Mit dem wachsenden Bedarf an programmierbarer Validierung und geteilten Konten in Ethereum eröffnet das Hegotá-Upgrade neue Möglichkeiten, aber auch neue Angriffsvektoren. Die lokalen Mempool-Policy MATCHA wurde entwickelt, um DoS-Risiken zu begrenzen, ohne zentrale Whitelists oder Staking-Hürden zu benötigen. Der Ansatz nutzt die Ressourcen-Schranke width, die ausschließlich aus finalisiertem Gas gewonnen und bei Revalidierung unwiderruflich verbraucht wird, sowie die ökonomische Abschreckung durch FOCIL (EIP-7805 / EIP-8369).
Warum MATCHA im Kontext von EIP-8141 und EIP-8250 wichtig ist
EIP-8141 (Frame Transactions) begrenzt aus DoS-Schutzgründen die Standard-Mempool-Zulassung auf maximal eine anhängige Transaktion pro Sender. EIP-8250 führt Keyed Nonces ein, die mehrere parallele Transaktionen desselben Senders erlauben. Diese Kombination eröffnet das Risiko wiederholter Masseninvalidierungen im P2P-Mempool. MATCHA löst dieses Dilemma, indem es zusätzliche Transaktionen nur gegen die lokal verfügbare width zulässt.
Kernelemente des MATCHA-Modells
- Width: Erworben durch das tatsächlich in finalisierten Blöcken verbrauchte Gas, lokal gekappt und bei jeder zusätzlichen Transaktion verbraucht.
- FOCIL (Fork-choice enforced Inclusion Lists, EIP-7805 / EIP-8369): Erzwingt die Aufnahme berechtigter Transaktionen in Blöcke durch ein Validator-Kommitee von 16 Validatoren pro Slot.
- Baseline-Transaction: Die erste Frame Transaction eines Senders, die keine Width verbraucht.
Integration in das Hegotá-Upgrade
Der geplante Hegotá-Upgrade (Jahr 2026) bündelt vier Kern-EIPs, die zusammen native Account Abstraction und ZK-freundliche Privatsphäre ohne externe Bundler-Infrastruktur ermöglichen:
- EIP-8141 – Frame Transactions (Typkennung 0x06)
- EIP-8250 – Keyed Nonces for Frame Transactions
- EIP-8272 – Recent Roots
- EIP-7805 – Fork-choice enforced Inclusion Lists (FOCIL)
Damit wird die Mempool-Debatte unmittelbar relevant für die Core-Entwicklung von Ethereum.
Abgrenzung zu ERC-4337 und Vermeidung von Bundler-Risiken
ERC-4337 adressiert DoS-Risiken geteilter Entitäten (z. B. Paymaster) über Reputations- und Staking-Systeme in einem separaten P2P-Mempool. MATCHA hingegen bleibt vollständig im L1-Execution-Client (Geth, Nethermind usw.) und verzichtet auf zentrale Whitelists oder Staking-Hürden. Die Kapazität („width“) wird mathematisch aus On-Chain-Finalität abgeleitet und sofort lokal entwertet.
Vergleichstabelle
| Merkmal | ERC-4337 | MATCHA |
|---|---|---|
| Mempool-Modell | Separater Alt-Mempool (Bundler-Netzwerk) | In-Protocol (L1-Execution-Client) |
| Staking-Hürden | Ja | Nein |
| Whitelist-Abhängigkeit | Ja | Nein |
Sicherheitsaspekte und Gegenmaßnahmen
Obwohl MATCHA die meisten DoS-Vektoren adressiert, gibt es noch offene Risiken, die im Entwurf berücksichtigt werden:
- Latenz durch Bindung an Finalität: Width wird nur aus Transaktionen in finalisierten Blöcken generiert (mindestens 2 Gasper-Epochen, ca. 12,8 Minuten). Burst-artige Transaktionsvolumina von Layer-2-Sequencern können temporär die Kapazität erschöpfen.
- Kapazitätsblockade bei geteilten Paymastern („Nullifier Collisions“): Identische Nullifier können über unterschiedliche Sender-Adressen eingereicht werden. Da Keyed Nonces an (sender, noncekey) gebunden sind, kollidieren diese Transaktionen nicht vorab, verbrauchen jedoch das reservierte Guthaben bzw. die Kapazität des gemeinsamen Paymasters.
Protection against width draining (vor dem Abschnitt „Next steps“)
Die Notwendigkeit einer deterministischen Mempool-Schranke wie MATCHA verdeutlicht das strukturelle Dilemma nativer Account Abstraction auf Protokollebene. Während bisherige Ansätze wie ERC-4337 DoS-Risiken über ein externes Bundler-Netzwerk und Reputations-Scores isolierten, verlagert EIP-8141 die Ausführung direkt in den Execution Layer. Sobald EIP-8250 parallele Nonce-Sequenzen für denselben Sender erlaubt, entfällt der automatische Schutz der linearen Nonce-Kette. Die Bindung von „width“ an finalisiertes Gas vermeidet dabei bewusst zentralisierende Whitelists oder zwingende On-Chain-Stakes.
Gleichzeitig zeigt die Verknüpfung mit Fork-choice enforced Inclusion Lists (FOCIL, EIP-7805) von Thiery & Ma (2025), dass Mempool-Sicherheit künftig eng mit Konsensgarantien verzahnt ist. Ein rotierendes Komitee aus 16 Validatoren pro Slot kann die Aufnahme erzwingen, sodass das Fluten mit Niedriggebühr-Transaktionen keinen risikofreien Charakter mehr hat.
Offene Forschungsfragen bleiben insbesondere bei geteilten Paymastern, wo identische Nullifier über variierende Senderadressen eingereicht werden können und Kapazitätsreservierungen blockieren, bevor Collision-Checks greifen.
FAQs – Häufig gestellte Fragen
Warum genügt der bisherige Gebührenmarkt (Priority Fee) nicht zur DoS-Abwehr bei geteilten Konten?Wird eine Transaktion im Mempool durch On-Chain-Zustandsänderungen vor ihrer Aufnahme in einen Block invalidiert, zahlt der Ersteller kein Gas. Ein Angreifer kann dadurch mit minimalen On-Chain-Kosten wiederholt kostenintensive Validierungsrechnungen bei allen Knoten auslösen.Worin besteht der genaue Unterschied zwischen EIP-8250 und herkömmlichen Nonces?Herkömmliche Nonces erzwingen eine streng lineare Reihenfolge (0, 1, 2…) pro Account. EIP-8250 führt unabhängige Nonce-Schlüssel (noncekey) ein, wodurch Transaktionen verschiedener Nutzer desselben Kontos parallel laufen können, ohne aufeinander warten zu müssen.Wie verhindert FOCIL das gezielte Verstopfen von Kapazitäten mit Niedriggebühr-Transaktionen?FOCIL zwingt Block-Builder über ein Validator-Kommitee dazu, berechtigte Transaktionen verbindlich in Blöcke aufzunehmen. Dadurch steigt die Wahrscheinlichkeit drastisch, dass Spam-Transaktionen tatsächlich ausgeführt werden und der Angreifer die realen Gaskosten zahlen muss.
Statistiken und Kennzahlen
- Metric: EIP-Paket Hegotá-Upgrade – Value: 4 Kern-EIPs (8141, 8250, 8272, 7805) – Year: 2026
- Metric: FOCIL Inclusion-List-Komitee – Value: 16 Validatoren pro Slot – Year: 2026 – Source: S1
- Metric: Standard-Transaktions-Typ für Frames – Value: 0x06 (Typenkennung) – Year: 2026 – Source: S2
- Metric: Legacy-Nonce-Aliasing in EIP-8250 – Value: 0 (Key-Index) – Year: 2026 – Source: S3
Next steps – Weiteres Vorgehen
Der nächste Schritt besteht darin, die Kern-Policy in Clients (Geth, Nethermind usw.) zusammen mit FOCIL zu implementieren und die beiden Ziel-Angriffe zu testen:
- Wiederholte Masseninvalidierung durch eine bösartige Anwendung.
- Kapazitäts-Draining gegen eine ehrliche Anwendung, inklusive mehrfacher Ersetzungen vor der Inclusion.
Die Tests sollen die Admission-Kosten und Kapazitäts-Limits kalibrieren, die Inclusion-Rate während Congestion messen und prüfen, ob FOCIL allein ausreicht oder zusätzliche Mechanismen wie ein Mindest-Gültigkeits-zeitraum oder lineare Gebühren nötig sind. Zudem wird die Durchsatz-Performance bei normalen Aktivitäten evaluiert, um sicherzustellen, dass die gleichzeitige Verarbeitung mehrerer Frame-Transaktionen praktikabel bleibt.
Fazit
MATCHA stellt einen entscheidenden Fortschritt für die Sicherheit des öffentlichen Mempools in Ethereum dar. Durch die Kopplung von width an finalisiertes Gas und die Integration von FOCIL wird ein harter DoS-Grenzwert geschaffen, der weder zentrale Whitelists noch Staking-Mechanismen erfordert. Die Einbindung in das Hegotá-Upgrade verankert die Lösung tief im Kern-Stack von Ethereum und ermöglicht native Account Abstraction sowie ZK-freundliche Privatsphäre ohne externe Bundler-Infrastruktur. Trotz offener Forschungsfragen – insbesondere bei geteilten Paymastern und Latenz-Effekten – bietet MATCHA ein robustes, dezentralisiertes Modell, das die Mempool-Debatte nachhaltig prägt und die Grundlage für die nächste Entwicklungsphase von Ethereum legt.