量子计算机还没来，签名先胖了。

现在以太坊共识层用的是 BLS，96 字节，几十万个验证者的投票能直接相加成一坨。换成抗量子签名，这个便利就没了：哈希签名的体积是 BLS 的十几倍，而且不能相加。想在共识层抗量子，第一道坎不是密码学，是带宽。

10 月 16 日，LayerZero Labs 拉着 a16z crypto research、卡内基梅隆和帝国理工发了个叫 Aerie 的东西，专门解决这一格。

0.65 秒，3.2 万个签名

数字先摆出来，因为这次数字确实能打：

• 在 M4 Max 的 MacBook Pro 上，16 个 CPU 核、不开 GPU，聚合 32,768 个 Falcon-512 签名用 0.65 秒
• 16,384 个 Falcon-1024，0.63 秒
• 峰值内存 2.1 GiB，吞吐约 46,000 个/秒
• 聚合后的证明摊到每个签名约 42 字节，比上一代方案小 16 倍
• 验证这份证明，比单核逐个验那 3.2 万个签名快 10 倍

技术上让我觉得有意思的不是”快”，是它绕开了什么。Falcon 验证里最贵的是哈希，Aerie 的做法是把 salt 公开出去，让验证者自己算哈希，证明器只证多项式环和范数方程。这个观察出自 Aardal 等人 CRYPTO 2024 的论文，但把模板做成能跑的性能是另一回事。上一代 Orthus 慢就慢在验证，Aerie 在这项上快了 38 倍。

和以太坊的 leanVM 比，谁赢

LayerZero 自己在博客里对比了 leanVM：同样的 M4 Max，leanVM 聚合 leanXMSS 大约 1,600 个/秒，Aerie 是 46,000。差 28 倍，看着是碾压。

但这个比法有点占便宜。

leanVM 的设计目标不是吞吐，是证明大小接近常量——EIP-8292 里写的典型值是 185–230 KiB，1,000 个签名 16 核要证明 2.6 秒。Aerie 反过来，42 字节 × 签名数量，线性增长。

所以两边的甜区根本不一样。我按公开数字粗略算了一下：42 字节对 200 KiB 的常量，交叉点大约在 4,700 个签名。低于这个数，Aerie 又小又快；高于这个数，leanVM 的常量证明开始赢。真要把百万级验证者塞进一个证明，Aerie 这条线的证明得 40 MB 量级——不现实。

那它给谁用

我认为 Aerie 最现实的第一个客户不是以太坊共识，是跨链。

LayerZero 每天要干的活，就是在一个链上验证另一条链的一批签名：DVN 的 attestation、轻客户端、桥的验证者集合。这些集合的规模经常是几十到几千，正好落在 Aerie 的甜区里。它不是”顺手做了个研究”，是把自己的成本中心拿出来优化了。这点动机比论文本身更值得注意。

当然，冷水也要泼：

这是研究，不是产品。FIPS 206 还没定稿（预计 2026 年底到 2027 年初），Aerie 优化的是一个可能还会动的签名编码。另外，抗量子聚合天然需要一个”谁来算证明”的角色，EIP-8292 管这叫 aggregator，是个自愿参与的高配节点——证明这件事一旦集中，风险就从密码学挪到了运维。

所以 Aerie 没有”解决”量子威胁。它只是把这道题从”能不能抗量子”，推到了”谁付这笔证明的钱”。

免责声明：以上内容仅供娱乐交流，不构成任何投资建议。DYOR。

cryptocurrencies # blockchain # pickful