V 神在 EIP-8288 中为以太坊提议递归 STARK 内存池

维塔利克·布特林于 9 月 9 日提出 EIP-8288，旨在将基于递归 STARK 的内存池引入以太坊，并称其可能是继 Frame Transactions 之后的下一步，有望大幅降低高级密码学的成本。布特林表示，他希望 EIP-8288 能被纳入 Hegotá 之后计划进行的 I* 以太坊网络升级中。不过，该提案仍处于草案阶段，尚未得到确认。

该提案的核心理念是，不再要求每笔交易都将大型密码学签名或证明直接放到链上，而是允许交易将签名和 STARK 证明声明为依赖项，由以太坊的内存池基础设施在区块构建者纳入交易前对其进行验证并递归聚合，随后生成一个代表多笔交易的紧凑证明。这种方法可以解决当前以太坊交易模型下量子安全交易和隐私功能成本高昂的问题。

递归聚合可将量子安全交易成本降至数万 Gas

潜在的成本降幅十分可观。布特林估计，目前一笔经过高效设计的隐私交易需要约 300,000 Gas，而使用现有方法时，同等的量子安全交易可能需要约 1,000 万 Gas。递归聚合有望将后者降至数万 Gas。

后量子签名可以说明一些抗量子方案为何会产生数千字节大小的签名。布特林引用了一个约 3 千字节的 SPHINCS 签名，这使得将其直接纳入以太坊的成本十分高昂。

EIP-8288 将允许其中大部分数据保留在链下。内存池节点会定期将证明合并为递归 STARK，并将聚合证明与已剥离各自证明的交易一同转发。布特林此前的研究提出，大约每 500 毫秒生成一个递归 STARK。即使单个 STARK 的大小约为 128 千字节，每个节点的带宽开销仍将保持相对稳定，而不会随着进入内存池的每个证明按比例增加。

该方法还可以支持新的签名系统，而无需反复修改以太坊虚拟机。使用 Falcon、ML-DSA 或其他未来密码学方案的钱包，可能会将其验证逻辑封装在 STARK 中，并使用相同的聚合基础设施。

EIP-8288 扩展 Frame Transactions，供 I* 升级考虑

EIP-8288 被设计为 EIP-8141（即 Frame Transactions）的扩展。Frame Transactions 将交易授权、费用支付和执行分离，为以太坊提供更原生的账户抽象能力。以太坊开发者已安排在 Hegotá 中考虑 Frame Transactions。布特林将递归 STARK 内存池描述为下一步：Frame Transactions 提供灵活的交易结构，而 EIP-8288 将使复杂的密码学依赖变得经济可行。

以太坊基金会最新的协议路线图将后量子安全列为五项跨多次分叉的研究优先事项之一，与快速终结性、隐私、状态管理和 zkEVM 开发并列。预计 I* 已经会承载大量协议工作。

以太坊基金会表示，解耦共识目前是 I* 的首要重点候选项，同时预计大规模状态迁移工作也将在该分叉期间启动。因此，EIP-8288 能否被纳入远未得到保证。该提案还带来了递归证明生成、内存池网络通信，以及确保区块构建者无法不当省略依赖项等工程挑战。

不过，其影响并不局限于抗量子能力。同一架构可以降低隐私证明的成本，并允许 Layer 2 系统或未来应用引入新的证明方案，而无需以太坊为每种方案分别添加专用验证逻辑。布特林最早于 1 月阐述了底层的递归 STARK 内存池概念。

EIP-8288 现已将这项研究转化为与以太坊长期升级路线相关的具体协议提案。如果最终被采用，以太坊实际上将把昂贵的密码学验证从单笔交易中移出，并将其成本分摊到众多用户之间。这可能使后量子安全和高级隐私功能变得切实可行，而无需迫使用户承担这些技术在当前以太坊交易模型下所需的巨额 Gas 成本。

常见问题

维塔利克·布特林于 9 月 9 日提出了什么？

维塔利克·布特林于 9 月 9 日提出 EIP-8288，旨在将基于递归 STARK 的内存池引入以太坊。他称这项技术可能是继 Frame Transactions 之后的下一步，有望大幅降低高级密码学的成本，并表示希望该提案能被纳入 Hegotá 之后计划进行的 I* 网络升级中。

递归聚合可以将量子安全交易成本降低多少？

布特林估计，目前一笔经过高效设计的隐私交易需要约 300,000 Gas，而使用现有方法时，同等的量子安全交易可能需要约 1,000 万 Gas。递归聚合有望将量子安全交易的成本降至数万 Gas。

EIP-8288 与 Frame Transactions 之间是什么关系？

EIP-8288 被设计为 EIP-8141（即 Frame Transactions）的扩展。Frame Transactions 将交易授权、费用支付和执行分离，提供灵活的交易结构；而 EIP-8288 将允许交易把签名和 STARK 证明声明为依赖项，并在链下对其进行验证和聚合，从而使复杂的密码学依赖变得经济可行。