Monad 抢跑后量子时代：放弃签名聚合，用「数票」守住 100 毫秒出块。

撰文：@r2Jamong

编译：AididiaoJP，Foresight News

10 月 27 日，Monad 的开发方 Category Labs 发布了 Quantum Cadence——一个后量子共识协议。它是 Cadence 的抗量子版本，而 Cadence 本身是 Monad 今年 7 月才推出的多提议者共识协议，至今尚未上主网。

一个还没落地的共识协议，先出了抗量子版。与其说这是一次产品发布，不如说这是 Monad 在提前亮牌：一条高性能 L1，打算怎么迎接后量子时代。

值得注意的是，Monad 的选择和以太坊几乎完全相反。以太坊的思路是把容易被量子计算机攻破的签名打包方案，重建成抗量子的形态；Monad 则干脆把签名包从共识里整个拿掉。两条链跑的是同一个执行环境——EVM，为什么路线分叉得这么彻底？

签名包：高性能共识的命门

眼下大多数高性能区块链共识，都依赖一种叫「法定人数证书」（quorum certificate，QC）的机制。所谓 QC，就是一捆签名，证明至少三分之二的验证者给同一个区块投了票，验证者之间互相传递这些签名包。BLS 签名让这件事变得便宜：几百个签名可以聚合成一个 96 字节的签名。

问题在于，量子计算机能破 BLS。

而抗量子签名个头大，还聚合不动。BLS 的本事是把几百个验证者的签名压成一个 96 字节的小包，不管多少人投票，传的都是这一小包。换成抗量子签名就不行了：NIST 标准化的 ML-DSA-44 一个签名就是 2420 字节，而且至今没有后量子签名能像 BLS 那样聚合。压不成小包，一份「法定人数证书」就只能把几百个签名一个个列出来，变成几百 KB 的大列表。Monad 要 100 毫秒出块，每个 slot 都广播这个，带宽扛不住。

Monad 的 Cadence 目标出块间隔是 100 毫秒，还允许多个提议者同时提交区块。要让每个验证者在每个 slot 里都广播这样的证书，它承受不起。

Monad 的解法：不签名了，自己数票

Monad 没有等一个更小的后量子聚合方案出现，而是直接把沉重的签名包从共识里剔除。每个验证者自己清点收到的票，自行判断是否达到法定人数。安全性和活性建立在认证通道和哈希之上，而不是签名之上。后量子签名只保留一个用途：指认作恶的验证者。每个验证者每个 slot（出块时隙）最多签两次票。

10 月 23 日发表的论文做了模拟：200 个验证者、1Gbps 链路、无故障路径、5000 字节签名。在 100 个提议者的情况下，每个验证者的上行流量反而降了 27%，从原版 Cadence 的 772Mbps 降到 561Mbps。最终确认时间是 231 毫秒，原版是 229 毫秒，几乎没差别。

以太坊的难题是去中心化，Monad 的难题是速度

以太坊截至 10 月初约有 86 万个活跃验证者。任何人都能加入，让这么分散的一群人直接互相数票，不现实。所以以太坊选择重建签名包：用基于哈希的 leanXMSS 替换 BLS，再用 SNARK 把那些本来就无法直接合并的签名压缩聚合。生成证明要花时间，但以太坊 12 秒的 slot 留足了吸收这份开销的余地。

Monad 正相反。100 毫秒的 slot 间隔，等不起 SNARK 聚合。而 200 个验证者的小集合，又让「每个人直接数所有人的票」成为可能。面对量子威胁，以太坊选的是保住去中心化的设计，Monad 选的是保住速度。

抗量子签名不是万能药

NIST 确实标准化了能扛住量子计算机的签名算法，但这些标准并不能原封不动地套到每个网络的每种场景里。在区块链共识层面，换成后量子签名并不解决所有问题。每个网络都得趁早为自己的问题做准备，而不是等别人来解。

对 Monad 来说，抗量子的关键不在签名算法，而在于把问题放到共识结构层面去解决——那套建立在交换证书之上的结构。其他区块链网络面临同样的问题。EVM 兼容链在迁移账户签名时，或许可以借用以太坊的成果；但共识层是自己的功课，没人替你写。

能威胁区块链网络的量子计算机还不存在，多数预测认为要到 2030 年代初中期才会出现。但剩下的时间并不宽裕。就连以太坊也预计，仅 L1 的过渡就要跑到 2029 年，而共识结构的改动从研究到主网动辄数年。这大概就是为什么 Monad 在 Cadence 还没上主网时，就先放出了抗量子版本。抗量子这件事，等不来别人定标准。它是每个网络必须在自己架构上独立完成的作业。