Fundador da bb84 payments põe no ar L2 sem ECDSA, com contas baseadas em hash chains no estilo Lamport

O projeto roda como rollup OP Stack na mainnet da Ethereum (chain ID 42069000, em operação desde 30 de setembro de 2026) e elimina a assinatura das transações dentro da L2. Cada conta é a ponta de uma hash chain keccak-256. Gastar revela o próximo preimage, e a única premissa criptográfica interna é a resistência a preimage do keccak-256, que o algoritmo de Grover reduz a cerca de 2^128 de trabalho. O texto é de autoria do próprio fundador da bb84, que declara o conflito de interesse e pede crítica.

Na camada de protocolo, o predeploy NullifierTree guarda por endereço o último reveal, a profundidade da cadeia e os nullifiers gastos. Dois tipos EIP-2718 no op-geth, 0x7C (commit) e 0x7F (reveal), separam a vinculação do preimage a uma transação da sua publicação. A primeira versão sobrescrevia o commit pendente, o que permitia a um atacante que lesse o preimage trocar o commit da vítima. A correção, a regra first commit wins, foi ativada em 21 de outubro de 2026. O próprio autor admite limites: o ECDSA segue na fronteira com a L1, não há fault proofs (nem Stage 0 pelo critério da L2BEAT), o sequencer é centralizado, os endereços de 160 bits caem para cerca de 2^80 contra second preimage quântico, e carteiras stateful podem se bloquear ao perder a posição na cadeia, o que já ocorreu em produção.

Para quem opera infraestrutura de pagamentos em L2, o experimento mostra um caminho pós-quântico que depende só de hash, sem provas ZK nem esquemas de assinatura novos. A leitura aqui é que o custo é operacional: estado por conta, ressincronização obrigatória da carteira e um passo de commit que ainda não é autenticado. Com sequencer centralizado e sem fault proofs, trata-se de prova de conceito em produção, não de modelo pronto para generalizar.