13 августа исследователь Ethereum Джастин Дрейк сообщил в X, что Фонд Ethereum принял решение отказаться от SNARK-дружественного хэш-алгоритма Poseidon на уровне L1 в пользу традиционных хэш-функций, таких как SHA2 или BLAKE2.
В основе этого решения лежат восемь лет исследований, вложения в десятки миллионов долларов и серьезная корректировка дорожной карты постквантовой криптографии.
С момента своего появления в 2019 году Poseidon считался идеальным хэш-решением для таких приложений, как zkRollup и zkVM. Его структура делала его дешевле и эффективнее в SNARK-схемах по сравнению с традиционными хэш-функциями на основе бинарных операций. Однако когда постквантовая безопасность стала жестким требованием для Ethereum, начали проявляться ограничения Poseidon.
Джастин Дрейк заявил, что этот переход стал возможен благодаря прорывным достижениям в проектировании SNARK, а именно использованию подхода «бинарного поля», который позволяет традиционным хэш-функциям в SNARK-схемах достигать производительности, сопоставимой с ранее оптимизированным для SNARK Poseidon. Один ноутбук может проверять около 1 миллиона вызовов традиционных хэш-функций в секунду.
В статье говорится, что Poseidon с момента своего появления в 2019 году был основным SNARK-дружественным хэш-решением, обеспечивающим безопасность для таких приложений, как zkRollup и zkVM. Джастин Дрейк сообщил, что согласно планам производственная версия leanVM ожидается к 2027 году, а развертывание на уровнях консенсуса, данных и исполнения планируется завершить к 2028 году. Постквантовая команда Фонда Ethereum также ускоряет исследования, связанные с бинарными полями.
Почему именно сейчас?
Долгое время внедрение традиционных хэш-функций в SNARK было затруднено из-за различий в вычислительных языках. SHA2, BLAKE2s и Keccak активно используют булевы операции, такие как XOR и сдвиги, в то время как традиционные SNARK обычно работают с арифметикой в больших простых полях. Моделирование каждой битовой операции в такой среде приводит к высоким накладным расходам. Poseidon был спроектирован непосредственно вокруг арифметики простого поля, обеспечивая более высокую скорость доказательства за счет меньшего количества ограничений, но ценой более короткой истории алгоритма и необходимости постоянного криптоанализа.
Бинарное поле переключает базовую математику на минимальное простое поле, состоящее только из 0 и 1, и использует расширения двоичного поля для обработки больших объемов данных. Таким образом, битовые операции могут напрямую интегрироваться в систему доказательств, и SNARK начинает адаптироваться к традиционным хэш-функциям. Технологический фокус сместился с проектирования SNARK-дружественных хэшей на проектирование хэш-дружественных SNARK.
Предложенный в 2023 году Джимом Посеном и Бенджамином Даймондом Binius показал путь к SNARK на бинарных башенных полях. Работа Flock Бенедикта Бюнца, Рона Ротблюма и Уильяма Вана была загружена на arXiv 29 июля 2026 года. Ее эталонный тест на M4 Max показал производительность в 82 тысячи сжатий BLAKE3, 42 тысячи сжатий SHA-256 и 30 тысяч перестановок Keccak в секунду на одно ядро. Пропускная способность BLAKE3 на 10 ядрах превысила 660 тысяч операций.
Дрейк заявил, что ноутбук может доказывать около 1 миллиона вызовов традиционных хэш-функций в секунду, что примерно в 100 раз медленнее, чем нативное булево вычисление на CPU. Несколько дней назад SNARK.fast достиг показателя в 1,8 миллиона операций BLAKE3 в секунду на M3 Max.
leanVM в 2027, развертывание на трех уровнях в 2028
Еще одной ключевой причиной отказа от Poseidon является ускорение графика постквантовой безопасности. В отчете Project Eleven «Квантовая угроза блокчейнам — Отчет 2026» указывается, что быстрое развитие квантовых вычислений представляет серьезную угрозу для безопасности блокчейнов. Как только появится «криптографически значимый квантовый компьютер» (CRQC), алгоритм Шора сможет быстро взломать асимметричное шифрование, такое как ECDSA (используется в Bitcoin и большинстве публичных блокчейнов) и RSA. Ожидается, что Q-Day (день квантового взлома) может наступить между 2030 и 2033 годами, что поставит под угрозу триллионы долларов активов в блокчейнах.
Поскольку открытые ключи в блокчейнах статичны в течение длительного времени и не могут быть откатаны, миграция крайне сложна. В отчете рекомендуется немедленно начать переход на постквантовую криптографию (PQC), включая решеточные, хэш-базированные и другие квантово-устойчивые схемы подписи, и осуществлять постепенный переход через гибридные схемы, чтобы избежать полномасштабной реализации квантовой угрозы.
Джастин Дрейк предупредил, что усиление возможностей ИИ в области криптоанализа уже привело к проблемам с решеточной схемой HAWK и изогенной схемой SQIsign. Это заставило Фонд Ethereum сделать ставку на схемы, основанные на хэшах, которые считаются более устойчивыми к квантовым атакам.
Ранее Ethereum уже опубликовал свою постквантовую дорожную карту, включая развертывание производственной версии leanVM в 2027 году и завершение развертывания на уровнях консенсуса, исполнения и доступности данных к 2028 году. leanVM — это минималистичная виртуальная машина с нулевым разглашением, специально предназначенная для агрегации постквантовых подписей, и она рассматривается как ключевой строительный блок всей стратегии.
В марте 2026 года Фонд Ethereum запустил pq.ethereum.org в качестве ресурсного центра по постквантовой безопасности, более 10 команд разработчиков клиентов уже начали еженедельно запускать постквантовую сеть для разработки и взаимодействия. Фонд также учредил премию Poseidon Prize в размере 1 миллиона долларов и аналогичную премию Proximity Prize для продвижения исследований в области постквантовой криптографии. Сам Виталик Бутерин неоднократно подчеркивал, что постквантовая безопасность является необходимым условием для «теста на беззаботный уход» Ethereum — сеть не может «закостенеть», пока не станет квантово-безопасной.
Смена хэш-функции не изменит общую структуру постквантовой дорожной карты Ethereum. В настоящее время валидаторы используют подписи BLS, основанные на эллиптических кривых. Будущая схема по-прежнему будет основана на хэш-подписях, таких как leanXMSS, а затем leanVM будет сжимать большое количество подписей в одно небольшое доказательство на блок. Сравнение, ранее приведенное на официальной странице Ethereum, показывает, что подпись leanXMSS составляет около 3000 байт, а подпись BLS — всего 96 байт. Цель сжатия данных leanVM составляет примерно 250 раз.
SHA2 или BLAKE2s имеют более длительную историю открытого анализа, что позволяет Фонду Ethereum сократить время ожидания, необходимое для того, чтобы параметры Poseidon подверглись многолетнему криптоанализу. Предложенный Дрейком примерный план указывает на производственную версию leanVM в 2027 году и развертывание на уровнях консенсуса, данных и исполнения в 2028 году.
Конкуренты набирают скорость: Solana выбирает Falcon
Ethereum — не единственный крупный публичный блокчейн, готовящийся к постквантовой эре. В апреле 2026 года Фонд Solana опубликовал свою дорожную карту постквантовой безопасности. Ее ключевые команды разработчиков, Anza и Firedancer от Jump Crypto, после независимых исследований независимо друг от друга выбрали одну и ту же постквантовую схему подписи — Falcon.
Falcon — одна из стандартизированных NIST постквантовых схем подписи. Ее подписи компактны и хорошо подходят для блокчейнов с высокой пропускной способностью, таких как Solana.
Две команды разработчиков клиентов для валидаторов, Anza и Firedancer, после независимых исследований единогласно выбрали постквантовую схему цифровой подписи Falcon и уже опубликовали предварительные реализации кода на GitHub. Текущая дорожная карта состоит из трех этапов: постоянная оценка Falcon и альтернативных схем; принятие постквантовых схем для новых кошельков, когда квантовая угроза станет реальной; и, наконец, полная миграция существующих кошельков. Кроме того, Solana Winternitz Vault от Blueshift работает в экосистеме уже более двух лет и ранее в этом году был упомянут в техническом документе Google Quantum AI как передовой отраслевой пример.
Фонд Solana заявляет, что для того, чтобы квантовые вычисления стали реальной угрозой, потребуется еще несколько лет, поэтому немедленная миграция не требуется. Однако исследования, инфраструктура и координация в экосистеме уже подготовлены, и как только наступит подходящий момент, можно будет быстро начать процесс. Ожидается, что это не окажет существенного влияния на производительность сети.
Starknet в настоящее время является наиболее близким ориентиром для нового направления Фонда Ethereum. 30 июня StarkWare опубликовала дорожную карту, которая будет осуществляться в три этапа. На первом этапе BLAKE2 заменит хэш-алгоритм Pedersen для обязательств состояния, адресов контрактов и конфигурации сети, а также будут введены постквантовые консенсусные подписи, такие как Falcon-512. Второй этап будет сосредоточен на инструментах миграции для традиционных контрактов, а последний этап будет посвящен решению внешних зависимостей, все еще связанных с Ethereum, включая системные вызовы мостов и доступность данных blob. Третий этап зависит от собственного пути миграции Ethereum.
По сравнению с другими блокчейнами, Ethereum выбрал путь «сначала установить стандарты, затем писать код». Отказ от Poseidon в пользу SHA2/BLAKE2 — это, по сути, выбор более зрелых и широко проверенных криптографических примитивов для постквантовой эры.
