Die zunehmende Leistungsfähigkeit von Quantencomputern stellt die Sicherheit von Smart Contracts, die auf ECDSA-Signaturen basieren, vor ein existenzielles Problem. Eine wachsende Zahl von bereits deployten Contracts nutzt das ecrecover -Opcode zur Verifikation von ECDSA-Signaturen. Sobald ein Quantencomputer die zugrunde liegenden elliptischen Kurven brechen kann, sind diese Signaturen nicht mehr sicher. Die vorgestellte Migration über Sentinel-Werte und Frame Transactions nach EIP-8141 bietet einen rückwärtskompatiblen Weg, Post-Quantum-Signaturen zu integrieren, ohne bestehende Bytecodes neu zu deployen.

Warum die Migration notwendig ist

Der Kern der Bedrohung liegt in der Fähigkeit von Quantencomputern, die Diskrete-Logarithmus-Probleme, die ECDSA sichern, zu lösen. Sobald ein privater Schlüssel aus einer öffentlichen ECDSA-Adresse rekonstruiert wird, kann ein Angreifer gültige Signaturen erzeugen und Gelder stehlen. Der Wechsel zu quantensicheren Algorithmen wie dem gitterbasierten ML-DSA-44 ist daher unabdingbar, um die Unveränderbarkeit und den Werterhalt von Smart Contracts langfristig zu garantieren.

Quantengerechte Signature-Größen vs. EVM-Stack-Kapazität

• ML-DSA-44 Signaturgröße: 2420 Byte (Quelle S1, 2024)
• ECDSA-Signaturgröße: 65 Byte (Quelle S1, 2026)
• EVM-Stack-Maximum: 256 Slots à 32 Byte (insgesamt 8192 Byte, Quelle S2, 2026)

Die 2420 Byte einer ML-DSA-44-Signatur überschreiten die praktikable Größe für einen einzelnen Stack-Eintrag deutlich. Ein direkter Transfer der Signatur in den Stack würde die maximale Slot-Kapazität sprengen und zu Out-of-Gas-Fehlern führen.

Sentinel-Werte als rückwärtskompatibler Pfad

Sentinel-Werte nutzen den bereits vorhandenen Parameterraum von ecrecover, um einen alternativen Verifikationspfad zu aktivieren, ohne den bestehenden Opcode zu verändern. Der vorgeschlagene Sentinel ist v = 27 und s = 0. Dieser Wert liegt im gültigen Bereich für v (27 oder 28), ist jedoch mathematisch garantiert nicht Teil einer echten ECDSA-Signatur.

Funktionsweise des Sentinel und Vermeidung von Verwechslungen

• Ein reguläres ECDSA-Signature-Pair kann niemals s = 0 besitzen, weil s im Feld 𝔽ₙ invertierbar sein muss.
• Der Sentinel (v=27, s=0) wird daher eindeutig als Trigger für den Post-Quantum-Lookup interpretiert.
• Smart-Contract-Bibliotheken, die strikt auf gültige ECDSA-Werte prüfen (z. B. OpenZeppelin 4.7), akzeptieren den Sentinel nicht als reguläre Signatur, wodurch die Abwärtskompatibilität erhalten bleibt.

Frame Transactions nach EIP-8141 – Entkopplung von Signatur und Stack

EIP-8141 definiert „Frame Transactions“, bei denen große Signaturen in separaten Objekten (Signature-Envelopes) gespeichert und nur per Referenz über den Stack geladen werden. Der Stack enthält lediglich einen 11-Byte-Index und eine 20-Byte-Verifikations-Funktions-ID, die zusammen die Position der Signatur im Frame bestimmen.

Technische Umsetzung und Gas-Kosten

• Aufbau des Referenz-Parameters: 0x00 || signatureIndex (11 Byte) || verificationFunctionId (20 Byte)
• Gas-Kosten für einen Signatur-Lookup aus einem Frame: 21 500 Gas (Quelle S2, 2026)
• Durch die Trennung von Daten und Ausführung bleibt der EVM-Stack innerhalb seiner 256-Slot-Grenze.

Damit können ML-DSA-44-Signaturen sicher verarbeitet werden, ohne die bestehende Opcode-API zu überlasten.

Entwicklungsaufwand und Kostenreduktion

Die Einführung von Sentinel-Werten und Frame Transactions reduziert den Aufwand, bestehende Smart Contracts zu migrieren, erheblich. Da der gleiche Opcode ecrecover aufgerufen wird, ist kein Bytecode-Update nötig. Die Analyse des Ethereum-Magicians-Forums (2025) quantifiziert diesen Vorteil.

Ergebnis der Ethereum-Magicians-Analyse

• Geschätzte Kostenreduktion bei der Migration: 93 % der Entwicklungsressourcen (Quelle S5, 2026)
• Der Ansatz spart Zeit, weil keine umfassenden Änderungen an bestehenden Contracts erforderlich sind.

Die Einsparungen gelten jedoch nur für die Implementierung des neuen Signatur-Pfads; die endgültige Deaktivierung des klassischen ECDSA-Schlüssels bleibt ein separater Schritt.

Gegenargumente und Risiken

Obwohl der Sentinel-Ansatz eine pragmatische Brücke bietet, gibt es offene Risiken, die in einer vollständigen Migration adressiert werden müssen.

Downgrade-Risiko und klassische Schlüssel

• Solange der klassische ECDSA-Schlüssel nicht endgültig entwertet wird, bleibt er aktiv und kann von einem Angreifer nach einem Quantenangriff genutzt werden.
• Ein Downgrade-Angriff würde den Aufruf des klassischen Pfads erlauben, wenn der Sentinel-Pfad nicht gefunden wird.
• Die vollständige Abschaltung des klassischen Pfads erfordert zusätzliche Protokoll-Erweiterungen wie EIP-8164 oder ein temporales Cut-off-Mechanismus (siehe Diskussion im zweiten Info-Block).

Einschränkungen durch die EVM-Eigenschaft

• Ein Zustandsaufruf innerhalb eines Frame-Lookup ist verboten, sodass die Verifikation nicht direkt in den Contract-Code integriert werden kann.
• Die Nutzung von Signature-Lookups oder Key-Bindings muss über fest definierte Precompiles erfolgen, um die EVM-Sicherheit zu wahren.

FAQ – häufige Fragen zur Migration

• Wo genau müssen Post-Quantum-Signaturen im Ethereum-Transaktionsfluss verortet werden? Sie werden in Frame Transactions gemäß EIP-8141 gespeichert und über Sentinel-Werte per Referenz geladen, sodass sie nie direkt im Stack landen.
• Warum ist es problematisch, andere ECDSA-fremde Werte als Sentinel zu verwenden? Viele Smart-Contract-Bibliotheken (z. B. OpenZeppelin 4.7) lehnen nicht-standardisierte Werte ab. Der Sentinel (v=27, s=0) liegt im gültigen Wertebereich und ist garantiert nicht Teil einer echten ECDSA-Signatur.
• Wie verhindert der Sentinel (v=27, s=0) eine Verwechslung mit regulären ECDSA-Signaturen? Im ECDSA-Verfahren muss s invertierbar sein; s=0 ist daher unmöglich und dient als eindeutiger Indikator für den Post-Quantum-Pfad.

Fazit

Die Kombination aus Sentinel-Werten und Frame Transactions nach EIP-8141 stellt einen technisch fundierten und rückwärtskompatiblen Ansatz dar, um die Ethereum-Virtual-Machine für die Post-Quantum-Ära zu rüsten. Durch die Trennung großer Signaturdaten vom Stack können quantensichere Algorithmen wie ML-DSA-44 ohne Überschreitung der Stack-Grenzen eingesetzt werden. Die Analyse des Ethereum-Magicians-Forums belegt, dass der Ansatz den Entwicklungsaufwand um bis zu 93 % reduziert. Dennoch bleibt das Downgrade-Risiko bestehen, solange der klassische ECDSA-Schlüssel nicht endgültig deaktiviert wird – ein Schritt, der durch weitere EIPs (z. B. EIP-8164) oder ein zeitlich verankertes Schlüssel-Binding realisiert werden muss. Insgesamt bietet die vorgeschlagene Migration einen praktikablen Übergangspfad, der sowohl Sicherheit als auch Abwärtskompatibilität berücksichtigt, und legt die Basis für eine langfristig quantensichere Ethereum-Infrastruktur.