Автор: ChandlerZ, Foresight News
13 августа исследователь Ethereum Джастин Дрейк сообщил в X, что Фонд Ethereum принял решение отказаться от хэш-алгоритма, дружественного к SNARK — Poseidon, на уровне L1 в пользу традиционных хэш-функций, таких как SHA2 или BLAKE2.
В основе этого решения лежат восемь лет исследований, вложения в десятки миллионов долларов и серьезная корректировка дорожной карты постквантовой криптографии.
С момента своего появления в 2019 году Poseidon рассматривался как идеальная хэш-схема для таких приложений, как zkRollup и zkVM, чья структура делала его дешевле и эффективнее в схемах SNARK по сравнению с традиционными хэш-функциями, основанными на бинарных операциях. Однако когда постквантовая безопасность стала жестким требованием для Ethereum, начали проявляться ограничения Poseidon.
Джастин Дрейк заявил, что этот переход стал возможен благодаря прорывным достижениям в дизайне SNARK, а именно благодаря использованию операций в «двоичном поле», что позволило традиционным хэш-функциям в схемах SNARK достичь производительности, сопоставимой с ранее оптимизированным для SNARK Poseidon. Теперь один ноутбук может проверять около 1 миллиона вызовов традиционных хэш-функций в секунду.
В статье отмечается, что с 2019 года Poseidon был основной хэш-схемой, дружественной к SNARK, обеспечивая безопасность для таких приложений, как zkRollup и zkVM. Джастин Дрейк сообщил, что по плану производственная версия leanVM ожидается к 2027 году, а развертывание на уровнях консенсуса, данных и исполнения запланировано на 2028 год. Команда по постквантовым технологиям Фонда Ethereum также ускоряет исследования, связанные с двоичными полями.
Почему именно сейчас?
Долгое время основным препятствием для интеграции традиционных хэш-функций в SNARK была разница в вычислительных парадигмах. SHA2, BLAKE2s и Keccak активно используют булевы операции, такие как XOR и сдвиги, в то время как традиционные SNARK обычно работают с арифметикой в полях больших простых чисел. Моделирование каждой побитовой операции влечет за собой высокие издержки на ограничения. Poseidon был разработан непосредственно вокруг арифметики в простом поле, обеспечивая более высокую скорость доказательства за счет меньшего количества ограничений, но ценой этого стала меньшая история криптоанализа алгоритма.
Двоичное поле переносит базовую математику в минимальное простое поле, состоящее только из 0 и 1, используя двоичные расширения поля для работы с большими данными. Это позволяет напрямую интегрировать побитовые операции в систему доказательств, и SNARK начали адаптироваться к традиционным хэш-функциям. Технологический фокус сместился с разработки хэшей, дружественных к SNARK, к разработке SNARK, дружественных к хэшам.
Представленный в 2023 году Джимом Посеном и Бенджамином Даймондом Binius показал путь к SNARK на башне двоичных полей. Работа Flock Бенедикта Бюнца, Рона Ротблюма и Уильяма Вана была загружена на arXiv 29 июля 2026 года. Ее бенчмарк на M4 Max показал производительность в 82 000 сжатий BLAKE3, 42 000 сжатий SHA-256 и 30 000 перестановок Keccak на одно ядро в секунду, а пропускная способность BLAKE3 на 10 ядрах превысила 660 000 операций.
Дрейк заявил, что ноутбук может доказывать около 1 миллиона вызовов традиционных хэш-функций в секунду, что примерно в 100 раз дороже, чем нативное булево вычисление на CPU; несколько дней назад SNARK.fast достиг 1,8 миллиона BLAKE3 в секунду на M3 Max.
leanVM в 2027, развертывание на трех уровнях в 2028
Другим ключевым фактором отказа от Poseidon является ускорение графика обеспечения постквантовой безопасности. В докладе «The Quantum Threat to Blockchains — 2026 Report», опубликованном Project Eleven, указывается, что быстрое развитие квантовых компьютеров представляет серьезную угрозу безопасности блокчейнов. Появление «квантового компьютера, релевантного для криптографии» (CRQC) позволит алгоритму Шора быстро взломать асимметричное шифрование, такое как ECDSA (используется в биткоине и большинстве публичных блокчейнов) и RSA. Ожидается, что Q-Day (день квантового взлома) может наступить в период с 2030 по 2033 год, и в этот момент активы на блокчейне на триллионы долларов окажутся под угрозой.
Поскольку публичные ключи в блокчейнах долговечны и статичны, а откат невозможен, миграция крайне сложна. В докладе рекомендуется немедленно начать переход на постквантовую криптографию (PQC), включая схемы подписи, устойчивые к квантовым атакам, на основе решеток, хэшей и других подходов, и осуществлять постепенный переход через гибридные схемы, чтобы избежать полномасштабной реализации квантовой угрозы.
Джастин Дрейк предупредил, что усиление возможностей ИИ в области криптоанализа уже нанесло удар по схемам на основе решеток, таким как HAWK, и изогений, таким как SQIsign. Это вынудило Фонд Ethereum сделать ставку на схемы, основанные на хэшах, которые считаются более устойчивыми к квантовым атакам.
Ранее Ethereum опубликовал свою постквантовую дорожную карту, включая развертывание производственной версии leanVM в 2027 году и завершение развертывания на уровнях консенсуса, исполнения и доступности данных к 2028 году. leanVM — это минималистичная виртуальная машина для нулевого разглашения, предназначенная специально для агрегации постквантовых подписей, и рассматривается как ключевой строительный блок всей стратегии.
В марте 2026 года Фонд Ethereum запустил pq.ethereum.org в качестве центра ресурсов по постквантовой безопасности, более 10 команд разработчиков клиентов уже начали еженедельно запускать постквантовые сети для разработки и взаимодействия. Фонд также учредил приз Poseidon Prize в размере 1 миллиона долларов и аналогичный Proximity Prize для продвижения исследований в области постквантовой криптографии. Сам Виталик Бутерин неоднократно подчеркивал, что постквантовая безопасность является необходимым условием для «теста на уход» (walkaway test) Ethereum — сеть не может «окаменеть», пока не станет квантово-безопасной.
Смена хэш-функции не изменит общую структуру постквантового пути Ethereum. Подписи BLS, которые в настоящее время используют валидаторы, основаны на эллиптических кривых. Будущая схема по-прежнему будет основана на хэш-подписях, таких как leanXMSS, а затем leanVM будет сжимать большое количество подписей в одно небольшое доказательство для каждого блока. Ранее на официальной странице Ethereum приводилось сравнение: подпись leanXMSS занимает около 3000 байт, в то время как подпись BLS — всего 96 байт; цель сжатия данных leanVM составляет примерно 250 раз.
SHA2 или BLAKE2s имеют более длительную историю открытого анализа, что позволяет EF сократить время ожидания, необходимое для того, чтобы параметры Poseidon прошли многолетний криптоанализ. Предложенный Дрейком предварительный план указывает на производственную версию leanVM в 2027 году и развертывание на уровнях консенсуса, данных и исполнения в 2028 году.
Соревнование коллег: Solana выбирает Falcon
Ethereum — не единственный ведущий публичный блокчейн, готовящийся к постквантовой эре. В апреле 2026 года Фонд Solana опубликовал дорожную карту постквантовой безопасности. Его основные команды разработчиков, Anza и Jump Crypto (Firedancer), после независимых исследований единогласно выбрали одну и ту же постквантовую схему подписи — Falcon.
Falcon — одна из стандартизированных NIST постквантовых схем подписи, ее подписи компактны и хорошо подходят для блокчейнов с высокой пропускной способностью, таких как Solana.
Две основные команды разработчиков клиентов для валидаторов, Anza и Firedancer, после независимых исследований единогласно выбрали постквантовую схему цифровой подписи Falcon и уже опубликовали предварительный код реализации на GitHub. Текущая дорожная карта состоит из трех этапов: постоянная оценка Falcon и альтернативных схем; принятие постквантовых схем для новых кошельков, когда квантовая угроза станет реальной; и, наконец, полная миграция существующих кошельков. Кроме того, Solana Winternitz Vault от Blueshift уже работает в экосистеме более двух лет и ранее в этом году был процитирован в техническом документе Google Quantum AI как передовой отраслевой пример.
Фонд Solana заявляет, что для реализации реальной угрозы со стороны квантовых вычислений потребуется еще несколько лет, поэтому немедленная миграция в настоящее время не требуется, но исследования, инфраструктура и координация в экосистеме уже готовы. Как только наступит подходящий момент, можно будет быстро начать процесс, и ожидается, что это не окажет существенного влияния на производительность сети.
Starknet в настоящее время является ближайшим аналогом, соответствующему новому направлению EF. 30 июня StarkWare объявила о своей дорожной карте, состоящей из трех этапов. На первом этапе хэш-алгоритм Pedersen будет заменен на BLAKE2 для обязательств состояния, адресов контрактов и конфигурации сети, а также будут введены постквантовые подписи для консенсуса, например, Falcon-512. Второй этап будет сосредоточен на инструментах миграции для традиционных контрактов, а заключительный этап будет посвящен решению оставшихся внешних зависимостей, все еще связанных с Ethereum, включая вызовы мостов и доступность данных blob. Третий этап будет зависеть от собственного пути миграции Ethereum.
По сравнению с другими блокчейнами, Ethereum выбрал путь «сначала стандарт, потом код». Отказ от Poseidon в пользу SHA2/BLAKE2 — это, по сути, выбор более зрелых и широко проверенных криптографических примитивов в постквантовую эпоху.
