La gran prueba de Ethereum en 2028: la hoja de ruta contra la cuántica choca con cuellos de botella en el lanzamiento

Escrito por: @yq_acc

Compilado por: AididiaoJP, Foresight News

Devcon 8 establece un cronograma más agresivo para Ethereum que el plan oficial: completar la transición contra la cuántica en diciembre de 2028. El equipo de investigación cree que la criptografía puede mantenerse al día, pero el ritmo de lanzamiento de este otoño indica que el verdadero cuello de botella no son los algoritmos, sino si se pueden lanzar bifurcaciones duras a tiempo.

Mumbai establece el tono: objetivo para 2028, un año antes del plan oficial

Devcon 8 se llevará a cabo del 3 al 6 de noviembre de 2026 en el Jio World Centre de Mumbai, siendo esta la primera vez que Devcon se celebra en India. En la mañana del día de apertura, el investigador de la Fundación Ethereum, Justin Drake, estableció la noticia más importante del evento: se espera completar la transición contra la cuántica y post-AI para diciembre de 2028, lo que significa que se deben lanzar tres bifurcaciones duras en un plazo de 24 meses después de Glamsterdam.

Esto es un año antes de lo que prometió la Fundación Ethereum en su plan oficial. En un artículo de prioridades publicado en septiembre, EF se comprometió a lograr una resistencia cuántica de tres capas para diciembre de 2029, y dejó claro que esta fecha no cambiaría antes de una revisión con expertos externos en enero de 2027. En otras palabras, los investigadores ahora avanzan hacia 2028, mientras que 2029 es la fecha límite preestablecida.

Lo que ocurrió en la misma semana ilustra por qué esta diferencia es importante. El 22 de octubre, la próxima bifurcación dura, Glamsterdam, fue retirada de la segunda red de prueba. En el último día de Devcon, EF explicó la razón: un reajuste de gas rompió la suposición de dependencia de los contratos ya desplegados. La criptografía de Ethereum contra la cuántica está casi lista, pero la restricción radica en cómo implementarla de manera secuencial sin romper lo que ya funciona.

El propio lugar de Mumbai también se está reduciendo. Durante cuatro días, hubo 370 presentaciones y 399 ponentes, lo que representa aproximadamente un 43% menos que Devcon 7 en Bangkok. Esto fue intencional: EF despidió a 54 empleados este año, aproximadamente una quinta parte de su personal total. Dos tercios de las presentaciones en la sala principal fueron etiquetadas con la propiedad "CROPS" en los estatutos de EF, es decir, resistencia a la censura, código abierto, privacidad y seguridad. Las presentaciones sobre seguridad fueron las más numerosas con 70, seguidas de privacidad con 65 y AI con 57. El tema del discurso inaugural de Vitalik Buterin, según los informes de los medios, fue que la tecnología genera demasiada confianza y se puede verificar muy poco, abarcando sistemas operativos y chips, tecnología de salud, comunicación y AI. La próxima Devcon IX se llevará a cabo del 11 al 13 de octubre de 2027 en Lisboa.

Tres bifurcaciones en 24 meses, Ethereum no ha corrido tan rápido en años

El borrador de la hoja de ruta de EF está organizado por orden de bifurcación, con las bifurcaciones posteriores ocupadas por letras: H* es Hegotá, seguido de I*, J*, K* y L*. Ethereum contra la cuántica se construirá sobre estas bifurcaciones.

Hegotá, programada para 2027, no es una bifurcación contra la cuántica, pero introducirá transacciones en marco, permitiendo que cada cuenta elija su propio esquema de firma. Este es el camino para deshacerse de ECDSA. I* introduce leanVM, una máquina virtual de prueba mínima, y transacciones "lean" contra la cuántica. J* introduce firmas de validadores basadas en hash y muestreo de datos contra la cuántica, que EF llama un hito de "mínima viabilidad contra la cuántica". K* y L* introducen pruebas de ejecución y el resto de la reestructuración de la arquitectura Lean.

Tres bifurcaciones en 24 meses equivalen a una cada ocho meses. Las brechas de Ethereum en los últimos años han sido de 11 meses, 14 meses y 7 meses, mientras que Glamsterdam ya lleva 11 meses sin completarse. Según el propio algoritmo de EF, para alcanzar L* en diciembre de 2029, se necesita una bifurcación cada 7.2 meses. A un ritmo de 12 meses, solo J* puede llegar a tiempo.

La urgencia proviene de ambos extremos.

Por un lado, el costo de ataque está disminuyendo. En marzo de este año, investigadores de Google Quantum AI, UC Berkeley, la Fundación Ethereum y Stanford publicaron un artículo que estima que se requieren menos de 1200 qubits lógicos y menos de 500,000 qubits físicos para romper la firma de curva elíptica de Ethereum, con un tiempo de ejecución en minutos. Esta velocidad es lo suficientemente rápida como para iniciar un ataque mientras una transacción aún está en la cola de la memoria.

Por otro lado, está el riesgo de "post-AI" del que habla Drake. En julio, Anthropic informó que su modelo encontró un método de ataque que redujo la dificultad de recuperar la clave del esquema de firma de rejilla HAWK-256 de aproximadamente 2^64 operaciones a aproximadamente 2^38, lo que representa una disminución significativa en la dificultad. En octubre, Drake instó a la industria a "comenzar a planificar con calma el modo búnker", es decir, prepararse para lo peor: en caso de que la matemática asistida por AI rompa ECDSA antes que cualquier computadora cuántica.

Ambas líneas apuntan en la misma dirección: funciones hash. En los primitivos criptográficos, depende de las suposiciones más mínimas y es la más difícil de romper.

Glamsterdam se estanca: un reajuste de gas interrumpe la línea principal

Glamsterdam comenzó a funcionar en la red de prueba Sepolia el 6 de octubre. Dos cambios centrales están bien diseñados: la separación de proponentes y constructores incorpora las ofertas de los constructores en el protocolo y mueve la ejecución fuera de la ruta crítica del slot; la lista de acceso a nivel de bloque declara por adelantado el conjunto de lectura/escritura de cada bloque, permitiendo que los clientes ejecuten en paralelo.

El problema radica en el reajuste de precios. EIP-8037 establece el nuevo precio de estado en 1530 gas por byte para ralentizar el crecimiento del estado. Escribir en un nuevo espacio de almacenamiento aumentó de 22100 gas a 110020 gas, y desplegar un contrato de 24 kB costó aproximadamente 8 veces más. Este nivel de costo no cabe dentro del límite de gas de 224 por transacción (así está escrito, se sospecha que es un error de 2^24). Por lo tanto, el gas que excede el límite entra en un fondo de reserva de gas de estado independiente, que se transfiere completamente al contrato llamado, y se devuelve en caso de que la llamada se revierta.

ChainSecurity señala que esto permitirá que los procesadores que antes se interrumpieron por falta de gas ahora puedan completarse, eludiendo así las verificaciones comunes contra interferencias maliciosas. EF enumeró ocho invariantes que se rompieron, es decir, reglas que deben mantenerse en el protocolo; AllCoreDevs resumió que 13 proyectos DeFi se vieron afectados. La red de prueba Hoodi fue retrasada, y no se proporcionaron fechas para Hoodi o la red principal. El coordinador de All Core Devs, Nixo, escribió que esto "probablemente empuje el lanzamiento de la red principal de Glamsterdam a 2027".

La lección no es solo un EIP. La verdadera interfaz de la blockchain es cada comportamiento observable: costo de gas, regla 63/64, si una cuenta puede ejecutar código: cada uno de estos es un riesgo de migración. Esto es importante porque la transacción en marco de Hegotá incluye EIP-8037 como un requisito.

Hegotá: resistencia a la censura y firmas intercambiables

Hegotá tiene dos mecanismos clave. FOCIL (EIP-7805) requiere que 16 validadores en cada slot publiquen una lista que contenga transacciones del grupo de transacciones de hasta 8 KiB. El siguiente bloque debe incluir estas transacciones, a menos que sean inválidas o el bloque esté lleno, y los probadores deben forzar la ejecución a través de la selección de bifurcación. Para censurar una transacción, ahora se debe hacer que todos los que la ven actúen juntos, en lugar de solo resolver un constructor.

Las transacciones en marco (EIP-8141) permiten que las cuentas definan cómo autorizar, por lo que pueden migrar a firmas contra la cuántica sin necesidad de bifurcar cada vez que cambian de esquema. Las propuestas rechazadas ilustran mejor la filosofía de diseño: pruebas de ejecución opcionales, grupos de privacidad integrados, block-in-blobs, siendo esta última rechazada porque profundiza la dependencia de los compromisos KZG. La memoria criptográfica LUCID se retrasó para bifurcaciones posteriores. Ethereum ha optado repetidamente por mecanismos que mejoren la plataforma del protocolo en lugar de integrar aplicaciones específicas.

El costo del consenso contra la cuántica: firmas más largas, agregación como solución

Los validadores deben registrar una clave basada en hash inactiva además de las claves existentes (borrador de EIP-8450). La firma leanXMSS tiene 2404 bytes, mientras que BLS solo requiere 96 bytes. Las firmas BLS pueden sumarse, mientras que las firmas basadas en hash no pueden, por lo que el agregador debe demostrar que ha verificado todas las firmas. LeanVM puede agregar aproximadamente 965 firmas por segundo en una computadora portátil, convirtiendo 1500 firmas en 265 KiB de prueba, que se verifica en 7.4 milisegundos.

En la capa de datos, el compromiso KZG da paso a LeanDA, que utiliza compromisos Merkle y pruebas leanVM para demostrar que los datos están correctamente codificados. En el lado del usuario, la billetera obtiene leanSPHINCS, con una firma de 7740 bytes, pero después de la agregación en la memoria (EIP-8288), cada uno cuesta aproximadamente 33000 gas; verificar uno directamente requiere entre 150000 y 200000 gas.

"La verificación formal" necesita una aclaración. Drake anunció la verificación formal de extremo a extremo de leanVM. El trabajo de Lean 4 del proyecto demostró la fiabilidad de la semántica de las instrucciones y las restricciones, pero la implementación en Rust solo realizó pruebas diferenciales, y la fiabilidad de las pruebas recursivas sigue siendo un problema abierto, y el código aún no está listo para producción.

EIP-8288: trasladando la criptografía a la memoria

Si hay una propuesta que representa hacia dónde Vitalik Buterin quiere llevar a Ethereum, es EIP-8288 "agregación de firmas y pruebas en la memoria". Él coescribió el borrador en junio con Thomas Coratger. Una serie de publicaciones del 19 de octubre expresaron el argumento de manera muy clara: la precompilación y EVM no son adecuadas para soportar la mayoría del soporte criptográfico de Ethereum, ya que ambos deben procesar datos que deben entrar en la cadena. Su artículo de septiembre ya había incluido el procesamiento paralelo de firmas y pruebas en la memoria como parte del diseño de Ethereum 2030.

Esto resuelve el problema de volumen. Una firma basada en hash de 2 a 3 KB requiere entre 150000 y 200000 gas para verificar en EVM. STARK, que requieren los protocolos de privacidad, son de 128 a 512 KB. Si se envían uno por uno a la cadena, las cuentas contra la cuántica serían extremadamente costosas, las transacciones de privacidad también serían poco prácticas, y ambas son demasiado grandes para pasar la lista de inclusión de FOCIL.

EIP-8288 mantiene los datos pesados fuera de la cadena. Las transacciones solo declaran, no transportan: la transacción de marco (EIP-8141) introduce un nuevo modo de marco, listando las dependencias como referencias de 96 bytes ------ esquema, hash de datos, hash de clave. Una transacción puede declarar hasta 16 firmas leanSPHINCS y un STARK. Los nodos verifican las firmas reales y las pruebas cuando la transacción llega, y las pliegan en un STARK recursivo cada segundo. Los constructores y los involucrados en FOCIL hacen lo mismo con el contenido que empaquetan. El encabezado del bloque solo agrega un STARK recursivo, cubriendo todas las dependencias dentro del bloque, y el validador solo verifica este único elemento.

Esto trae varios resultados. Las firmas resistentes a la computación cuántica se vuelven más baratas: una firma leanSPHINCS cuesta alrededor de 33,000 gas, 3,000 provienen del marco en sí, y 30,000 son su distribución en el STARK del bloque; la verificación directa requiere entre 150,000 y 200,000. La privacidad se vuelve asequible: una vez que se abre la dependencia STARK (ya reservada en el borrador actual), la verificación en cadena requiere pruebas de privacidad que cuestan millones de gas, aproximadamente 60,000 gas. No es necesario agregar precompilaciones para cada esquema: los nuevos esquemas de firma pueden incluirse en la prueba sin esperar bifurcaciones. Los desarrolladores principales ya están avanzando en esta dirección: en octubre, rechazaron la precompilación de ML-DSA para Hegotá, prefiriendo un esquema basado en hash. El costo del bloque tiene un límite: la norma controla el costo del constructor en aproximadamente 256 KB por intervalo de agregación, sin importar cuántas firmas haya dentro.

Pero aún es temprano. EIP-8288 es un borrador, la dependencia STARK está solo reservada, y el hash de la clave de agregación y las dependencias aún están marcados como "pendientes". La reversión de transacciones también tiene un costo, y el autor admite que aumentará el riesgo de ataques de denegación de servicio en la memoria, y afirma que la fiabilidad de las pruebas recursivas es "ampliamente creída" pero aún no probada. Coverage dice que está orientado a bifurcaciones posteriores a Hegotá, pero no hay ningún cronograma. También depende de que Hegotá implemente transacciones de marco, que a su vez dependen de la revalorización de Glamsterdam, que está en revisión.

Finalidad, pruebas y otros avances

La finalidad de Ethereum actualmente requiere aproximadamente 16 minutos. El borrador EIP-8453 "desacopla el consenso" dividiendo esto en dos partes: una cadena rápida y utilizable, confirmada por un comité de aproximadamente 512 validadores; y un componente de finalidad independiente, operado por todos los validadores. El objetivo principal es acelerar la finalidad al menos cuatro veces. Un objetivo a más largo plazo está escrito en finality.watch: desde 36 segundos exploratorios (el sitio web señala "no es una predicción"), apuntando hacia un bloque por segundo y dos segundos para la confirmación final. Mientras tanto, la Regla de Confirmación Rápida permite que los intercambios y los puentes entre cadenas reduzcan el tiempo de confirmación de depósitos a entre 12 y 24 segundos.

Al sustituir la reejecución por pruebas, el problema de velocidad ya se ha resuelto. El 8 de noviembre, tres probadores alcanzaron los estándares en tiempo real de Ethproofs en GPUs de consumo de 4 a 16 bloques, con un costo de prueba por bloque de aproximadamente 0.003 a 0.007 dólares. El nuevo cuello de botella se ha convertido en la garantía de seguridad. El próximo hito de EF es a principios de diciembre, con el objetivo de una seguridad demostrable de 128 bits. Como dijo Cody Gunton en Devcon, "ningún equipo ha presentado una implementación de validador que haya sido formalmente verificada". La integración de pruebas se ha detenido: Hegotá no incluyó pruebas opcionales, y el borrador de la hoja de ruta ha pospuesto las pruebas obligatorias a K*. El aumento del límite de gas también está esperando bifurcaciones posteriores: la red principal sigue siendo de 60 millones de gas por bloque, Sepolia alrededor de 200 millones, mientras que el objetivo de gigagas es alcanzar 200 veces el rendimiento actual.

Los demás avances se pueden resumir brevemente.

En cuanto a los blobs, desde enero el objetivo ha sido 14, con un límite de 21, y de junio a septiembre se utilizó un promedio de aproximadamente 4.4 por bloque, cada blob costando mucho menos de un centavo, con la capacidad superando la demanda.

En cuanto a los rollups, la plataforma de datos L2BEAT ha cambiado su nombre a ETHBEAT, y la mayoría del valor de los rollups sigue en la Etapa 1, con Base alrededor de 14,000 millones de dólares y Arbitrum alrededor de 9,000 millones de dólares.

En términos de interoperabilidad, la Zona Económica de Ethereum ha demostrado en devnet la llamada atómica entre L1 y L2, y Gnosis Chain planea unirse en la primavera de 2027.

En cuanto a la privacidad, el stack de billeteras Kohaku de EF ha demostrado transferencias privadas a través de Privacy Pools y Tornado Cash, aunque el código aún no ha sido auditado.

En cuanto a la seguridad, el 29 de octubre, Binance fue robado por aproximadamente 6.36 mil millones de dólares, atribuido a TraderTraitor de Corea del Norte. El ataque utilizó 50 autorizaciones EIP-7702 prefirmadas para vaciar una billetera caliente. TRM Labs afirma que esta actualización amplificó el ataque, pero no fue la causa.

¿Qué esperar a continuación?

Hay varias cosas a seguir.

• El 12 de noviembre, ACDC #191 y el 19 de noviembre, ACDE #249 discutirán las soluciones para EIP-8037/8038 y darán nuevas fechas para la red de pruebas Hoodi.
• En enero de 2027, se verá si diciembre de 2028 será formalmente establecido como la fecha límite para la resistencia cuántica.
• Si la red de desarrollo de Hegotá puede hacer funcionar simultáneamente FOCIL y las transacciones de marco.
• Qué tipo de registro de claves cuánticas se elegirá finalmente y en qué bifurcación se incluirá.
• Qué función hash y campo finito se elegirá finalmente para leanVM, y si se podrá proporcionar una prueba de fiabilidad de su sistema de pruebas.
• En diciembre, si se alcanzará el hito de seguridad zkEVM de 128 bits de EF.

Ethereum ahora sabe cómo diseñar la versión resistente a la computación cuántica. La pregunta abierta que dejó Mumbai es: ¿puede avanzar en el diseño mientras mantiene un ritmo de entrega de bifurcaciones duras cada ocho meses?