以太坊基金会后量子路线转向：放弃 Poseidon，押注 SHA 与 BLAKE3

以太坊基金会（EF）正在放弃一项曾被寄予厚望的加密原语。在评估 Poseidon 哈希函数一年多后，EF 的研究重心已明显转向 SHA-256/SHA-3 与 BLAKE3 两类久经检验的传统哈希算法，后者将成为以太坊后量子（post-quantum）升级的更可能选项。对一条长期依赖 Keccak-256（SHA-3 家族）作为基础哈希的公链而言，这是一次罕见的路线回撤：与其冒险换上一个更新锐的代数哈希，不如押注学界最熟悉、工具链最成熟的方案。

这一转向的原因有些反直觉：让 Poseidon 当初脱颖而出的零知识证明（ZK）生态，进步太快了。2025 年 2 月，以太坊创始人 Vitalik Buterin 在社交媒体上提出认真考虑将以太坊基础层哈希迁移至 Poseidon，理由是它在 ZK 电路中的约束数量远低于传统哈希，能显著降低链上验证成本。但一年多过去，证明生成优化、硬件加速与电路设计的进步，已把代数哈希与传统哈希在 ZK 电路里的性能差距抹平。当 Poseidon 不再有明显优势，它身上的安全问号就被放大了。

从"ZK 友好之星"到被质疑的原像攻击

Poseidon 并非无名方案。它由密码学家 Dmitry Khovratovich 等人于 2021 年提出，设计初衷就是"对零知识证明友好"，用来替代许多 ZK 系统里计算开销更高的 Pedersen 哈希。以太坊社区认真对待了这个提议：EF 设立了 Poseidon 密码分析（Poseidon Cryptanalysis）专项，配套顾问委员会与多阶段机制，总奖金与资助规模最高达 100 万美元，计划运行至 2026 年 12 月。路线图网站 leanroadmap.org 显示，该项目当前进度约 50%，已有 6.6 万美元悬赏被领取；2025 年 3 月，EF 还在第 31 届 Fast Software Encryption 会议上组织了代数哈希密码分析研讨会。

但评估越深入，疑虑越多。到 2026 年 8 月，Ethereum Research 社区对 Poseidon 的讨论焦点已转向原像攻击风险——即攻击者能否找到某个输入，使其哈希输出恰好等于指定值——以及部分轮次配置是否足以支撑一个锁定数千亿美元价值的公链。仅 2025 年 5 月，就有多篇针对 Poseidon 的分析论文相继出现，包括基于 Graeffe 变换的求根攻击与 Gröbner 基分析。对一条要承载结算层安全的公链而言，"需要更多研究"本身就是一种风险信号：基础哈希一旦被攻破，影响的是整条链的账户与交易完整性，而非单个应用。

传统哈希的反超：性能追平，量子模型更清晰

EF 转向的另一面，是传统哈希的逆袭。BLAKE3 与 SHA-256 的优势不再只是"被研究了十几年"。在 SNARK 场景中，传统哈希的证明性能已达到每秒约 100 万次证明、开销约 100 倍的水平；Binius、Flock 等二进制域研究项目持续推动这一数字，开源项目 SNARK.fast 已实现每秒 180 万次 BLAKE3 证明。换句话说，Poseidon 当年最大的卖点——在证明系统里更省钱——已经被追平甚至反超。

更重要的是后量子账怎么算。以太坊的长期路线图把抗量子攻击列为核心目标，而 SHA-256 与 BLAKE3 的数学基础更被学界理解，在量子安全模型中更容易被严格评估。EF 研究员 Justin Drake 指出，AI 赋能的自动化密码分析正在加速攻破新型方案：基于格（lattice-based）的 HAWK、基于同源（isogeny-based）的 SQIsign 等后量子签名相继被削弱，这反过来推动以太坊更倾向于基于哈希的签名路线。兼容性与现有工具链、硬件栈的广泛支持，则是 SHA/BLAKE 路线的另一重现实收益——这意味着升级不必等待整个生态重新造轮子。

后量子路线图并未减速：2027 年 leanVM，2028 年三层部署

放弃 Poseidon 不等于放缓后量子防御。相反，EF 在 2026 年 1 月把后量子安全正式提升为"顶级战略优先级"，成立专职 Post Quantum（PQ）团队，由 Thomas Coratger 领衔，leanVM 核心开发者 Emile 加入。Drake 当时表示，以太坊的后量子工作从 2019 年就已启动，2024 年起被纳入 leanEthereum 愿景，现在要从"幕后研究"转入"主动工程"阶段。官方后量子门户 pq.ethereum.org 显示，共识层已在推进基于 XMSS 的签名方案 leanXMSS 与其 Rust 实现 leanSig，并用一个最小 zkVM（leanMultisig）做签名聚合；数据层路线则是 leanVM 之后推进后量子 blob 处理。

按 Drake 给出的时间表，生产级 leanVM 计划于 2027 年推出，随后在 2028 年把相关证明技术分别部署到共识层、执行层与数据层。EF 还计划用证明聚合把任意数量的后量子签名压缩成可打包进区块的紧凑证明，以控制上链成本。需要强调的是，上述每个协议变更仍需独立客户端团队的实现、测试与共识，时间表存在调整空间。

而 Poseidon 的大门也尚未完全关闭：100 万美元密码分析计划仍在运行，若后续研究彻底排除风险、且性能优势重现，它仍可能回到讨论桌。但截至 2026 年 8 月，以太坊研究社区内的势头已清晰转向 SHA 与 BLAKE3。横向对比，以太坊仍是主流公链中少数设立专职后量子团队并公开路线图的网络，多数竞争对手尚未给出同等层级的制度化回应。

对以太坊而言，这次转向的本质是一次风险偏好下调：在"更新颖、更快但不确定性更高"与"更成熟、够快且可审计"之间，基金会选择了后者。后量子迁移是以太坊未来数年最复杂的密码学工程之一，任何基础哈希层面的摇摆都可能放大实施风险。选一条学界最熟悉、工具链最完善、量子模型最可评估的路线，未必是最性感的叙事，但对一个锁定巨额价值的结算网络来说，这可能是更负责任的选择。后续值得关注的变量包括：leanVM 基准测试结果、2027 年生产版落地进度、各客户端团队对共识层 leanXMSS 的跟进情况，以及 Poseidon 密码分析计划在 12 月收官前是否会给出颠覆性结论。