<div dir="ltr"><p style="margin:0px 0px 1em;padding:0px;border:0px;font-size:14px;vertical-align:baseline;clear:both;color:rgb(17,17,17);font-family:'Helvetica Neue',Arial,sans-serif;line-height:19.6000003814697px;background-color:rgb(253,253,253)">Is there an efficient way to batch-verify signatures (e.g. some may be incorrect) and then non-interactively aggregate the correct ones into a multisignature (they are of the same message) such that all operations are fast (e.g. don't require linear pairing operations)?</p><p style="margin:0px 0px 1em;padding:0px;border:0px;font-size:14px;vertical-align:baseline;clear:both;color:rgb(17,17,17);font-family:'Helvetica Neue',Arial,sans-serif;line-height:19.6000003814697px;background-color:rgb(253,253,253)">I've been looking around (BLS, EdDSA, Schnorr) but it appears that there's a tradeoff... I'm not aware of any scheme that allows me to do both, as stated in the question.</p><p style="margin:0px 0px 1em;padding:0px;border:0px;font-size:14px;vertical-align:baseline;clear:both;color:rgb(17,17,17);font-family:'Helvetica Neue',Arial,sans-serif;line-height:19.6000003814697px;background-color:rgb(253,253,253)">Since I'll be dealing with many signers on the order of tens of thousands, the signatures must be relatively short on the order of less than 100 bytes.  And since they must be verified before aggregation and any number of them may fail, I don't see how I can use pairing schemes.</p></div>