Vitalik Buterin称递归STARK可降低以太坊私密、抗量子交易成本

以太坊联合创始人Vitalik Buterin于9月9日解释了EIP-8288，该提案旨在在内存池层面聚合STARK证明和加密签名。

Buterin表示，该模型可在不改变以太坊虚拟机（EVM）的情况下，降低抗量子签名、私密交易和新型加密方案的成本。

该提案将把部分计算和数据移出以太坊的主执行路径，同时将一份紧凑的正确性证明存储在链上。

以太坊联合创始人Vitalik Buterin于9月9日解释了EIP-8288。该提案拟在内存池层面引入STARK证明和加密签名的递归聚合。他表示，这一方法可在无需修改以太坊虚拟机的情况下，显著降低抗量子签名、私密交易和新型加密方案的成本。

Buterin希望该提案能够被纳入预计在Hegota之后进行的I-star升级。他在一份关于递归STARK内存池的说明中称，这是Frames之后的下一步。

递归STARK内存池的运作方式

EIP-8288由Buterin和Tomas Koratje起草，于2026年6月3日创建。该提案扩展了EIP-8141，新增一种帧类型，使加密签名和STARK证明能够在链下聚合，并通过单一递归STARK进行验证，而无需将所有原始数据直接存入区块。

EIP-8141和递归STARK内存池是摆脱顺序执行相关研究的一部分，相关研究通过将交易拆分为操作和依赖关系来实现这一目标。拟议机制将使用依赖帧，其中包含有关交易依赖关系的声明。例如，一帧可以证明某个特定消息哈希由指定公钥签署，或证明某些数据符合由验证密钥定义的条件。

当交易进入内存池后，网络节点将聚合其依赖关系。大约每500毫秒，一个节点将收集新交易、移除已过期交易、生成一份证明所有依赖关系的递归STARK，并转发一个覆盖多笔交易的新封装。

Buterin表示，这一设计可能限制带宽需求。除交易在整个网络中通常进行的一次性广播外，每个节点每个周期的出站流量将包括一份约100至300 KB的STARK。

区块构建者实际上将作为另一个内存池节点运作。它将接收交易，为其计划纳入的依赖关系生成自己的STARK，并将该证明附加至区块。随后，区块链将存储一份100至300 KB的STARK，以及该证明涵盖的每项声明对应的96字节数据。

Buterin将这一概念称为“证明奇点”，并表示它已经可以利用现有技术实现。

Buterin表示，EIP-8288的一项关键优势是降低抗量子密码学的成本。基于哈希的抗量子签名目前大小可达约2至3 KB，验证需要约15万至20万Gas，而拟议模型将避免把签名数据本身放到链上。

他表示，该方法可使SPHINCS-等抗量子签名变得“极其便宜”。Buterin还提议将同一原则用于隐私协议。一笔经过充分优化的私密交易目前约需30万Gas，而抗量子解决方案可能需要约1,000万Gas。他估计，EIP-8288可将这一成本降至数万Gas。

该提案还可能允许开发者在无需修改EVM的情况下使用新的加密方案。Buterin列举了Falcon、ML-DSA以及其他基于格、编码和同源映射的算法及方案；这些方案可以封装在客户端STARK中，同时将链上成本维持在数万Gas。

Buterin写道：“希望以太坊再也不会需要‘请支持我最喜欢的加密算法’式的政治博弈。”

Buterin还特别提及私密账户抽象。他表示，这可以隐藏账户逻辑，并允许在一笔交易中转移整个链上状态的所有权——包括账户、去中心化金融头寸和私密协议记录——而无需披露具体哪些对象发生了转移。

根据EIP-8288，交易执行核心业务逻辑之外的计算和数据将移出以太坊的主执行路径。内存池节点将处理并并行化这些操作，而区块链将保留一份紧凑的正确性证明。

开发者处理签名和STARK的方式也将发生变化。核心交易逻辑不会直接验证加密证明，而是会检查是否存在包含相关声明、并作为依赖关系的帧。

实施该方案将要求以太坊为递归STARK选择一种语言或指令集架构。Buterin认为RISC-V是主要候选方案，但表示这一决定需要审慎考虑，因为它可能确立RISC-V或另一种ISA为以太坊的规范标准。

EIP-8288还规定了与FOCIL的兼容性，并为签名和STARK使用Lean Ethereum工具。