以太坊轉型的關鍵：STARK 遞歸證明的未來十年

未來十年以太坊必須滿足後量子安全、隱私保護和可擴展性三大要求。

撰文：_deanstef

以太坊正接近一個拐點。

它的第一個十年驗證了一個假設：公有區塊鏈能夠大規模支持有意義的應用。智能合約、DeFi、穩定幣、appchains 和代幣化，將以太坊從一個實驗性的去中心化計算平台，轉變為不斷增長的數字經濟的結算層。

第二個十年帶來了不同的挑戰。以太坊必須承載社會實際依賴的經濟活動。穩定幣正在成為支付軌道，代幣化資產正在走出試點階段，機構正在直接基於公共軌道進行構建。

隨著以太坊成為關鍵基礎設施，它必須為未來數年進行加固，成為一個健壯、安全、高效，且在（去中心化）規模上運行的計算系統。具體而言，以太坊必須：

• 抵禦尚不存在的威脅，尤其是密碼學相關量子計算機（CRQCs）。
• 具備足夠的隱私性，以滿足真實經濟活動對機密性的要求。
• 在不放棄最初成就它的中立性、開放性和抗審查性的前提下實現可擴展性。

以太坊基金會的使命最近通過 CROPS 明確了這一願景。

以太坊必須「最重要的是保持抗審查、開源、隱私和安全」。

隨著採用的增長，這些條件並不會變得不那麼重要；它們恰恰成為採用所依賴的基礎。其中兩項------隱私和安全------恰恰處於當前的研究前沿，這並非偶然。

以太坊 strawmap 描繪了一條漸進式、多年期的演進路線，通往 Lean Ethereum------一種依賴簡潔密碼學證明、將網絡擴展到 10K TPS 並升級到後量子原語，同時不放棄去中心化的協議重新設計。該技術棧在很大程度上圍繞 STARKs（可擴展透明知識論證）構建。STARK 是一種基於哈希的、透明的證明，無需可信設置；值得注意的是，它可以被聚合，從而將許多不同的計算折疊到單個證明中。

沿著這一軌跡，我看到了三大研究支柱：

• 後量子安全，無處不在：在遷移壓力到來之前，為協議中每一個易受量子攻擊的層做好應對 CRQC 的準備。
• 可編程隱私：提供與可驗證性和合規性共存的機密性，並將其內置於基礎設施本身。
• 擴展：保持共識、最終性和驗證足夠高效，以便前兩者可以在不降低網絡性能的情況下部署。

前兩者的密碼學成本更高，其採用成敗取決於系統承受這種複雜性的能力。第三條軌道是粘合劑。後量子原語和隱私原語已經存在，但研究問題在於如何讓它們能夠大規模使用。事實上，即使是最優化的後量子原語和隱私原語，也會比它們所取代的傳統密碼學更重，因此很難被採用到像以太坊這樣複雜的體系之中。要讓它們變得可負擔，歸根結底只有一個槓桿：使用 STARK 證明進行遞歸證明。本文的其餘部分將沿著這條鏈條展開。

後量子安全

向後量子（PQ）以太坊的過渡必須覆蓋現有協議中每一個易受量子攻擊的組件。正如 Vitalik 的路線圖和最近一篇 Nethermind 量子風險文章所總結的那樣，這些組件涵蓋 ECDSA 簽名、BLS 共識證明、用於 blob 的 KZG 承諾，以及 rollup 用於在 L1 上結算的基於配對的 SNARK。它們的共同點在於椭圓曲線離散對數問題的難度，而 Shor 算法可以在 CRQC 上以多項式時間解決這一問題。

替代候選方案分布在一個光譜上：

• 基於格（Lattice）的簽名方案（例如 ML-DSA、Falcon）保持簽名相對較小，但在鏈上驗證成本較高，超過一百萬 Gas，且其聚合理論仍不成熟。
• 基於哈希的簽名方案僅依賴於底層哈希函數的安全性，但以體積為代價：簽名大小達數 KB，如今驗證成本可能高達數十萬 Gas。它們分為有狀態變體，如 XMSS，體積較小但要求簽名者跟蹤密鑰狀態；以及無狀態變體，如 SPHINCS+，體積更大、驗證更昂貴，但無需管理狀態。
• STARK 證明系統基於隨機預言機模型中的哈希函數。它們是透明的，天生後量子，且不需要可信設置。它們付出的代價是體積和驗證成本。一個 STARK 攜帶數千個 Merkle 路徑哈希，因此每個證明的大小達到數十到數百 KB；而使用當今的證明者，鏈上驗證成本可達數百萬 Gas 單位，比基於配對的 SNARK 的 Gas 成本高出一個數量級。

總體而言，在以太坊協議的不同層採用 PQ 原語，主要挑戰來自更大的簽名和證明、更昂貴的驗證，以及更複雜的協議：

共識

以太坊驗證者集合規模是動態的，每個 slot 大約有 1/32 的驗證者進行證明（attest）。BLS 聚合將其投票在鏈上壓縮為少至 8 個 96 字節的簽名，而正是這種聚合，才讓如此規模的驗證者集合變得可行。然而，在 CRQC 面前，驗證者的私鑰可以從其公鑰中推導出來，因此，掌握了驗證者公鑰的對手可以偽造他們的證明，並最終化一條無效鏈。一個自然的後量子替代方案是有狀態的哈希方案，如 XMSS，因為驗證者簽署共識時可以安全地管理自己的密鑰狀態。然而，XMSS 無法像 BLS 那樣聚合；在約 100 萬驗證者的情況下，每個 slot 需要單獨攜帶約 31,000 個 PQ 簽名。按每個簽名約 3 kB 計算，每個 slot 的數據量約為 90 MB，比當今聚合所能達到的水平高出幾個數量級。在單 slot 最終性的場景下，情況會更糟。若要在各自的 slot 內完成每個區塊的最終化，就需要整個驗證者集合在每個 slot 都進行證明，產生的簽名數據量將高達 GB 級別。

帳戶

用戶帳戶使用 ECDSA 進行身份驗證。帳戶一旦發起交易，其公鑰就會暴露，因此 CRQC 可以恢復私鑰，以所有者的名義簽署交易，從而隨意耗盡資金。替換它是不可避免的，但外部擁有帳戶（EOA）無法像驗證者那樣管理簽名狀態，因此它們需要無狀態方案，而這會將簽名驗證成本推向執行層。目前沒有明確的贏家。EF 的工作集中在無狀態哈希方案 SPHINCS+ 上，儘管基於格的方案仍在考慮之中，這在很大程度上取決於驗證成本。SPHINCS+ 在 EVM 上的驗證成本很高，這正是為什麼一些工作致力於讓無狀態方案本身變得更便宜：SPHINCS-minus 是一個 keccak 原生的驗證器；而其他工作則繞開它，使用帳戶抽象來輪換一次性密鑰，使每個簽名可以使用便宜得多的一次性方案。

Rollups

Rollup 通過在 L1 上發布有效性證明來結算。當今最便宜的驗證方式是基於配對的 SNARK：證明只有幾百字節，驗證成本約 200--500k Gas。CRQC 會破壞它們所依賴的配對假設，因此攻擊者可以偽造從未發生的狀態轉換的有效性證明，而 L1 會接受它，最終化欺詐性的 rollup 狀態及其背後的提款。它還使許多 rollup 赖以保持低成本的技巧失效，例如將大型 STARK 包裝在一個小型最終 SNARK 中進行結算，因為該外層包裝本身也是基於配對的。沒有它，rollup 必須直接在 L1 上驗證 STARK，成本達數百萬 Gas 單位，比 SNARK 高出一個數量級以上。保持 STARK 驗證的可負擔性目前是一個開放的研究問題。

數據可用性

以太坊 blob 使用 KZG 承諾，這是一種多項式承諾方案，為每個 128 kB blob 生成一個 48 字節的承諾。KZG 便於數據可用性採樣，因為它提供 (i) 恆定大小的開口，因此每個樣本驗證成本低，(ii) 線性，支持 2D 採樣，以及 (iii) 可修復性，損壞的編碼可以基於同一承諾進行修復。不幸的是，KZG 也是基於配對的，因此 CRQC 可以偽造開口，將不可用數據冒充為可用數據。量子安全的替代品必須來自基於哈希的承諾，問題在於 KZG 的保證還能保留多少。現有的後量子候選方案在計算和網絡效率方面面臨不同的權衡，具有更大的承諾大小和不斷增加的證明與驗證成本。FRIDA 是一種基於 FRI 的透明 DAS 方案，構建在 1D Reed--Solomon 碼之上，其採樣器測試的是與碼字的接近度。它的代價是帶寬：KZG 樣本只需攜帶一個恆定大小的開口，而每個 FRIDA 樣本都附帶完整的接近度證明，因此每個樣本要大得多。ZODA 是另一種替代方案，用於 2D 編碼，它使每個被採樣的行和列自認證，並實現與被承諾數據的精確綁定，但該保證是逐樣本且局部的（它只覆蓋節點查詢過的位置），並且採樣需要下載編碼的整行和整列。第三種方法將編碼包裝在 STARK 中。其思路是在 zkVM 中證明被承諾的數據是一個有效的 Reed--Solomon 碼字。那麼一個證明就能精確地認證整個編碼------不是接近度，也不是逐個樣本------並且無需可信設置。代價是證明吞吐量。EF 的 leanDA 設計和基準測試研究對該方法進行了測量：在當今單台高端 CPU 上，吞吐量約為 0.9 MiB/s，偶爾達到約 1 MiB/s。目前的研究正致力於讓其足夠快。

研究方向

彌合 PQ 原語採用中的差距，將是未來幾年研究工作的重點。我們可以將相關研究工作歸納為三個跨領域的方向：

協議效率，在兩個方面：

• PQ 簽名聚合。 目標是將許多大型 PQ 簽名折疊到單個證明中，讓它們在協議的關鍵路徑（尤其是共識）上保持低成本。EF 的 leanVM 已經能夠以約每秒 1,480 個簽名的速度將 XMSS 聚合為小於 200 KiB 的證明，並且這些證明可以遞歸地重新組合，因此簽名可以並行聚合，再合併到一起。開放的問題在於：能否設計出一種協議，使其在邁向單 slot 最終性（即整個驗證者集合在每個 slot 都進行證明）的過程中，以及在儘可能短的 slot 時間下仍然可行；此外，還有由誰生成這些證明，以及相應的激勵。
• 交易身份驗證。Frames（EIP-8141） 允許帳戶攜帶自己的代碼來授權交易，將簽名驗證從協議層移出，放入帳戶自定義的邏輯中。身份驗證不再綁定到固定的 ECDSA 簽名，每個帳戶可以選擇自己的方案。需要探索的方向是這種驗證如何運行：是通過為每種方案設置的預編譯在鏈上進行，還是通過後量子、可聚合的證明。後者由 EIP-8288 探索，它將許多交易的簽名證明折疊為一個，即使 PQ 交易數量增長，也能讓每區塊證明大小和 mempool 帶寬保持平穩。

密碼學效率。 縮減 PQ 簽名本身的大小和驗證成本；例如，SPHINCS-minus 在 EVM 上的驗證成本約為 94k Gas。理想情況下，研究社區應該設計出對 zk 友好的簽名，使其能夠在 zkVM 中被高效證明（EF 在 leanSPHINCS 上的工作正朝著這個方向發展）。

證明基礎設施。 PQ 原語的證明成本主要由底層哈希操作決定。證明標準哈希函數（例如 Keccak、SHA）是非原生操作，必須進行算術化，從而帶來計算開銷。正在探索兩條出路：SNARK 友好的哈希，如 Poseidon（速度快，但經受的實戰檢驗較少），以及直接處理非原生操作的證明系統，這樣，標準密碼學就可以在不進行昂貴字段模擬的情況下被證明。對於後者，研究進展迅速，最近的工作如 Zinc+ 和 整數上的模承諾。

後量子原語已經存在，但它們的數據量更大、驗證成本更高。研究目標是在當前協議層面使它們變得實用。例如，公開 mempool 中非常大的簽名會使每個客戶端必須存儲和驗證的數據量爆炸式增長，而驗證這些簽名會花費更多 Gas，給用戶和驗證者都帶來負擔。關鍵技術集中在 STARK 證明上，它可以被高效聚合，將數據開銷和驗證複雜度從 O(n) 推向 O(1)。客戶端不再處理和驗證 n 個不同的 PQ 簽名，而是只需處理一個聚合證明。而正是同樣的屬性解鎖了擴展，這正是我們接下來要討論的。

可編程隱私

以太坊建立在徹底的透明之上，但隨著全球金融上鏈，隱私變得不可妥協，而目前這一點尚未實現。現有解決方案在兩個方面存在不足。有些缺乏機構用例所需的可編程性，在機構用例中，強大的機密性必須與可證明的合規性共存，因為對機構而言，兩者是互補的，而不是對立的。另一些則過於繁瑣而難以採用：用戶體驗不佳、成本更高，有時還需要額外的信任假設。

面向消費者的屏蔽池，如 RAILGUN 和 Privacy Pools，為普通錢包帶來機密性；而面向企業的平台，如 Paladin，為機構帶來可編程、合規就緒的隱私。但目前還沒有一個方案能同時做到機構級和像普通錢包一樣易用；而且，使用其中任何一個，仍然意味著要處理鏈下狀態（如 Merkle 樹、無效器和密碼學密鑰），並為每個操作生成零知識證明。Vitalik 的最大簡單性 L1 隱私路線圖 和 pcaversaccio 的隱私路線圖 很好地總結了以太坊上現有的隱私研究方向。這些方向可歸納為四個更高層次的維度：

可用性

這裡有兩個問題。首先，構建一筆隱私交易應該感覺像發送普通交易一樣，但今天它需要專門構建的交易、需要跟蹤的鏈下狀態，以及需要生成的零知識證明。其次，它應該成本低廉，但一筆隱私轉帳捆綁了一個 SNARK，因此比公開轉帳攜帶更多的數據和更高的驗證成本，而一旦加入後量子簽名和證明，這一差距只會進一步擴大。像 Kohaku 和 Paladin 這樣能夠隱藏這種複雜性的標準化框架，正在開始解決第一個問題，儘管兩者都仍處於早期階段，且正在積極開發中。第二個問題的關鍵在於證明聚合（提議為 EIP-8288），這是一種經濟高效的方式，可以將許多交易的證明合併為一個，並分攤驗證成本。

無需信任性與抗審查性

今天許多屏蔽協議依賴中繼者（relayers）代表用戶提交交易，這是一個能夠審查、拖延或去匿名化的受信任中間人。消除這種依賴是目標。Frame 交易（EIP-8141）是墊腳石：它們將「誰授權交易」與「誰支付 Gas、如何執行」解耦，因此付款方可以與簽名方不同，屏蔽支出不再需要一個資金充足、與身份關聯的帳戶才能上鏈。兩個互補的部分填補了這一空白。帶密鑰的隨機數 EIP-8250 提供獨立的隨機數域，因此同一發送者的屏蔽操作不會相互衝突；最近根（EIP-8272）則允許交易聲明其證明所基於的 Merkle 根，因此隨著樹的推進，證明仍然有效。它們共同為屏蔽交易提供了一個穩定、協議內的驗證參考，因此其有效性不依賴於快速變化的狀態，任何人都可以異步進行檢查。至於強制包含列表 FOCIL（EIP-7805），包含者（includers）可以獨立驗證該交易的有效性，並請求將其包含，從而提供基於中繼者的方法無法提供的抗審查性保證。

數據檢索

讀取與寫入一樣困難。私有狀態（更技術地說，即隱私協議使用的加密筆記）並沒有以明文形式標明接收者，因此客戶端必須掃描和存儲大量數據，僅僅為了找到自己收到的支付；而每次向 RPC 發起查詢，都会泄露它關心哪些數據，進而泄露這些數據屬於誰。同樣的無中間人原則也適用。私有信息檢索（PIR）將允許客戶端在不泄露查詢的情況下從 RPC 讀取，而不經意消息檢測方案則允許它找到自己的筆記，而無需掃描所有內容。然而，效率上的權衡和有限的成熟度，使得這些解決方案的採用仍是一個活躍的研究領域。

協議內隱私

最具雄心的方向是將隱私轉帳內置到協議本身，從一開始就納入 PQ 設計約束，這樣屏蔽餘額就不會暴露於「先收集、後解密」的風險。挑戰是嚴峻的------從在 PQ 基礎上重建整個密碼學棧（承諾、無效器、密鑰封裝、簽名），到在硬件錢包上生成證明------這些挑戰在走向原生後量子私有 ETH 中得到了很好的概述。

與後量子安全一樣，所有四個方向都依賴廉價的證明和聚合，而一旦應用 PQ 約束，每一個都會變得更難。隱私正在成為基礎設施本身的一種能力，而不是事後附加在頂層的應用程序。

難題與第三支柱

這兩個支柱有一個共同的棘手特性：它們在密碼學上代價高昂。

1. PQ 簽名比它們所取代的椭圓曲線方案更大、更昂貴。
2. 隱私協議端到端依賴繁重的證明，這增加了用戶的複雜度和成本。

若以協議規模部署，兩者都會提高網絡上每個節點的驗證成本。

同一個答案不斷浮現。後量子簽名折疊進遞歸 STARK，量子安全數據可用性將其編碼包裝進一個 STARK，隱私轉帳將它們的證明批量打包進另一個 STARK，而 rollup 已經在以這種方式結算。反覆出現的問題是：我們如何負擔得起更強的密碼學？這個問題每次都歸結為一個更聚焦的問題：

我們能以多低的成本、多高的效率來聚合和驗證 STARK？

擴展基礎層

以 rollup 為中心的路線圖已經將執行從 L1 移出，讓以太坊專注於共識、結算和數據可用性。但擴展不能在 Layer 2 結束。每個 rollup 都繼承了基礎層提供的一切：其共識、最終性、驗證和數據可用性，因此改進基礎層，就是改進構建於其上的一切。

我們專注於沿兩個軸擴展：執行和共識 *，而在這兩者上，起決定作用的槓桿是同一個。遞歸證明和聚合可以將大量證明，或大量昂貴的密碼學檢查，表示為單個簡潔的證明。因為 STARK 可以驗證其他 STARK，這些聚合可以無限組合；又因為遞歸會將每一層折疊為固定大小的檢查，最終證明的驗證成本幾乎不會隨著其折疊的證明數量而增長，因此每個節點只需檢查一個證明，而不是數千個。

執行

執行，就是用更少的時間處理更多的交易。證明聚合讓執行客戶端可以將大量交易的驗證壓縮到單個 STARK 中，而這些交易不必屬於同一種類型。後量子簽名驗證、隱私轉帳和 rollup 結算都可以折疊到同一個聚合中。這就是為什麼 Frame 交易------它允許帳戶定義自己的交易驗證邏輯，而不是硬編碼簽名------在與證明聚合結合時，對執行層至關重要。每個交易通過 Frame 將所需的檢查聲明為一項義務，構建者在一個遞歸 STARK 中處理整個批次，而不是讓每個節點內聯驗證每一項檢查。提議的用於 PQ 簽名和 STARK 聚合的 Frame 類型（EIP-8288）使這一點變得具體，成本「僅由構建者和 mempool 支付，而不是由所有驗證節點支付」；同樣的想法也在證明量增長時讓 mempool 帶寬保持恆定。

共識

共識本身同時包含多個問題，而 STARK 對每一個都有幫助。

吞吐量

生成更大的區塊，而不提高驗證成本。一旦驗證者檢查有效性證明，而不是重新執行區塊，建構者就可能在扣留底層數據的同時發布有效證明，因此必須顯式保證數據可用性。blocks-in-blobs 方向將交易打包到 blob 中，驗證者對可用性進行抽樣，而不是下載完整負載；提議者的 STARK 則旨在證明區塊被正確執行，並且被如實編碼。這樣，驗證成本隨證明擴展，而不是隨區塊大小擴展。

Slot 時間

通過將可用鏈與最終性機制解耦，來縮短區塊之間的間隔。一個隨機抽樣的小型委員會在關鍵路徑上持續生成區塊，如幾百個驗證者的快速 LMD-GHOST 層和解耦共識設計中所呈現的那樣；而完整的驗證者集合則在關鍵路徑之外並行地完成最終性。每一步涉及的驗證者更少，意味著熱路徑上的 STARK 聚合更少、slot 時間更短。

最終性

將當今約十六分鐘的最終性時間縮短，例如通過單輪最終性，從關鍵路徑中移除一輪投票。

這三個都與 PQ 要求相衝突。一旦證明（attestations）轉向無法像 BLS 那樣聚合的基於哈希的簽名，上述任何一項改進，在合理的帶寬預算內都將變得極其難以實現。

STARK 再次成為出路：在目標 slot 時間內壓縮和聚合整個驗證者集合的證明。極簡鏈設計將同樣的技術推進到共識狀態本身：讓每個驗證者證明自己的餘額和狀態，將每個驗證者的狀態縮減到幾個字節，這是一條通往數百萬驗證者的道路。

這正是遞歸 STARK 成為協議底層基礎的地方。將這些部分組合在一起------執行聚合、blocks-in-blobs 證明和聚合的後量子證明------是研究下一步必須前進的方向。

* 第三個軸是擴展數據層，但這與 PQ DA 研究工作嚴格相關。

展望未來

路線圖是不確定的，研究從來不是線性的。但有些依賴關係看起來是堅實的。

遞歸 STARK 聚合使更強的密碼學變得可負擔。更強的密碼學使後量子安全和隱私保護交易在以太坊上變得實用。因此，以太坊成為可用於真實經濟活動的基礎設施，而不犧牲其開放性。然而，這些更強的原語能否變得實用，並沒有保證。

STARK 聚合能否承載以太坊，取決於少數幾個具體且仍然開放的問題：

• 聚合異構簽名。在同一個聚合中證明並組合不同的 PQ 簽名，例如在同一個 STARK 中聚合基於哈希的簽名和基於格的簽名。帳戶層不會選定單一方案，因此聚合必須與具體方案無關。
• 高效地證明哈希。證明成本由底層哈希主導，吞吐量距離需求仍相去甚遠。這一權衡在於：在非原生域上證明經過實戰檢驗的哈希（如 Keccak 和 SHA）會帶來算術化開銷；而 zk 友好的哈希（如 Poseidon2）證明成本低，但受到的密碼分析較少。
• 跨域聚合。將不同種類的 STARK 折疊到一個遞歸證明中------從 PQ 簽名驗證、隱私轉帳到 rollup 狀態轉換------使整個堆棧共享同一次驗證。
• 讓聚合適應共識。直面共識的時序要求：在單個 slot 內、且 slot 時間不斷縮短的條件下，聚合完整的驗證者集合，並找到委員會大小、slot 長度和最終性之間的最佳平衡點。
• 協議就緒性。確保承載這些聚合的基礎設施同時存在於 mempool 層面（例如使用 Frame 和 EIP-8288）和共識層面：在百萬驗證者規模下，每個驗證者的 PQ 簽名 STARK 證明本身也必須被聚合，就像今天的 BLS 簽名一樣。
• 把激勵搞對。聚合只是轉移了成本，並沒有消除它：證明工作被集中到區塊建構者身上，這引發了關於激勵和中心化的現實問題。

構建這個基礎設施不是支線任務，而是主線任務。原語已經存在，而將它們轉化為協議能夠真正運行的東西，趕在終將迫使我們正視這一問題的遷移壓力到來之前，正是未來幾年所需要的.