadi sangat penting untuk lapisan eksekusi ketika digabungkan dengan agregasi bukti. Setiap transaksi melalui Frame menyatakan pemeriksaan yang diperlukan sebagai kewajiban, dan pembangun menangani seluruh batch dalam STARK rekursif, bukan membiarkan setiap node memverifikasi setiap pemeriksaan secara inline. Jenis Frame yang diusulkan untuk tanda tangan PQ dan agregasi STARK (EIP-8288) membuat ini menjadi konkret, dengan biaya "hanya dibayar oleh pembangun dan mempool, bukan oleh semua node verifikasi"; ide yang sama juga menjaga bandwidth mempool tetap konstan saat jumlah bukti meningkat.

Konsensus

Konsensus itu sendiri mencakup beberapa masalah, dan STARK membantu dalam setiap masalah tersebut.

Throughput

Menghasilkan blok yang lebih besar tanpa meningkatkan biaya verifikasi. Setelah validator memeriksa bukti validitas, alih-alih menjalankan ulang blok, pembangun dapat menerbitkan bukti yang valid sambil menahan data dasar, sehingga harus secara eksplisit menjamin ketersediaan data. Arah blocks-in-blobs mengemas transaksi ke dalam blob, validator mengambil sampel ketersediaan, alih-alih mengunduh beban penuh; STARK dari proposer bertujuan untuk membuktikan bahwa blok telah dieksekusi dengan benar dan dikodekan dengan akurat. Dengan cara ini, biaya verifikasi berkembang seiring dengan perluasan bukti, bukan seiring dengan ukuran blok.

Waktu Slot

Memperpendek interval antara blok dengan memisahkan rantai yang tersedia dari mekanisme finalitas. Komite kecil yang diambil secara acak terus menghasilkan blok di jalur kritis, seperti yang ditunjukkan dalam lapisan LMD-GHOST cepat dengan ratusan validator dan desain konsensus yang terpisah; sementara kumpulan validator lengkap menyelesaikan finalitas secara paralel di luar jalur kritis. Lebih sedikit validator yang terlibat di setiap langkah berarti agregasi STARK di jalur panas lebih sedikit dan waktu slot lebih pendek.

Finalitas

Memperpendek waktu finalitas saat ini yang sekitar enam belas menit, misalnya melalui finalitas satu putaran, menghapus satu putaran pemungutan suara dari jalur kritis.

Ketiga hal ini bertentangan dengan persyaratan PQ. Setelah bukti (attestations) beralih ke tanda tangan berbasis hash yang tidak dapat digabungkan seperti BLS, setiap perbaikan di atas akan menjadi sangat sulit untuk dicapai dalam anggaran bandwidth yang wajar.

STARK sekali lagi menjadi jalan keluar: mengompresi dan mengagregasi bukti dari seluruh kumpulan validator dalam waktu slot yang ditargetkan. Desain rantai minimal mendorong teknologi yang sama ke status konsensus itu sendiri: memungkinkan setiap validator membuktikan saldo dan statusnya, mengurangi status setiap validator menjadi beberapa byte, yang merupakan jalan menuju jutaan validator.

Inilah tempat STARK rekursif menjadi dasar protokol. Menggabungkan bagian-bagian ini------agregasi eksekusi, bukti blocks-in-blobs, dan bukti pasca-kuantum yang teragregasi------adalah arah yang harus diambil penelitian selanjutnya.

* Sumbu ketiga adalah lapisan data yang diperluas, tetapi ini terkait ketat dengan pekerjaan penelitian PQ DA.

Melihat ke Depan

Peta jalan tidak pasti, penelitian tidak pernah linier. Namun, beberapa ketergantungan tampaknya solid.

Agregasi STARK membuat kriptografi yang lebih kuat menjadi terjangkau. Kriptografi yang lebih kuat membuat keamanan pasca-kuantum dan transaksi yang melindungi privasi menjadi praktis di Ethereum. Oleh karena itu, Ethereum menjadi infrastruktur yang dapat digunakan untuk aktivitas ekonomi nyata tanpa mengorbankan keterbukaannya. Namun, tidak ada jaminan bahwa primitif yang lebih kuat ini dapat menjadi praktis.

Apakah agregasi STARK dapat mendukung Ethereum tergantung pada beberapa pertanyaan spesifik yang masih terbuka:

• Agregasi tanda tangan heterogen. Membuktikan dan menggabungkan tanda tangan PQ yang berbeda dalam agregasi yang sama, misalnya menggabungkan tanda tangan berbasis hash dan tanda tangan berbasis kisi dalam STARK yang sama. Lapisan akun tidak akan memilih satu solusi, sehingga agregasi harus independen dari solusi spesifik.
• Membuktikan hash secara efisien. Biaya pembuktian didominasi oleh hash dasar, dan throughput masih jauh dari permintaan. Trade-off ini adalah: membuktikan hash yang telah teruji di lapangan (seperti Keccak dan SHA) di domain non-pribumi akan membawa biaya aritmatika; sementara hash yang ramah zk (seperti Poseidon2) memiliki biaya pembuktian yang rendah, tetapi kurang terpapar analisis kriptografi.
• Agregasi lintas domain. Menggabungkan berbagai jenis STARK ke dalam satu bukti rekursif------dari verifikasi tanda tangan PQ, transfer privasi hingga transisi status rollup------memungkinkan seluruh tumpukan berbagi satu kali verifikasi.
• Membuat agregasi sesuai dengan konsensus. Menghadapi persyaratan waktu konsensus: dalam satu slot, dan dengan waktu slot yang terus dipersingkat, mengagregasi seluruh kumpulan validator dan menemukan titik keseimbangan terbaik antara ukuran komite, panjang slot, dan finalitas.
• Kesiapan protokol. Memastikan infrastruktur yang mendukung agregasi ini ada di tingkat mempool (misalnya menggunakan Frame dan EIP-8288) dan di tingkat konsensus: pada skala jutaan validator, bukti STARK tanda tangan PQ setiap validator juga harus digabungkan, seperti tanda tangan BLS saat ini.
• Mengatur insentif dengan benar. Agregasi hanya memindahkan biaya, tidak menghilangkannya: pekerjaan pembuktian terpusat pada pembangun blok, yang menimbulkan masalah nyata tentang insentif dan sentralisasi.

Membangun infrastruktur ini bukanlah tugas sampingan, tetapi merupakan tugas utama. Primitif sudah ada, dan mengubahnya menjadi sesuatu yang dapat benar-benar dijalankan oleh protokol, sebelum tekanan migrasi yang pada akhirnya akan memaksa kita untuk menghadapi masalah ini datang, adalah apa yang dibutuhkan dalam beberapa tahun ke depan.