Ich habe einmal gesehen, wie ein Unternehmen einen Prozess zur Freigabe von Dokumenten per E-Mail durchführte. Zunächst musste ein Dokument nur von drei Personen geprüft werden, bevor es versendet wurde. Die erste Person überarbeitete es, die zweite überprüfte es, und die letzte Person gab es frei. Alles lief innerhalb weniger Stunden. Doch wenn der Prozess wächst und immer mehr Beteiligte hinzukommen – von der Rechtsabteilung über das Finanzwesen bis hin zum Betrieb – kann es viele Tage dauern, nur um genug Feedback einzusammeln. Jemand ist im Urlaub, jemand hat die E-Mail übersehen, jemand antwortet auf eine alte Version. Die Freigabe an sich ist nicht das Problem. Das Problem ist die Koordination mehrerer Beteiligter. Die Freigabe selbst war nie die Frage. Die Frage ist die Abstimmung rund um das Einsammeln von zwölf einzelnen Unterschriften.
Dieses Erinnern taucht immer wieder in meinem Kopf auf, wenn ich über BLS-Multisig-Wallets nachdenke. Gnosis Safe, der Standard für Multisig on-chain, funktioniert genau wie dieses Papier. Jede Person erzeugt ihre eigene ECDSA-Signatur. Diese Signaturen werden off-chain gesammelt, zu einer einzigen Transaktion zusammengefasst und verschickt. Der Smart Contract prüft jede Signatur anhand seiner Besitzerliste. Bei einem 3-of-5 sind das drei Aufrufe von ecrecover, die calldata-Daten sind äquivalent zu drei Signaturen, und die Gas-Kosten steigen linear mit der Schwelle. Das funktioniert gut mit kleinen Teams. Zwei Gründer, drei Mitglieder im Vorstand, vielleicht ein DAO mit fünf Signierern. Aber wenn die Gruppe größer wird, steigt die Reibung. Ein 15-of-20-Multisig bedeutet, dass fünfzehn separate Signaturen on-chain verifiziert werden müssen. Das sind fünfzehn ecrecover-Operationen, die allein fürs Signatur-Checking etwa 45.000 Gas kosten. Nur die calldata für fünfzehn Signaturen zu je 65 Byte plus die entsprechenden Adressen verursacht zusätzlich Last für die Transaktion. Und off-chain muss trotzdem jemand diese zehn Signaturen zusammenklauben, bevor die Transaktion überhaupt gesendet werden kann. Die Koordinationskosten wirken nicht nur auf die Blockchain. Sie wirken zuerst auf Menschen.
Newton verfolgt einen anderen Ansatz als die Aggregation von BLS-Signaturen auf der BN254-Kurve. Wenn AVS-Operatoren einen Intent auswerten und dem Ergebnis zustimmen, signiert jeder mit seinem eigenen privaten BLS-Schlüssel. Aber anstatt alle diese Signaturen an die Bescheinigung anzuhängen, kombiniert ein Aggregator sie zu einer einzigen aggregierten Signatur fester Größe. Der PolicyClient-Contract verifiziert diese Signatur anhand des aggregierten öffentlichen Schlüssels der Menge an Operatoren. Egal ob Quorum 3-of-5 oder 100-of-200 ist, die Verifizierungskosten bleiben gleich. Einmal Pairing-Check. Fixes Gas. Das ist der technische Unterschied. Ein ecrecover pro Signierer gegenüber einem einzigen BLS-Pairing-Check für die gesamte Menge.
Aber das, was ich am spannendsten finde, ist, wie sich dadurch das Off-chain-Koordinationsmodell verändert. In einem traditionellen Multisig musst du der Sammlung jeder einzelnen Signatur von jeder einzelnen Person hinterherlaufen. Menschen können offline sein. Sie verpassen Nachrichten. Sie signieren mit dem falschen Nonce. Die Transaktion hängt fest, bis das Quorum manuell eingesammelt wurde. Die Newton-Operatoren sind stets online, so ist es entworfen. Sie betreiben Infrastruktur, nicht eine Wallet-App zwischen Meetings zu prüfen. Die Aggregation läuft automatisch als Teil des Konsensprozesses ab. Niemand muss zu jeder Person gehen, um Unterschriften einzusammeln. Der Trade-off liegt in der Transparenz. Bei Gnosis Safe kannst du calldata ansehen und genau erkennen, welche Eigentümer unterschrieben haben. Der Vertrag emittiert Events für jede einzelne Signatur. Es gibt eine Audit-Spur. Bei BLS-Aggregation ist die finale Signatur ein einziges Blob. Mathematisch kannst du beweisen, dass das Quorum erreicht wurde, aber du kannst nicht ohne Weiteres extrahieren, welche konkreten Operatoren unterschrieben haben. Die Aggregation wird für den normalen Beobachter zu einer Blackbox.
Das ist in Ordnung für eine Policy-Engine, der du Quorum vertraust oder nicht. Aber für die Governance einer Organisation, bei der es wichtig ist zu wissen, wer in welche Richtung abgestimmt hat, hat das traditionelle Multisig-Modell einen Vorteil.
Ich denke ständig darüber nach, wo die eigentliche Engstelle liegt. Für ein kleines Team, das eine gemeinsame Kasse verwaltet, reicht Gnosis Safe völlig aus. Die Gas-Kosten für fünf Signierer sind vernachlässigbar. Die Koordinationskosten sind minimal. Aber für ein Protokoll wie Newton, bei dem Dutzende von Operatoren politische Bewertungen in hoher Frequenz verifizieren müssen, bricht das Multisig-Modell unter seinem eigenen Gewicht zusammen. Die Aggregation ist nicht nur eine kleine Optimierung. Sie ist das, was das gesamte System in großem Maßstab überhaupt erst funktionsfähig macht. Ich bin mir immer noch nicht ganz sicher, wie der Aggregator ausgewählt oder rotiert wird. Die Dokumente erwähnen, dass er die einzelnen BLS-Signaturen zu einem einzigen Beweis zusammenführt, sobald das Quorum erreicht ist, aber ich habe noch keine Details gefunden, ob irgendein Operator die Rolle des Aggregators übernehmen kann oder ob es eine zugewiesene Rolle ist.
Vielleicht gibt es einen Mechanismus zur Wahl eines Leaders, oder es wird deterministisch auf Basis des Blocks festgelegt. Wenn der Aggregator bösartiges Verhalten zeigt, könnten sie theoretisch alles verzögern, aber sie können keine gültige Aggregation fälschen, wenn nicht genügend Signatur-Quoren individueller Operatoren vorliegen. Die Annahme über die Sicherheit bleibt unverändert. Nur die Fähigkeit zum unterbrechungsfreien Betrieb wird beeinträchtigt. Was in mir übrig bleibt, ist das Bild, dass eine wichtige Projektentscheidung auf dem Bildschirm verzögert wird, während alle darauf warten, dass jedes verbleibende Mitglied seine Bestätigung abgibt. Das technische Problem und das soziale Problem stellten sich am Ende als dasselbe heraus. Die Newtonsche BLS-Aggregation löst beides. Aber ich frage mich, ob es irgendeine Schwelle gibt – vielleicht um zwanzig oder dreißig Unterzeichner herum –, bei der selbst die menschliche Koordination rund um das Verwalten von Schlüsseln zur nächsten Engstelle wird und kein Signaturschema das mehr beheben kann. Vielleicht ist das das nächste Problem.