原文發布時間：2026 年 11 月 10 日 10:59（UTC+8）
原文作者：@yq_acc；編譯：AididiaoJP，Foresight News
以太坊的抗量子路線圖，難題不只在於選擇哪一種密碼學方案，更在於如何讓彼此依賴的協議變更按時上線，同時不破壞既有合約。
依原文報導，以太坊基金會（EF）研究員 Justin Drake 在 Devcon 8 提出，希望於 2028 年 12 月完成抗量子與「後 AI」轉型，比基金會正式計畫早一年。但 Glamsterdam 硬分叉的 gas 重新定價已暴露相容性問題，後續帳戶授權、簽名聚合與證明機制又與它存在依賴關係。這讓交付節奏成為整條路線的關鍵限制。
以下日期、進度與待辦事項，均以原文於 2026 年 11 月 10 日發布時的報導脈絡為準，不代表後續已經完成。
2028 年是研究目標，2029 年才是正式期限
Devcon 8 於 2026 年 11 月 3 日至 6 日在孟買 Jio 世界中心舉行，是 Devcon 首次在印度舉辦。Drake 在開幕當日上午提出的 2028 年 12 月目標，意味著 Glamsterdam 之後，須在 24 個月內推出三次硬分叉。
EF 於同年 9 月發布的優先事項文章，則承諾在 2029 年 12 月實現三層抗量子，並明確表示，在 2027 年 1 月與外部專家複審之前不會更改日期。因此，不能把研究人員推進的 2028 年目標，直接視為基金會已正式提前截止日。
本屆大會四天共有 370 場演講、399 位講者，場次較曼谷 Devcon 7 減少約 43%。原文將規模縮減與 EF 當年裁撤 54 個職位、約占員工五分之一的背景並列。主會場約三分之二的演講標註了 EF 章程的 CROPS 屬性，即抗審查、開源、隱私與安全；其中安全類 70 場、隱私類 65 場、AI 類 57 場。
據媒體報導，Vitalik Buterin 的開幕演講聚焦於技術要求人們信任過多、可驗證內容卻不足，涵蓋作業系統、晶片、健康科技、通訊與 AI。下一屆 Devcon IX 當時預定於 2027 年 10 月 11 日至 13 日在里斯本舉行。
路線圖是一串相互依賴的升級
EF 的路線圖草案以 H*、I*、J*、K*、L* 表示後續分叉，其中 H* 為 Hegotá。各階段承擔的工作不同：
- Hegotá：規劃於 2027 年推出，本身不是抗量子分叉，但框架交易將讓帳戶自行選擇簽名方案，為遷離 ECDSA 建立路徑。
- I*：引入最小證明虛擬機 leanVM，以及抗量子的「lean」交易。
- J*：引入基於雜湊的驗證者簽名與抗量子資料取樣；EF 將其稱為「最小可行抗量子」里程碑。
- K*、L*：引入強制執行證明，以及 Lean 架構重構的其餘部分。
24 個月完成三次分叉，等於平均每八個月一次。原文列出的以太坊近年分叉間隔為 11、14 與 7 個月，而 Glamsterdam 當時已歷時 11 個月仍未完成。依 EF 的估算，若要在 2029 年 12 月抵達 L*，平均需每 7.2 個月完成一次分叉；若維持每 12 個月一次，則只有 J* 能在期限內抵達。
推進壓力來自量子計算與 AI 輔助密碼分析兩端。原文引述 Google Quantum AI、UC Berkeley、EF 與史丹佛研究人員於 2026 年 3 月聯合發表的論文：攻破以太坊橢圓曲線簽名，估計所需邏輯量子位元不到 1,200 個、實體量子位元不到 50 萬個，執行時間以分鐘計。這是研究估算，不代表已有此類攻擊能力；其風險在於，若能實現，攻擊可能在交易仍於記憶池等待時發生。
另一項警訊來自 Anthropic 於同年 7 月的報告。該公司稱，一個模型找到攻擊方法，將格簽名方案 HAWK-256 的金鑰恢復難度，從約 2^64 次運算降至約 2^38 次。Drake 因而在 10 月呼籲開始規劃「地堡模式」，準備應對 AI 輔助數學可能早於量子電腦攻破 ECDSA 的最壞情境。原文將基於雜湊的方案視為這兩條風險線下的重要方向，理由是它依賴的密碼學假設較少。
Glamsterdam 的警訊：gas 成本也是合約介面
Glamsterdam 自 2026 年 10 月 6 日起在 Sepolia 測試網運行。其核心變更包括內嵌提議者—建構者分離，以及區塊級存取清單：前者將建構者報價納入協議，並把執行移出時隙的關鍵路徑；後者事先宣告區塊讀寫集合，支援客戶端平行執行。
問題出在 EIP-8037 的狀態重新定價。提案將新增狀態定價為每位元組 1,530 gas，使寫入新儲存槽的成本由 22,100 gas 增至 110,020 gas，部署一個 24 kB 合約的成本約增為八倍。
原文將每筆交易 gas 上限記為「224」，並註明疑為「2^24」之誤；這項數字不能當成已確認規格。依原文描述，超過上限的 gas 會進入獨立的狀態 gas 儲備池，全額傳給被呼叫合約，並在呼叫回滾時退回。
ChainSecurity 指出，這種改動可能讓過去因 gas 耗盡而中止的錯誤處理程式完整執行，進而繞過常見的防惡意干擾檢查。EF 列出八項遭破壞的不變條件；AllCoreDevs 摘要則統計有 13 個 DeFi 專案受影響。
原文稱，Glamsterdam 於 10 月 22 日被撤出第二個測試網，Hoodi 測試網時程延後，且未提供新的 Hoodi 或主網日期。All Core Devs 協調人 Nixo 當時表示，這「很可能把 Glamsterdam 主網推到 2027 年」。
這個案例的意義在於：合約依賴的不只是函式介面，也包括 gas 成本、63/64 規則與帳戶能否執行程式碼等可觀察行為。而 Hegotá 的框架交易又將 EIP-8037 列為要求，讓這次複審直接牽動後續升級。
Hegotá：先處理抗審查與授權彈性
Hegotá 的兩項關鍵機制，分別是 FOCIL 與框架交易。
FOCIL（EIP-7805）要求每個時隙由 16 個驗證者各自發布一份包含清單，納入最多 8 KiB 的交易池交易。下一個區塊必須包含這些交易，除非交易無效或區塊已滿，並由證明者透過分叉選擇強制執行。其設計目標，是讓審查一筆交易不再只需控制單一建構者，而須讓所有看見該交易的包含者一同配合。
框架交易（EIP-8141）則讓帳戶自行定義授權方式，使帳戶能遷移至抗量子簽名，而不必每更換一種方案就進行硬分叉。
原文也列出未獲納入的提案：可選執行證明、內嵌隱私池，以及會加深對 KZG 承諾依賴的 block-in-blobs；LUCID 加密記憶池則延後至後續分叉。這些取捨反映出當時較偏向改善底層平台能力，而非直接把特定應用納入協議。
抗量子簽名變大，聚合成為成本關鍵
EIP-8450 草案提出，驗證者須在現有金鑰之外，再註冊一把休眠的雜湊式金鑰。原文列出的 leanXMSS 簽名大小為 2,404 位元組，相較之下 BLS 為 96 位元組。BLS 簽名可以相加，雜湊式簽名不能沿用這種方式，因此聚合器改為提出證明，證明自己已檢查所有簽名。
依原文提供的測試數據，leanVM 在一台筆記型電腦上每秒可聚合約 965 個簽名，將 1,500 個簽名轉成 265 KiB 證明，驗證耗時 7.4 毫秒。原文未提供更完整的硬體條件，不宜將其直接外推為生產環境效能。
資料層的方向是以 LeanDA 取代 KZG 承諾，結合 Merkle 承諾與 leanVM 證明，證明資料編碼正確。使用者端則採用大小為 7,740 位元組的 leanSPHINCS 簽名；依 EIP-8288 的聚合設計，每個簽名成本約 33,000 gas，直接驗證則需約 15 萬至 20 萬 gas。
「形式化驗證」也須區分範圍。Drake 宣布 leanVM 端到端形式化驗證，但原文指出，Lean 4 工作證明的是指令語義與約束的可靠性；Rust 實作只完成差分測試，遞迴證明的可靠性仍是開放問題，程式碼也尚未達生產就緒狀態。
EIP-8288：把大型簽名與證明留在區塊外
Buterin 與 Thomas Coratger 於 2026 年 6 月合寫 EIP-8288「記憶池內簽名與證明聚合」草案。其核心問題是資料體積：雜湊式簽名可達 2 至 3 KB，隱私協議使用的 STARK 則可達 128 至 512 KB。逐筆上鏈既昂貴，也難以放入 FOCIL 包含清單。
草案讓交易宣告依賴，而不直接攜帶完整資料。框架交易新增一種幀模式，以 96 位元組引用記錄方案、資料雜湊與金鑰雜湊；一筆交易最多宣告 16 個 leanSPHINCS 簽名與一個 STARK。
節點在交易抵達時檢查實際簽名與證明，再每秒將它們聚合為遞迴 STARK。建構者與 FOCIL 包含者也對其打包內容執行相同工作，最終區塊標頭只增加一個涵蓋全部依賴的遞迴 STARK，供驗證者檢查。
依草案估算：
- 每個 leanSPHINCS 簽名約需 33,000 gas，其中 3,000 gas 來自幀本身，30,000 gas 為區塊 STARK 的分攤成本。
- 若啟用草案預留的 STARK 依賴，原本需數百萬 gas 的鏈上隱私證明驗證，可降至約 60,000 gas。
- 新簽名方案可包入證明，不必逐一新增預編譯。原文稱，核心開發者於 10 月否決為 Hegotá 加入 ML-DSA 預編譯，偏好雜湊式方案。
- 規範將每個聚合區間的建構者開銷控制在約 256 KB，不隨簽名數量增加。
但這些仍是草案設計與估算。STARK 依賴僅為預留，聚合金鑰與依賴雜湊仍標示「待定」；交易回滾也要收費，作者承認會增加記憶池拒絕服務攻擊風險，並表示遞迴證明的可靠性雖「廣受相信」，仍未獲證明。原文引述 Coverage 稱，提案面向 Hegotá 之後的分叉，但沒有排期。
最終性與執行證明：效能之外仍有安全門檻
原文所述的以太坊最終性約需 16 分鐘。EIP-8453「解耦共識」草案將其拆為兩部分：由約 512 個驗證者組成委員會投票的快速可用鏈，以及由全部驗證者運行的獨立最終性元件，首要目標是至少加快四倍。
finality.watch 列出的 36 秒屬探索性數值，網站明確註明「不是預測」；一秒出塊、兩秒最終確認則是更長期的方向。另據原文，Fast Confirmation Rule 可讓交易所與跨鏈橋將存款確認時間縮短至 12 至 24 秒，但不應與協議最終性混為一談。
執行證明方面，原文報導，11 月 8 日有三個證明者使用 4 至 16 張消費級 GPU，達到 Ethproofs 的即時標準，每區塊證明成本約 0.003 至 0.007 美元。然而，效能進展不等於安全保證完成。EF 當時將 12 月初的下一個里程碑設定為 128 位元可證明安全；Cody Gunton 在 Devcon 指出，尚無團隊交出經形式化驗證的驗證器實作。
證明整合當時已暫停：Hegotá 未納入可選證明，路線圖草案將強制證明排在 K*。主網 gas 上限仍為每區塊 6,000 萬，Sepolia 約 2 億；gigagas 的目標則是達到當時吞吐量的 200 倍，而非已實現的容量。
其他進展與待追蹤節點
原文另整理了幾項截至報導時的資料與進展：
- Blob：2026 年 1 月起目標值為 14、上限為 21；6 至 9 月平均每區塊僅使用約 4.4 個，每個 blob 成本遠低於一美分，顯示當時容量領先需求。
- Rollup：原文稱資料平台 L2BEAT 已更名為 ETHBEAT，多數 rollup 的價值仍停留於 Stage 1，並列出 Base 約 140 億美元、Arbitrum 約 90 億美元的數值，未進一步交代統計口徑。
- 互操作性：Ethereum Economic Zone 在開發網示範 L1 與 L2 原子呼叫；Gnosis Chain 當時計畫於 2027 年春季加入。
- 隱私：EF 的 Kohaku 錢包堆疊展示經由 Privacy Pools 與 Tornado Cash 的隱私轉帳，但程式碼尚未審計。
- 安全：原文報導 Binance 於 10 月 29 日遭竊約 63.6 億美元，事件被歸因於北韓 TraderTraitor，攻擊利用 50 個預簽署的 EIP-7702 授權清空一個熱錢包。TRM Labs 的判斷是，該升級放大了攻擊影響，但不是起因。
依原文當時的時程，後續觀察重點包括：11 月 12 日 ACDC #191 與 11 月 19 日 ACDE #249 對 EIP-8037／8038 修復及 Hoodi 日期的討論；2027 年 1 月是否正式採納 2028 年 12 月截止日；Hegotá 開發網能否讓 FOCIL 與框架交易共同運作；抗量子金鑰註冊表的選型及分叉歸屬；leanVM 的雜湊函數、有限體與證明系統可靠性；以及 12 月的 128 位元 zkEVM 安全里程碑。
整條路線的核心，不是單一演算法能否運作，而是相容性、記憶池負載、證明安全與分叉節奏能否同步過關。2028 年目標提出了更快的交付要求，但在原文發布時，它仍是需要逐項驗證的研究與工程目標，而非已確定完成的升級承諾。