千萬Gas的量子安全交易，Vitalik想把它壓到數萬

一筆設計良好的私人交易，目前約需30萬Gas。若直接加入量子安全密碼學，成本可能膨脹到約1,000萬Gas。

這個數字，是以太坊共同創辦人Vitalik Buterin在10月19日拋出「EIP-8288 maximalism」時，最容易被忽略、卻也最關鍵的一組對比。他主張把大量運算與密碼學驗證移出主鏈，改用統一的STARK聚合機制，順便終結社群吵了許久的precompile之爭。

Precompile的老問題：每加一種密碼學，就多一次升級

Precompile是以太坊在協議層預先內建的特殊功能，讓EVM能用較低成本執行橢圓曲線、雜湊等複雜運算。聽起來很方便，但問題在於，每加入一種新的密碼學方案，就可能需要新的預編譯、客戶端實作與網路升級。

長期下來，底層協議只會越來越臃腫。Vitalik認為，預編譯與EVM都不適合承擔大部分繁重密碼學工作，相關資料最後仍得以calldata等形式進入區塊。他估計，即使PeerDAS、blocks-in-blobs等擴容技術陸續導入，實際可接受的資料吞吐上限大約仍落在每秒8MB左右，再往上就會增加節點負擔。

EIP-8288怎麼運作：客戶端算完，主鏈只驗一份證明

EIP-8288全名為「In-mempool signature and proof aggregation」，由Vitalik與Thomas Coratger共同提出，今年6月建立，目前仍處於草案階段。這項提案延伸EIP-8141 Frame Transactions，新增用來處理簽名與證明的dependency frame。

簡單理解，交易可以提交（scheme, data_hash, verification_key_hash）等輕量資訊，表明自己需要驗證哪一套密碼學方案、資料與驗證金鑰，省去把完整大型簽名或STARK證明直接塞進交易的麻煩。

相關計算先在客戶端完成，再由mempool節點持續把多筆交易的證明透過recursive STARK聚合。到了區塊層級，builder再把結果聚合成一份最終recursive STARK，由以太坊驗證整批交易的密碼學條件。提案文件估計，STARK對builder造成的資料負擔可以固定在每個aggregation interval約256kB。

量子簽名與STARK，成本為什麼這麼嚇人

官方提案指出，目前規劃中的hash-based量子安全簽名，單筆資料可能達2至3kB，驗證成本約15萬至20萬Gas；lattice-based簽名大致也面臨類似成本。

STARK的負擔更大。Hash-based STARK證明通常超過128kB，若追求較快的客戶端證明生成速度，甚至可能達到512kB。直接放進以太坊驗證可能需要數百萬Gas，也會大量占用calldata空間。

值得注意的是，Vitalik此前曾估計，若直接加入量子安全密碼學，成本可能膨脹至約1,000萬Gas。透過EIP-8288聚合後，他認為相關成本有機會下降至數萬Gas等級。這個數字屬於他對提案潛力的估算，實際成本仍取決於最終規格與實作。

Precompile大戰：Hash派與Lattice派誰勝出？

Vitalik此時提出EIP-8288 maximalism，也與以太坊近期的「precompile wars」密切相關。爭論焦點之一，是後量子密碼學該主要採用hash-based技術，或加入lattice-based方案。

a16z crypto在10月16日公布Aerie，利用lattice-based SNARK聚合Falcon簽名。a16z聲稱，一台筆電可以在約0.65秒內聚合32,768個Falcon-512簽名，相當於約一個以太坊slot所需的簽名數量，速度約為目前hash-based leanVM聚合工具的29倍。

但Starknet共同創辦人Eli Ben-Sasson對lattice cryptography的成熟度提出疑慮，認為部分succinct lattice proof技術歷史仍相對短，應該再經過數年安全檢驗。開發者Gabriel Shapiro隨後提出，以太坊目前可以先維持hash-based路線，等lattice方案未來被證明足夠安全，再透過precompile加入。

Vitalik則給出另一條路：即使未來採用lattice、不同簽名系統或新的證明方案，也可以在使用者端完成運算，再STARK化並交給EIP-8288聚合。如此一來，開發者可以自由使用不同密碼學技術，同時降低協議層反覆新增precompile的必要性。

真正值得關注的，不是省了多少Gas

說到底，EIP-8288的野心不在於幫某一筆交易省手續費，而是重新劃分「誰來算、誰來驗」的界線。主鏈只負責確認運算已正確完成及驗證結果，把能夠獨立完成的運算推到使用者端。

這也符合Vitalik持續推動的Lean Ethereum路線。量子抗性、隱私與證明聚合，正逐漸被放到以太坊長期底層設計的核心位置。

但真正的问题来了：EIP-8288會新增交易類型、Frame mode與區塊層級的recursive STARK欄位，屬於共識層變更，無法單靠應用程式升級完成。若要正式啟用，仍需透過以太坊網路升級納入。Vitalik此前曾表示，希望EIP-8288能安排在Hegota之後暫稱「I-star」的升級中討論納入，但目前仍是草案，沒有最終主網啟用時間表。

總結

Vitalik這一步，說明的不是以太坊馬上要變便宜，而是社群開始正視「每種新密碼學都加precompile」這條路的盡頭。

未來市場將繼續觀察：lattice與hash兩派能否在安全檢驗上取得共識，以及EIP-8288是否真能如願納入I-star升級。算力可以外包，共識不行。

FAQ

Q1：EIP-8288是什麼？解決什麼問題？
A：EIP-8288全名「In-mempool signature and proof aggregation」，由Vitalik與Thomas Coratger提出，目前為草案。核心概念是讓客戶端完成密碼學運算並產生STARK證明，再由mempool節點與builder聚合，主鏈只驗一份最終證明，藉此減輕主鏈負擔、降低新增precompile的需求。

Q2：量子安全交易為什麼這麼貴？
A：目前規劃中的hash-based量子安全簽名，單筆資料可能達2至3kB，驗證成本約15萬至20萬Gas；STARK證明通常超過128kB，直接上鏈驗證可能需要數百萬Gas。Vitalik曾估計，若直接加入量子安全密碼學，交易成本可能膨脹至約1,000萬Gas，透過聚合才有機會降至數萬Gas等級。

Q3：EIP-8288什麼時候會正式上線？
A：目前沒有確切時間表。EIP-8288仍處於草案階段，且涉及共識層變更，必須透過以太坊網路升級納入。Vitalik曾表示希望安排在Hegota之後暫稱「I-star」的升級中討論，但尚未確定正式採用，主網啟用時程仍待社群共識。