为什么放弃Poseidon

Poseidon是为零知识证明系统量身定制的，旨在SNARK电路内实现高效性能，而传统哈希在其中的成本过高。放弃它的核心原因是突破性的SNARK设计抹去了Poseidon的性能优势。正如Drake所说：“像SHA2和BLAKE2s这样的现成传统哈希函数，现在在SNARK中已经能与Poseidon匹敌。事后看来，关键不在于SNARK友好型哈希，而在于哈希友好型SNARK”。这一转变还消除了等待Poseidon经过足够密码分析才能使用的数年时间，从而加快了部署进度。

SHA-2和BLAKE2s如何增强量子安全性

SHA-2和BLAKE2s属于基于哈希的签名系列（例如SPHINCS+、XMSS），被NIST和更广泛的密码学界广泛认为是量子安全的。Lean Ethereum路线图包括用leanXMSS（一种基于传统哈希的有状态哈希签名方案）替换BLS签名，作为以太坊验证者的主要量子安全替代方案。使用经过充分分析、标准化的哈希，而不是定制的SNARK友好型构造，意味着后量子安全假设得到了数十年密码分析的支持，减少了对Poseidon相对未经验证的安全边界的依赖。

突破：来自Binius和Flock的二进制域SNARK

这一转变是由两个突破性的SNARK设计促成的：

• Binius — 一种构建在二进制域扩展塔（GF(2)域）之上的SNARK。其设计与传统哈希函数（SHA-256、Keccak-256）所需的位运算天然对齐，消除了之前使其证明成本高昂的嵌入开销。这使得Binius特别适合在SNARK内部验证经典的对称密码学。

• Flock — 一种基于哈希的SNARK，用于极其快速的批量证明标准密码哈希求值（SHA-256、Keccak、BLAKE3）。Flock以巨大的吞吐量增益证明同一R1CS电路的批次，使新的SNARK设计能够在单个笔记本电脑核心上处理每秒100万次证明。

两者结合，消除了对SNARK友好型哈希的需求：标准哈希现在可以像Poseidon一样高效地被证明，社区可以使用传统的、经过实战检验的组件“快进到STARK”。

时间线：leanVM及各层部署至2028年

以太坊基金会的“Strawmap”（由架构团队发布）大致勾勒了到2029年的七次分叉，每六个月一次。最新公告中的关键里程碑：

• leanVM（生产级）： 计划于2027年上线——一个最小化的零知识虚拟机，用于验证和聚合执行层证明。
• 共识层、数据层和执行层部署： 暂定于2028年。
• leanXMSS（基于哈希的验证者签名）： 作为多年期Lean Ethereum重建的一部分，将在3-4年窗口内与Verkle Trees和其他抗量子原语一起推出。

这些日期仍属初步阶段；每项协议变更在激活前仍需经过以太坊社区的实施、测试和共识。

这对机构和验证者意味着什么

这一转变给银行、托管机构和机构质押服务带来了具体的运营压力：

• 有状态基于哈希的验证者签名（leanXMSS）： 运行以太坊验证者基础设施或质押服务的银行需要从BLS签名迁移到leanXMSS，这是一种有状态的哈希方案。有状态签名方案需要仔细的密钥管理——单次密钥重用就可能破坏安全性——这给机构托管人带来了传统（无状态）签名所没有的运营风险。
• 密码学资产清单截止日期： 2027-2028年的部署时间表意味着银行必须立即开始密码学资产盘点和迁移规划。任何依赖Poseidon或BLS的智能合约、托管系统或链上操作都需要为基于SHA-2/BLAKE2s的证明重新设计。
• 普遍的监管势头： 全球监管机构（例如国际清算银行、欧洲央行、美国NIST）正日益推动金融机构制定后量子密码学（PQC）转型计划。以太坊的分叉计划为银行资金库和DeFi业务提供了具体的、近期的截止日期，以便与量子安全签名和哈希对齐，而不是通常传统银行PQC路线图中假定的更遥远的时间表。

以太坊基金会为Poseidon设立的100万美元密码学分析项目已于2026年8月1日暂停，这表明密码学界的注意力已转向新的基于哈希的原语。对于在以太坊上构建的开发者和机构，信息很明确：后量子未来运行在SHA-2、BLAKE2s以及使其可行的SNARK设计之上。

为什么放弃Poseidon

Poseidon是为零知识证明系统量身定制的，旨在SNARK电路内实现高效性能，而传统哈希在其中的成本过高。放弃它的核心原因是突破性的SNARK设计抹去了Poseidon的性能优势。正如Drake所说：“像SHA2和BLAKE2s这样的现成传统哈希函数，现在在SNARK中已经能与Poseidon匹敌。事后看来，关键不在于SNARK友好型哈希，而在于哈希友好型SNARK”。这一转变还消除了等待Poseidon经过足够密码分析才能使用的数年时间，从而加快了部署进度。

SHA-2和BLAKE2s如何增强量子安全性

SHA-2和BLAKE2s属于基于哈希的签名系列（例如SPHINCS+、XMSS），被NIST和更广泛的密码学界广泛认为是量子安全的。Lean Ethereum路线图包括用leanXMSS（一种基于传统哈希的有状态哈希签名方案）替换BLS签名，作为以太坊验证者的主要量子安全替代方案。使用经过充分分析、标准化的哈希，而不是定制的SNARK友好型构造，意味着后量子安全假设得到了数十年密码分析的支持，减少了对Poseidon相对未经验证的安全边界的依赖。

突破：来自Binius和Flock的二进制域SNARK

这一转变是由两个突破性的SNARK设计促成的：

• Binius — 一种构建在二进制域扩展塔（GF(2)域）之上的SNARK。其设计与传统哈希函数（SHA-256、Keccak-256）所需的位运算天然对齐，消除了之前使其证明成本高昂的嵌入开销。这使得Binius特别适合在SNARK内部验证经典的对称密码学。

• Flock — 一种基于哈希的SNARK，用于极其快速的批量证明标准密码哈希求值（SHA-256、Keccak、BLAKE3）。Flock以巨大的吞吐量增益证明同一R1CS电路的批次，使新的SNARK设计能够在单个笔记本电脑核心上处理每秒100万次证明。

两者结合，消除了对SNARK友好型哈希的需求：标准哈希现在可以像Poseidon一样高效地被证明，社区可以使用传统的、经过实战检验的组件“快进到STARK”。

时间线：leanVM及各层部署至2028年

以太坊基金会的“Strawmap”（由架构团队发布）大致勾勒了到2029年的七次分叉，每六个月一次。最新公告中的关键里程碑：

• leanVM（生产级）： 计划于2027年上线——一个最小化的零知识虚拟机，用于验证和聚合执行层证明。
• 共识层、数据层和执行层部署： 暂定于2028年。
• leanXMSS（基于哈希的验证者签名）： 作为多年期Lean Ethereum重建的一部分，将在3-4年窗口内与Verkle Trees和其他抗量子原语一起推出。

这些日期仍属初步阶段；每项协议变更在激活前仍需经过以太坊社区的实施、测试和共识。

这对机构和验证者意味着什么

这一转变给银行、托管机构和机构质押服务带来了具体的运营压力：

• 有状态基于哈希的验证者签名（leanXMSS）： 运行以太坊验证者基础设施或质押服务的银行需要从BLS签名迁移到leanXMSS，这是一种有状态的哈希方案。有状态签名方案需要仔细的密钥管理——单次密钥重用就可能破坏安全性——这给机构托管人带来了传统（无状态）签名所没有的运营风险。
• 密码学资产清单截止日期： 2027-2028年的部署时间表意味着银行必须立即开始密码学资产盘点和迁移规划。任何依赖Poseidon或BLS的智能合约、托管系统或链上操作都需要为基于SHA-2/BLAKE2s的证明重新设计。
• 普遍的监管势头： 全球监管机构（例如国际清算银行、欧洲央行、美国NIST）正日益推动金融机构制定后量子密码学（PQC）转型计划。以太坊的分叉计划为银行资金库和DeFi业务提供了具体的、近期的截止日期，以便与量子安全签名和哈希对齐，而不是通常传统银行PQC路线图中假定的更遥远的时间表。

以太坊基金会为Poseidon设立的100万美元密码学分析项目已于2026年8月1日暂停，这表明密码学界的注意力已转向新的基于哈希的原语。对于在以太坊上构建的开发者和机构，信息很明确：后量子未来运行在SHA-2、BLAKE2s以及使其可行的SNARK设计之上。