Devcon 8 在孟買宣布以太坊 2028 年 12 月前完成抗量子轉型，比官方計劃提前一年。Glamsterdam 因 gas 重新定價卡關，量子攻擊成本降至分鐘級，Anthropic 模型已能降低格簽名難度。
（前情提要：比特幣開發者提出「量子地雷」構想：偷 1 枚 BTC 須先押 1 枚，駭客破解私鑰也可能賠本）
（背景補充：Tron 抗量子升級測試網上線，孫宇晨：主網隨時啟動）
以太坊面臨一場前所未有的時間賽跑。Devcon 8 上，研究員宣布要在 24 個月內推出三個硬分叉，目標是 2028 年底完成抗量子轉型。但 Glamsterdam 的延遲暴露了現實困境：量子攻擊成本已降至分鐘級，Anthropic 的 AI 模型更證明格簽名不再是絕對安全。
Devcon 8 給以太坊定下一個比官方計劃更激進的時間表：2028 年 12 月完成抗量子轉型。研究團隊認為密碼學能跟上，但今年秋天的發版節奏說明，真正卡脖子的不是演算法，是能不能按時推出硬分叉。
Devcon 8 於 2026 年 11 月 3 日至 6 日在孟買 Jio 世界中心舉行，這是 Devcon 首次在印度舉辦。開幕當天上午，以太坊基金會研究員 Justin Drake 定下全場最重磅的訊息：希望到 2028 年 12 月完成抗量子和後 AI 轉型，這意味著在 Glamsterdam 之後，24 個月內要推出三個硬分叉。
這比以太坊基金會的正式計劃早一年。EF 在 9 月發布的優先順序文章中承諾，到 2029 年 12 月實現三層抗量子，並明確這一日期在 2027 年 1 月與外部專家複審前不會改變。換句話說，研究人員現在按 2028 年推進，2029 年是預設的截止日。
同一週發生的事，正好說明這個差距為什麼重要。10 月 22 日，下一個硬分叉 Glamsterdam 被撤出第二個測試網。Devcon 最後一天，EF 解釋原因：一次 gas 重新定價打破了已部署合約依賴的假設。抗量子以太坊的密碼學已接近就緒，真正的限制在於怎麼把它一個分叉接一個分叉地推上線，同時不弄壞已經能執行的東西。
孟買會場本身也在收縮。四天裡 370 場演講、399 位講者，場次比曼谷 Devcon 7 少約 43%。這是有意為之：EF 今年裁了 54 個職位，約佔員工總數的五分之一。主會場三分之二的演講被打上 EF 章程中「CROPS」屬性標籤，即抗審查、開源、隱私和安全。安全類演講 70 場最多，隱私類 65 場，AI 類 57 場排第三。Vitalik Buterin 開幕演講的主旨，據媒體報導，是技術讓人信任得太多、能驗證的太少，內容涉及作業系統和晶片、健康科技、通訊與 AI。下一屆 Devcon IX 將於 2027 年 10 月 11 日至 13 日在里斯本舉行。
孟買宣言：2028 抗量子比官方早一年
EF 的路線圖草案按分叉順序排列，後面的分叉先用字母佔位：H* 是 Hegotá，之後是 I*、J*、K*、L*。抗量子以太坊就沿著這些分叉搭起來。
Hegotá 在 2027 年，不是抗量子分叉，但會引入框架交易，讓每個帳戶自行選擇簽名方案。這是擺脫 ECDSA 的路徑。I* 引入 leanVM，一個最小證明虛擬機器，以及抗量子的「lean」交易。J* 引入基於雜湊的驗證者簽名和抗量子資料取樣，EF 稱這是「最小可行抗量子」里程碑。K* 和 L* 引入強制執行證明，以及 Lean 架構重構的其餘部分。
24 個月三個分叉，等於每八個月一個。以太坊近年的間隔是 11 個月、14 個月和 7 個月，而 Glamsterdam 已經 11 個月還沒完。按 EF 自己的演算法，要在 2029 年 12 月到達 L*，需要每 7.2 個月一個分叉。按 12 個月的速度，只有 J* 能按時到。
緊迫感來自兩頭。
一頭是攻擊門檻降低。今年 3 月，Google Quantum AI、UC Berkeley、以太坊基金會和史丹佛的研究人員聯合發表論文，估算攻破以太坊橢圓曲線簽名所需的邏輯量子位元不到 1200 個，物理量子位元不到 50 萬個，執行時間以分鐘計。這個速度快到足以趁一筆交易還在記憶體池排隊時就發起攻擊。
另一頭是 Drake 所說的「後 AI」風險。7 月，Anthropic 報告稱，其一個模型找到一種攻擊方法，把格簽名方案 HAWK-256 的金鑰恢復難度從約 2^64 次運算降到約 2^38 次——難度大幅下降。10 月，Drake 呼籲產業「冷靜開始規劃地堡模式」，也就是為最壞情況做準備：萬一 AI 輔助數學搶在任何量子電腦之前攻破 ECDSA。
Glamsterdam 延遲：gas 定價打破協議不變數
兩條線指向同一個方向：雜湊函式。在密碼學原語裡，它依賴的假設最少，也最難被攻破。
Glamsterdam 自 10 月 6 日起在 Sepolia 測試網執行。兩個核心改動本身設計不錯：內嵌提議者－建構者分離把建構者報價納入協議，把執行移出 slot（時隙）關鍵路徑；區塊級存取列表提前宣告每個區塊的讀寫集，客戶端可以並行執行。
問題出在重新定價。EIP-8037 把新狀態定價為每位元組 1530 gas，以放慢狀態增長。寫入一個新儲存槽從 22100 gas 漲到 110020 gas，部署一個 24 kB 合約的成本約漲 8 倍。這個量級的成本放不進每筆交易 224 的 gas 上限（原文如此，疑為 2^24 之誤）。於是超過上限的 gas 進入一個獨立的狀態 gas 儲備池，全額傳給被呼叫的合約，呼叫回滾時再退回。
ChainSecurity 指出，這會讓過去因 gas 耗盡而中止的錯誤處理器現在能跑完，從而繞過常見的防惡意幹擾檢查。EF 列出八條被打破的不變數，即協議必須始終成立的規則；AllCoreDevs 摘要統計有 13 個 DeFi 專案受影響。Hoodi 測試網被推遲，且沒有給出 Hoodi 或主網日期。All Core Devs 協調人 Nixo 寫道，這「很可能把 Glamsterdam 主網推到 2027 年」。
啟示超越單一提案。區塊鏈真正的介面是每一個可觀察行為——gas 成本、63/64 規則、帳戶能否執行程式碼——每一項都是遷移風險。這之所以重要，是因為 Hegotá 的框架交易把 EIP-8037 列為要求。
Hegotá 有兩個關鍵機制。FOCIL（EIP-7805）要求每個時隙 16 個驗證者各發布一份包含列表，最多 8 KiB 交易池交易。下一個區塊必須包含這些交易，除非交易無效或區塊已滿，證明者透過分叉選擇強制執行。要審查一筆交易，現在得讓所有看到它的包含者一起動手，而不是隻搞定一個建構者。
量子威脅逼近：分鐘級攻擊已成現實
框架交易（EIP-8141）讓帳戶自行定義如何授權，因此可以遷移到抗量子簽名，而不必每換一種方案就分叉一次。被否決的提案更能說明設計哲學：可選執行證明、內嵌隱私池、block-in-blobs，後者被否是因為會加深對 KZG 承諾的依賴。LUCID 加密記憶體池被推遲到後續分叉。以太坊反覆選擇的是讓協議成為更好平台的機制，而不是把某個應用內建進去的機制。
驗證者要先在現有金鑰之外再註冊一把休眠的基於雜湊的金鑰（EIP-8450 草案）。leanXMSS 簽名是 2404 位元組，BLS 只要 96 位元組。BLS 簽名可以相加，基於雜湊的簽名不能，所以聚合器改為證明自己檢查了全部簽名。leanVM 在一臺筆記型電腦上每秒聚合約 965 個簽名，把 1500 個簽名變成 265 KiB 證明，7.4 毫秒驗證完。
資料層方面，KZG 承諾讓位給 LeanDA，後者用 Merkle 承諾加 leanVM 證明，證明資料被正確編碼。使用者端，錢包拿到 leanSPHINCS，簽名 7740 位元組，但在記憶體池裡聚合後（EIP-8288），每個成本約 33000 gas；直接驗證一個要 15 萬到 20 萬 gas。
「形式化驗證」有個需要說明的地方。Drake 宣布 leanVM 端到端形式化驗證。專案的 Lean 4 工作證明瞭指令語意和約束的可靠性，但 Rust 實作只做了差分測試，遞迴證明的可靠性仍是開放問題，程式碼也還沒到生產就緒。
如果要說有一個提案最能代表 Vitalik Buterin 想讓以太坊往哪走，那就是 EIP-8288「記憶體池內簽名與證明聚合」。他 6 月與 Thomas Coratger 合寫草案。10 月 19 日的一系列貼文把論點說得很直白：預編譯和 EVM 都不適合承載以太坊的大部分密碼學支援，因為兩者處理的資料都必須進入鏈上。他 9 月的文章已經把簽名和證明在記憶體池內並行處理，列為以太坊 2030 設計的一部分。
它解決的是體積問題。一個基於雜湊的簽名 2 到 3 KB，在 EVM 裡驗證要 15 萬到 20 萬 gas。隱私協議需要的 STARK 是 128 到 512 KB。一個個發上鏈，抗量子帳戶會貴得離譜，隱私交易也不現實，而且兩者都太大，過不了 FOCIL 包含列表。
Hegotá 藍圖：框架交易與抗審查
EIP-8288 把重資料擋在區塊外。交易只宣告、不攜帶：框架交易（EIP-8141）新增一種幀模式，把依賴列成 96 位元組參照——方案、資料雜湊、金鑰雜湊。一筆交易最多宣告 16 個 leanSPHINCS 簽名和一個 STARK。節點在交易到達時檢查真實簽名和證明，每秒把它們折疊成遞迴 STARK。建構者和 FOCIL 包含者對自己打包的內容做同樣的事。區塊頭只加一個遞迴 STARK，涵蓋區塊內所有依賴，驗證者只驗這一個。
這帶來幾個結果。抗量子簽名變便宜：一個 leanSPHINCS 簽名約 33000 gas，3000 來自幀本身，30000 是它在區塊 STARK 裡的分攤；直接驗證要 15 萬到 20 萬。隱私變得可負擔：STARK 依賴一旦啟用（目前草案中已預留），鏈上驗證原本要幾百萬 gas 的隱私證明，約 6 萬 gas 即可。不必為每種方案加預編譯：新簽名方案可以包進證明，不用等分叉。核心開發者已經往這個方向走：10 月他們否決了為 Hegotá 加 ML-DSA 預編譯，偏好基於雜湊的方案。區塊開銷有上限：規範把建構者開銷控制在每個聚合區間約 256 KB，不管裡面有多少簽名。
但它還很早。EIP-8288 是草案，STARK 依賴只是預留，聚合金鑰和依賴雜湊仍標著「待定」。交易回滾也收費，作者承認會增加記憶體池阻斷服務攻擊的風險，並稱遞迴證明的可靠性「廣受相信」但尚未證明。Coverage 稱它面向 Hegotá 之後的分叉，但沒有任何排期。它還依賴 Hegotá 推出框架交易，而後者又依賴正在複審的 Glamsterdam 重新定價。
以太坊的最終性目前約需 16 分鐘。EIP-8453 草案「解耦共識」把這件事拆成兩部分：一條快速可用鏈，由約 512 個驗證者組成的委員會投票確認；一個獨立的最終性元件，由全部驗證者執行。首要目標是把最終性至少加快四倍。更長遠的目標寫在 finality.watch 上：從探索性的 36 秒（該網站標註「不是預測」），一路指向一秒出塊、兩秒最終確認的北極星。與此同時，Fast Confirmation Rule 能讓交易所和跨鏈橋把存款確認時間縮短到 12 至 24 秒。
用證明替代重新執行後，速度問題已經解決。11 月 8 日，三個證明者在 4 至 16 塊消費級 GPU 上達到 Ethproofs 的即時標準，每區塊證明成本約 0.003 至 0.007 美元。新的瓶頸變成了安全性保證。EF 的下一個里程碑在 12 月初，目標是 128 位元可證明安全。正如 Cody Gunton 在 Devcon 所說，「還沒有團隊拿出經過形式化驗證的驗證器實作」。證明整合已經暫停：Hegotá 沒有納入可選證明，路線圖草案把強制證明放到 K*。gas 上限提升也還在等後續分叉：主網仍是每區塊 6000 萬 gas，Sepolia 約 2 億，而 gigagas 目標是要做到今天吞吐量的 200 倍。
其餘進展可以一筆帶過。
簽名革命：從 BLS 到雜湊的代價
Blob 方面，自 1 月以來目標值是 14、上限 21，6 至 9 月平均每區塊只用約 4.4 個，每個 blob 遠低於一美分，容量跑在需求前面。
Rollup 方面，資料平台 L2BEAT 已改名 ETHBEAT，多數 rollup 的價值仍停留在 Stage 1，Base 約 140 億美元，Arbitrum 約 90 億美元。
互通性方面，Ethereum Economic Zone 在 devnet 上演示了 L1 與 L2 的原子呼叫，Gnosis Chain 計劃 2027 年春季加入。
隱私方面，EF 的 Kohaku 錢包堆疊展示了經 Privacy Pools 和 Tornado Cash 的隱私轉帳，程式碼尚未審計。
安全方面，10 月 29 日 Binance 被盜約 63.6 億美元，被歸因於北韓 TraderTraitor。攻擊利用 50 個預簽名的 EIP-7702 授權掃空了一個熱錢包。TRM Labs 稱，這次升級放大了攻擊，但不是起因。
接下來有幾件事值得盯。
- 11 月 12 日的 ACDC #191 和 11 月 19 日的 ACDE #249，將討論 EIP-8037/8038 的修復方案，並給出新的 Hoodi 測試網日期。
- 2027 年 1 月，看 2028 年 12 月會不會被正式定為抗量子截止日。
- Hegotá 開發網能否讓 FOCIL 和框架交易同時跑通。
- 抗量子金鑰登入檔最終選哪一種，放進哪個分叉。
- leanVM 最終選用哪種雜湊函式和有限域，以及能否給出其證明系統的可靠性證明。
- 12 月，EF 的 128 位元 zkEVM 安全里程碑能否達成。
下一步觀察：六項關鍵里程碑
以太坊現在已經知道抗量子版本該怎麼設計。孟買留下的開放問題是：它能不能一邊推進設計，一邊保持每八個月一個硬分叉的交付節奏。
📍相關報導📍
首筆抗量子比特幣交易完成！StarkWare 靠「簽名研磨」斷開量子竊幣風險
