Die Einführung programmierbarer Kontenabstraktion (Account Abstraction) im L1-Mempool eröffnet neue Angriffsflächen: unbezahlte Validierungsarbeit kann zu Denial-of-Service-Attacken führen. Eine exakte theoretische Abgrenzung von Zustandsoperationen – von zustandsunabhängigen über veraltungsverträgliche bis hin zu live-umkämpften Leseoperationen – legt die Machbarkeitsgrenzen für zensurresistente Inklusion (FOCIL) und zustandslose Validierungsnachweise fest. Dieser Artikel fasst die wichtigsten Erkenntnisse aus den EIPs 8141, 8272, 7805 und 8369 sowie aus den theoretischen Grundlagen des CALM-Theorems und der Herlihy-Konsenshierarchie zusammen.

Theoretische Grundlagen: CALM-Theorem und Herlihy-Konsenshierarchie

Das CALM-Theorem (Hellerstein & Alvaro, 2020) beweist, dass nur monotone (d. h. ausschließlich wachsende oder abnehmende) logische Programme koordinationsfrei implementierbar sind. Parallel dazu definiert Maurice Herlihys Arbeit von 1991 die Konsenshierarchie für atomare Register:

• Konsenszahl eines einfachen Read/Write-Registers: 1 (kann keinen Konsens zwischen ≥2 Akteuren lösen).
• Konsenszahl von Test-and-Set, Swap, Fetch-and-Add: 2 (Mindestschwelle für Exactly-Once-Zustandsübergänge, z. B. Nullifier).

Anti-monotone Zusicherungen wie “Nullifier unspent” besitzen mindestens die Konsenszahl 2 und markieren damit die unüberwindbare Grenze koordinationsfreier Mempool-Zulassung.

Klassen-Hierarchie für Mempool-Zulassung

Alle bestehenden Mempool-Admission-Mechanismen lassen sich auf eine einzige Klassifizierungs-Dimension zurückführen: die Order-Dependence (Ordnungsabhängigkeit) einer Lesoperation. Drei Klassen ergeben sich daraus:

Klasse 0 – Single-Writer (Sender-lokal)

• Nur der Sender kann den Zustand ändern (z. B. Nonce, eigener Kontostand).
• Operationen sind monoton und kommutativ, daher koordinationsfrei.
• VOPS-Profile (EIP-8369) kennzeichnen Klasse-0-Transaktionen als zulässig für FOCIL-Durchsetzung.

Klasse 1 – Recent-Root-Bound (veraltungsverträglich)

• Gemeinsamer Wert wird gegen einen gespeicherten State-Root geprüft; ein veralteter Wert ist akzeptabel.
• EIP-8272 führt diesen Zwischenzustand ein und ermöglicht private Transaktionen, ohne Live-Zustand zu lesen.
• MAXVERIFYGAS (EIP-8141, 2026) begrenzt die unbezahlte Validierung auf 100 000 Gas, wodurch auch Klasse-1-Checks bezahlbar bleiben.

Klasse 2 – Live-Contended (live-umkämpft)

• Mehrere Akteure schreiben gleichzeitig in denselben Zustand (z. B. AMM-Preis, First-Come-Slot).
• Lesen ist order-abhängig, erfordert Koordination und ist nicht durch CALM-kompatible Mechanismen abgedeckt.

Spezifikationsdetails von EIP-8141 und EIP-8272

• MAXVERIFYGAS: Obergrenze von 100 000 Gas für den VERIFY-Prefix, um unbezahlte DoS-Wellen zu verhindern (EIP-8141, 2026).
• Maximale Frame-Schritte pro Transaktionsbündel: 64 Frames, die sequenziell verknüpft werden können (EIP-8141, 2026).
• EIP-8272 erlaubt das Einreichen von Merkle-Beweisen gegen Recent Roots, sodass private Transaktionen ohne Zugriff auf den Live-Zustand geprüft werden können.

Zusammenspiel von FOCIL (EIP-7805) und VOPS-Profilen (EIP-8369)

FOCIL (Fork-Choice-Enforced Inclusion Lists) zwingt Validator-Komitees, Transaktionslisten zu inkludieren, um Zensur durch zentrale Builder zu verhindern. Vor der Einführung von FOCIL dominierten die beiden größten Builder über 80 % der Blöcke (2025), was die Notwendigkeit dieser Maßnahme unterstreicht.

• VOPS-Profile bestimmen, welche Transaktionen ohne vollständige Blockausführung geprüft werden können.
• Nur Klasse-0-Transaktionen (sender-lokal) erfüllen die VOPS-Anforderung, weil sie keine live-contended Zustände benötigen.

Der irreduzible Kern: Exactly-Once-Primitiven

Eine Aussage wie “dieser Nullifier ist unspent” ist anti-monoton. Laut CALM-Theorem erfordert sie Koordination, weil sie nicht kommutativ ist. Herlihys Konsenshierarchie bestätigt, dass solche Consume-On-Once-Objekte mindestens die Konsenszahl 2 besitzen und somit nicht aus koordinationsfreien Registern gebaut werden können. Dieser Kern ist unvermeidlich und definiert die unterste Grenze (“irreducible floor”) jedes Ledger-Designs.

Risiken und Gegenmaßnahmen

• Latenz- und Reorganisationsrisiken bei Recent Roots (Klasse 1): Eine kurzfristige Konsens-Reorganisation kann einen State-Root ungültig machen, wodurch Transaktionen trotz korrekter Proofs fehlschlagen.
• Einschränkung von Account-Abstraction-Anwendungsfällen durch strikte Sender-Lokalisierung: Komplexe Multi-Signature-Setups, Social-Recovery-Mechanismen oder dynamische Paymaster-Logiken benötigen häufig Shared State und können nicht als Klasse 0 klassifiziert werden, was Entwickler zu Hilfskonstrukten wie EIP-8272 oder Off-Chain-Nachweisen zwingt.

FAQ

Warum kann ein Nullifier-Check niemals koordinationsfrei im Mempool zugelassen werden?
Ein Nullifier-Check ist eine anti-monotone Zusicherung (“noch nicht verbraucht”). Nach dem CALM-Theorem und Herlihys Konsenshierarchie erfordert das Entwerten eines Einweg-Objekts Koordination (Konsenszahl ≥ 2), da eine parallele Transaktion denselben Nullifier gleichzeitig entwerten könnte.

Welche Rolle spielt EIP-8272 für Privacy-Pools im Vergleich zu EIP-8141?
EIP-8141 verbietet externe Speicherlesevorgänge während der Validierung. EIP-8272 ermöglicht privaten Transaktionen, Merkle-Beweise gegen einen kürzlich bestätigten State-Root einzureichen, sodass Zero-Knowledge-Beweise ohne Live-Speicherzugriff geprüft werden können.

Warum genügt eine Beschränkung nach gelesenem Datenvolumen nicht zur Mempool-Absicherung?
Das Datenvolumen ist blind für Nebenläufigkeit: Ein einzelner geteilter Speicherplatz (z. B. ein AMM-Preis) kann durch eine Transaktion hunderte Mempool-Einträge invalidieren, während tausende Zugriffe auf sender-eigene Kontostände völlig konfliktfrei bleiben.

Fazit

Die Ordnung-Abhängigkeit, nicht das gelesene Datenvolumen, ist die entscheidende Kennzahl für die koordinationsfreie Zulassung von Frame-Transaction-Validierungen. Klasse 0 (single-writer) und Klasse 1 (recent-root-bound) lassen sich durch CALM-kompatible Mechanismen absichern, während Klasse 2 (live-contended) zwingend Koordination erfordert. Das CALM-Theorem und die Herlihy-Konsenshierarchie liefern das mathematisch-theoretische Fundament für diese Einordnung und erklären, warum Exactly-Once-Primitiven – etwa Nullifier-Checks – die unvermeidliche, sequenzierte Kernkomponente jedes Ledger-Systems bleiben. Durch die Kombination von EIP-8141, EIP-8272, FOCIL und VOPS-Profilen wird die Grenze zwischen koordinationsfreiem und koordinationspflichtigem Mempool-Design klar gezogen und bietet Entwicklern sowie Protokoll-Designern ein robustes Rahmenwerk für zensurresistente, DoS-geschützte Transaktionsverarbeitung.