Die zunehmende Leistungsfähigkeit von Quantencomputern stellt die Sicherheit von Smart Contracts, die auf klassischen ECDSA-Signaturen basieren, vor ein existenzielles Problem. Insbesondere unveränderliche Verträge wie ERC-2612-Permits setzen fest auf die EVM-Precompile-Adresse für die Signatur-Validierung. Ohne eine saubere Rückwärtskompatibilität und ein wirksames Verfahren zur Deaktivierung alter Schlüssel drohen systemweite Signaturfälschungen und Downgrade-Angriffe, sobald ein kryptografisch relevanter Quantencomputer (CRQC) verfügbar wird.

Warum klassische ECDSA-Signaturen gefährdet sind

Die ECDSA-Signaturen auf der Kurve secp256k1 können durch Shors Algorithmus auf Quantencomputern gebrochen werden. Dadurch lässt sich aus dem on-chain veröffentlichten Public Key der zugehörige Private Key rekonstruieren. Ein Angreifer, der den privaten Schlüssel erlangt, kann gültige Signaturen erzeugen und damit Transaktionen im Namen des Opfers ausführen.

EIP-8141 Frame Transactions als Migrationspfad

Der Vorschlag EIP-8141 definiert einen neuen Transaktionstyp-Identifier ( 0x06 ), der die Trennung von Validierungs-, Ausführungs- und Signatur-Frames ermöglicht. Durch die Verwendung von Sentinel-Werten ( v = 27, s = 0 ) in der 65-Byte-Signaturstruktur kann ein vorhandener ECDSA-Aufruf elegant auf einen Post-Quantum-Verifikationspfad umgeleitet werden, ohne dass die ursprüngliche Logik des Contracts verletzt wird. Die Sentinel-Kombination ist mathematisch ungültig für eine echte ECDSA-Signatur, wird jedoch von OpenZeppelin-Bibliotheken (bis Version 4.7) akzeptiert und löst damit den alternativen Pfad aus.

Aufbau einer Frame Transaction

• Erstes Byte: 0x00 als Marker
• Signature-Index: 11 Byte, verweist auf die Position der PQ-Signatur im Frame
• Verification-Function-Id: 20 Byte, identifiziert die zu nutzende PQ-Verifikationsfunktion

Die eigentliche PQ-Signatur kann mehrere Kilobyte umfassen (z. B. ML-DSA-44 mit > 2,4 KB), wodurch die herkömmliche 65-Byte-Struktur nicht mehr ausreicht – ein zentrales Argument für die Einführung von Frame Transactions.

Verwandte Standardisierungsinitiativen

Parallel zu EIP-8141 werden weitere EIPs diskutiert, die die Deaktivierung klassischer Schlüssel auf Protokollebene modellieren:

• EIP-8151: Modifiziert den ecRecover -Precompile, sodass für migrierte Accounts nach EIP-3607/EIP-7702 ein Null-Wert zurückgegeben wird, sobald regulärer Code oder ein deautorisierter Schlüssel vorliegt. Der Gas-Overhead beträgt 3000 Gas + Account-Access-Cost (EIP-2929) (Jahr 2026).
• EIP-8164: Standardisiert die native Schlüssel-Delegation (z. B. auf Ed25519 oder andere PQ-Schemata) unter Nutzung des EIP-7702 -Präfixraums.

Beide Initiativen zeigen, dass die Abschaltung klassischer Signaturen bereits im Ethereum-Standardisierungsprozess verankert ist.

NIST-PQC-Standards: FIPS 204 und FIPS 205

Im August 2024 hat das National Institute of Standards and Technology (NIST) die finalen Standards FIPS 204 (ML-DSA, ehemals CRYSTALS-Dilithium) und FIPS 205 (SLH-DSA) veröffentlicht. Diese gitterbasierten Signaturverfahren benötigen deutlich größere Schlüssel- und Signaturgrößen, was die Notwendigkeit von Frame Transactions und Lookup-Indizes in der EVM unterstreicht. Der Standardstatus ist „Finalisiert“ (Jahr 2024, Quelle S3).

Technische Kennzahlen und Gas-Kosten

• Standard- ecRecover -Aufruf: 3000 Gas (Jahr 2026, Quelle S1)
• Transaktionstyp-Identifier für Frame Transactions (EIP-8141): 0x06 (Jahr 2026, Quelle S2)
• Gas-Overhead für EIP-8151-Precompile: 3000 Gas + Account-Access-Cost (EIP-2929) (Jahr 2026)

Die deutlich größeren Datenmengen von PQ-Signaturen (mehrere Kilobyte) erhöhen die Mempool-Belastung und können die Gas-Limits von Blocks stärker beanspruchen.

Risiken und Gegenmaßnahmen

Bei der Migration gibt es zwei zentrale Gegenwartsrisiken:

• Bruch der EVM-Semantik: Durch State-Lookups in bisher reine (pure) Precompiles wird die Funktion zu einer zustandsabhängigen Operation. Das erschwert Compiler-Optimierungen, statische Analyse und Reentrancy-Garantie (siehe Counterpoint 1).
• Transaktionsgröße und Mempool-Belastung: Gitterbasierte Signaturen (z. B. ML-DSA-44) überschreiten die üblichen 65 Byte-Größen um ein Vielfaches und können die Bandbreite sowie das Gas-Limit stark belasten (siehe Counterpoint 2).

Ein zusätzlicher Schutzmechanismus ist die Einführung eines per-Account-temporären Cutoffs, der nach der Bindung eines PQ-Schlüssels den klassischen Schlüssel automatisch deaktiviert. Dieser Cutoff muss fail-closed sein, um Downgrade-Angriffe zu verhindern.

Häufig gestellte Fragen (FAQ)

Warum genügt es nicht, einfach einen neuen Precompile- oder Opcode-Pfad für post-quantum-Signaturen einzuführen?Unveränderliche Verträge, die bereits fest die Adresse des klassischen ecrecover -Precompiles aufrufen (z. B. dezentrale Börsen mit ERC-2612-Permits), würden durch einen reinen neuen Opcode ungeschützt oder inkompatibel bleiben. Warum ist der Sentinel-Wert besonders abwärtskompatibel?Ältere OpenZeppelin-Bibliotheken (bis Version 4.7) prüfen strikt die Felder v und s. Die Kombination v = 27, s = 0 ist mathematisch ungültig für eine echte ECDSA-Signatur, signalisiert jedoch eindeutig den Ausweichpfad, ohne dass frühe Validierungsprüfungen fehlschlagen.

Zusammenfassung der wichtigsten Punkte

• Quantencomputer können klassische secp256k1 -ECDSA-Schlüssel brechen – ein kritisches Risiko für bestehende Smart Contracts.
• EIP-8141 definiert Frame Transactions (Typ 0x06) und ermöglicht das Einbetten von PQ-Signaturdaten.
• Sentinel-Werte ( v = 27, s = 0 ) leiten die Validierung zu einem PQ-Verifikationspfad um, ohne Legacy-Code zu brechen.
• EIP-8151 und EIP-8164 ergänzen den Ansatz, indem sie die Deaktivierung klassischer Schlüssel und native Schlüssel-Delegation standardisieren.
• NIST-FIPS 204/205 liefern den kryptografischen Rahmen für gitterbasierte Signaturen, die mehrere Kilobyte groß sind.
• Gas-Kosten für klassische ecRecover -Aufrufe betragen 3000 Gas; zusätzliche Overheads durch neue Precompiles liegen im ähnlichen Bereich.
• Risiken umfassen semantische Änderungen in Precompiles und erhöhte Transaktionsgrößen, die durch sorgfältige Cutoff-Mechanismen und Optimierungen gemindert werden müssen.

Fazit

Die Kombination aus EIP-8141 Frame Transactions, Sentinel-Werten und den Standardisierungsinitiativen EIP-8151/EIP-8164 bietet einen praktikablen Weg, unveränderliche Ethereum-Contracts gegen die bevorstehende Bedrohung durch Quantencomputer zu schützen. Durch die Einbindung der NIST-PQC-Standards (FIPS 204/205) wird zudem ein klarer kryptografischer Rahmen geschaffen, der die erforderlichen, deutlich größeren Signatur-Payloads unterstützt. Damit wird ein Bindeglied zwischen Abwärtskompatibilität und langfristiger kryptografischer Sicherheit geschaffen – vorausgesetzt, die Implementierung berücksichtigt die identifizierten Risiken und etabliert robuste, fail-closed Cutoff-Mechanismen zur endgültigen Deaktivierung klassischer ECDSA-Schlüssel.