八年投入急轉彎，以太坊為何突然放棄Poseidon？

By: rootdata|2026/08/16 02:00:00

原文標題：《八年投入急轉彎，以太坊為何突然放棄 Poseidon？》
原文作者：ChandlerZ，Foresight News

8 月 13 日，以太坊研究員 Justin Drake 在 X 發文稱，以太坊基金決定在 L1 層放棄 SNARK 友好型哈希算法 Poseidon，轉而採用 SHA2 或 BLAKE2 等傳統哈希函數。

這個決定背後是八年研究、數千萬美元投入的積累，以及對後量子密碼學路線圖的一次重大修正。

Poseidon 自 2019 年推出以來，一直被視為 zkRollup 與 zkVM 等應用的理想哈希方案，它的結構使其在 SNARK 電路中比傳統的基於二進制運算的哈希函數更便宜、更高效。但當後量子安全成為以太坊的硬性要求時，Poseidon 的局限性開始暴露。

Justin Drake 表示，這一轉變得益於突破性的 SNARK 設計進展，即通過「二進制域」運算方式，使傳統哈希函數在 SNARK 電路中的性能可媲美此前專為 SNARK 優化設計的 Poseidon，單台筆記本電腦每秒可完成約 100 萬次傳統哈希調用驗證。

文中介紹，Poseidon 自 2019 年推出以來一直是主流的 SNARK 友好型哈希方案，為 zkRollup 與 zkVM 等應用提供安全保障。Justin Drake 稱，規劃顯示生產級 leanVM 預計將於 2027 年推出，共識層、數據層與執行層的相關部署預計在 2028 年完成，以太坊基金會後量子團隊也在加速推進二進制域相關研究。

為什麼是現在？

傳統哈希長期難以進入 SNARK，主要障礙來自計算語言差異。SHA2、BLAKE2s 和 Keccak 大量使用異或、移位等布爾運算，傳統 SNARK 通常在大素數域上處理算術，模擬每一項位運算會產生高昂約束成本。Poseidon 直接圍繞素數域算術設計，以更少約束換取更高證明速度，代價則是算法歷史較短，需要持續密碼分析。

二進制域把底層數學切換到僅含 0 和 1 的最小素域，並用二進制擴域承載更大數據。位運算因此可以直接進入證明系統，SNARK 開始適配傳統哈希，技術重點從設計 SNARK 友好型哈希轉向設計哈希友好型 SNARK。

Jim Posen 與 Benjamin Diamond 2023 年提出的 Binius 展示二進制塔域 SNARK 路徑，Benedikt Bünz、Ron Rothblum 與 William Wang 的 Flock 論文於 2026 年 7 月 29 日上傳 arXiv，其 M4 Max 基準為單核每秒證明 8.2 萬次 BLAKE3 壓縮、4.2 萬次 SHA-256 壓縮和 3 萬次 Keccak 置換，10 核 BLAKE3 吞吐量超過 66 萬次。

Drake 稱，筆記本電腦每秒可證明約 100 萬次傳統哈希調用，開銷約為原生 CPU 布爾計算的 100 倍；SNARK.fast 數日前在 M3 Max 上達到每秒 180 萬次 BLAKE3。

2027 年 leanVM，2028 年三層部署

Poseidon 被放棄的另一個關鍵原因是後量子安全的時間表正在加速，Project Eleven 發布的《The Quantum Threat to Blockchains - 2026 Report》指出，量子計算機的快速發展正對區塊鏈安全構成嚴重威脅。一旦出現「密碼學相關量子計算機」（CRQC），Shor 算法可快速破解 ECDSA（比特幣及多數公鏈採用）和 RSA 等非對稱加密，預計 Q-Day（量子破譯日）可能在 2030 至 2033 年到來，屆時數萬億美元鏈上資產將面臨風險。

由於區塊鏈公鑰長期靜態且無法回滾，遷移難度極大。報告建議立即啟動後量子密碼學（PQC）遷移，包括格基、哈希等抗量子簽名方案，並通過混合方案逐步過渡，以避免量子威脅全面爆發。

Justin Drake 警告稱，AI 在密碼分析方面的能力增強，已經讓格基方案 HAWK 和同源方案 SQIsign 接連遭受打擊。這迫使以太坊基金會將賭注壓在基於哈希的方案上，而這類方案被認為對量子攻擊具有更強的抵禦能力。

此前，以太坊已公布其後量子路線圖，包括 2027 年部署生產級 leanVM，2028 年在共識層、執行層和數據可用性層完成部署。leanVM 是一個專門用於後量子簽名聚合的最小化零知識虛擬機，被視為整個戰略的核心構件。

2026 年 3 月，以太坊基金會推出了 pq.ethereum.org 作為後量子安全資源中心，超過 10 個客戶端團隊已開始每週運行後量子互操作性開發網。基金會還設立了 100 萬美元的 Poseidon Prize 和同等金額的 Proximity Prize，用於推進後量子密碼學研究。Vitalik Buterin 本人也多次強調，後量子安全是以太坊「walkaway test」（可以放心離開的測試）的必要條件，除非以太坊實現量子安全，否則不能「僵化」。

哈希函數切換不會改變以太坊後量子路線的總體結構，驗證者目前使用的 BLS 簽名依賴椭圓曲線，未來方案仍以 leanXMSS 等哈希簽名為基礎，再由 leanVM 把大量簽名壓縮成每個區塊的一份小型證明。以太坊官方頁面此前給出的對比是，leanXMSS 簽名約 3000 字節，BLS 簽名僅 96 字節，leanVM 的數據壓縮目標約為 250 倍。

SHA2 或 BLAKE2s 擁有更長的公開分析歷史，EF 可以減少等待 Poseidon 參數經受多年密碼分析的時間。Drake 給出的 strawmap 指向 2027 年生產級 leanVM，以及 2028 年共識層、數據層與執行層部署。

同行競速，Solana 選定 Falcon

以太坊並非唯一在為後量子時代做準備的主流公鏈，Solana 基金會於 2026 年 4 月發布了後量子安全路線圖，其核心開發者團隊 Anza 和 Jump Crypto 的 Firedancer 在獨立研究後，不約而同地選定了同一種後量子簽名方案 Falcon。

Falcon 是 NIST 標準化的後量子簽名方案之一，其簽名緊湊，適合 Solana 這類高吞吐量區塊鏈環境。

兩大驗證器客戶端開發團隊 Anza 與 Firedancer 經獨立研究後一致選定後量子數字簽名方案 Falcon，並已分別在 GitHub 上公開初步實現代碼。目前路線圖分三步：持續評估 Falcon 及替代方案；量子威脅成真時為新錢包採用後量子方案；最終將現有錢包整體遷移。此外，Blueshift 的 Solana Winternitz Vault 已在生態中運行逾兩年，今年早些時候獲谷歌量子 AI 白皮書引用為行業前沿案例。

Solana 基金會表示，量子計算構成實質威脅仍需數年，當前無需立即遷移，但研究、基礎設施與生態協調均已就緒，一旦時機成熟可快速啟動，預計對網絡性能不會產生顯著影響。

Starknet 是當前最接近 EF 新方向的對照。StarkWare 6 月 30 日公布路線圖，將分三階段進行，第一階段將用 BLAKE2 取代 Pedersen 哈希算法，用於狀態承諾、合約地址和網絡配置，同時還將引入後量子共識簽名，例如 Falcon-512；第二階段側重於傳統合約的遷移工具，而最後階段則著重解決仍然與以太坊相關的外部依賴項，包括橋接系統調用和 blob 數據可用性；第三階段則取決於以太坊自身的遷移路徑。

相對於其他家公鏈，以太坊選擇了一條「先立標準、後動代碼」的路徑。放棄 Poseidon 轉向 SHA2/BLAKE2，其實是在後量子時代選擇更成熟、更被廣泛驗證的密碼學基元。