本文作者：John  编译：Cointime Candice

以太坊合并后，其共识协议涉及两个异构协议的组成，因此，开发者在构建跨链时需要考虑广泛的设计空间。对于我们在下面描述的每个阶段，我们将通过提供一些经验观察、描述攻击面和提供一些进一步阅读的参考资料，试图对它在这个权衡中的位置给出一个有意义的描述。

前言

以太坊的共识模型以及它的发展历史都有很好的记录，因此在本篇文章中，我们将假设你已经对主要概念有一定的了解。虽然我们会对以太坊共识的核心部分进行简要回顾，但这篇文章的目的是作为跨链开发的现场指南，为跨延迟的分布和我们在协议的特定阶段可以预期的还原率提供快速参考。

在一个非常高的层次上，以太坊的共识是基于一组标桩验证者，他们在通过两个独立的机制证明和确定他们对规范链的看法的同时生成区块。第一种机制是一种称为LMD GHOST的分叉选择规则，为全节点提供了一种方法来解决由异步区块生产和投票产生的模糊的区块树，允许验证者决定在哪个链上提出新区块。在区块生产计划的检查点，Casper FFG（一种BFT机制，作用时间更长）在整个验证者集合中发起一轮投票，一旦实现Casper共识，需要2/3的硬阈值才能通过，树被“修剪”成一个单一的规范链，直到检查点，同时树继续前进。

需要重申的一点是，我们将从完整节点的角度讨论共识：正如我们在上一篇文章中所讨论的，最终性和区块安全保证（更广泛）只有在参考链的特定视图时才有意义。当没有给出限定符时，隐含的假设通常是我们从一个完整节点的角度出发，但我们希望在这里明确这一点，因为并非所有桥接设计都符合这一假设。我们将描述的“生命周期”是针对完整节点的观点的，这是一个重要的区别，因为并不是所有的这些阶段都能被轻型客户看到，也不是所有的阶段都带有相同的安全假设。

区块提议

详解

区块提议是一个交易第一次对观察网络的所有节点可见（从共识的角度），并提供最终纳入最终链的第一个有意义的指示。对于桥接交易来说，接近即时的确认显然是一个有吸引力的属性；然而，这伴随着极低的安全门槛，因此只适合用于那些对用户体验或安全无关紧要的应用。

延迟

在理想条件下，每一个时隙都会出现一个提议，即每12秒一次[请注意，这是我们期望提议产生的时间。网络延迟是决定给定节点何时实际看到提议的另一个因素]。然而，虽然时隙的时间表是恒定的，但这并不能保证我们真的会看到一个新的区块，因为有可能一个给定槽的提议者实际上并没有发布。

在对抗性条件下，为了推迟N个连续时隙的区块生产，攻击者必须破坏每个时隙的提议者。如果我们考虑一个模型，攻击者只能通过直接拥有某个时隙的提议者来实现这一目标，那么作为攻击者质押的函数，这种几率遵循二项分布，随着N的增加而呈指数下降。然而，要考虑的其他情况是攻击者试图贿赂或DDOS第三方提议者的情况，这些情况更难以清晰地描述或做出假设，因此我们没有一个明确的模型可以用来确定这些概率的上限。

这里要考虑的另一个因素是来自诚实验证者的提议失败，虽然像个别网络故障或不良节点管理这样的原因可能是一次性的，但如果有很大一部分验证者使用的客户端实现中存在错误，就会出现相关的区块提议失败的串联。到目前为止，这已经被证明是一个更相关的考虑因素，因为我们实际上已经看到这样的情况发生在这里所描述的信标链上，尽管应该注意到，这些情况是在合并之前发生的，并且自那以后，客户端的多样性得到了改善，减少了此类相关故障的可能性。

以下是自合并发生以来所观察到的提议区块之间的时隙延迟分布的简短描述：

逆转风险

由于区块提议步骤发生在任何验证者验证之前，因此在这一点上，我们甚至无法确定最近提议的区块是否会在GHOST选择的链中结束，更不用说在最终确定的链中，因此我们将在下一节讨论分叉选择规则下面临的逆转风险。我们面临的与这个阶段具体相关的风险是来自恶意提议者的双重提议。拥有X%质押的攻击者控制某一特定时隙的提议者的可能性当然只有X%（然而，最好考虑在当地做出合理决定接受贿赂的验证者的比例）。

实际上，在信标链上，只有不到十几个提议者含糊其辞，而且都是在它真正上线合并之前发生的（这里是截至发表之日最后发生的一次）。虽然这个比率非常低，但重要的是要记住，攻击者重复提议的成本当然是以32ETH为上限的，也就是一个验证者的质押（如果是孤立的事件，会更低）。

虽然观察到的比率很低，但它是一个非常弱的安全假设，只有当交易在区块提议时被确认，如果它们被撤销，不会对协议或其用户造成伤害。可以安全地使用区块提议来确认桥接交易的用例是那些不直接或隐含重大价值的服务，如跨链电子邮件。更为普遍的是，如果你用桥接交易证明的状态被合约级保证是不可改变的（尽管你应该对确认这个假设非常谨慎），那么如果你的证明被还原，你不会受到任何伤害，因为它所证明的状态仍然有效。

列入GHOST链

详解

我们所说的包含在链中，具体是指包含在应用LMD GHOST算法所选择的分叉中（这是在Casper下实现最终性的前提条件）。请注意，在这个分叉选择规则下，刚刚被提议的区块不一定会成为链首，所以这是一个比区块提议更强的条件，即使它一开始就在那里，随着区块生产和共识的进展，它也可以被逆转。

虽然GHOST选择的分叉并不保证它不会被逆转（这只是一个适用于我们的本地链视图的规则），但随着植根于我们感兴趣的区块中的子树累积证明权重，我们可以增加我们的信心，相信它会被最终确定，大致类似于我们在Nakamoto协议中计算区块确认数的方式。

同样，在这个过程中，我们无法绝对确定某个区块不会被逆转（事实上，以太坊并没有将其留给主观启发式，而是将“最终性”的确定推迟到Casper），因此，我们可以将此阶段的延迟/逆转权衡考虑为根据区块的子树权重沿梯度下降。

延迟

再一次，由于在分叉选择下的链的进展中没有任何具体的点可以提供新的质量保证，所以没有特别有意义的条件来衡量延迟。如果我们对某个子树达到一定比例的证明权重的预期时间感兴趣，最好是对它的积累速度有一个大致的了解。验证者根据其委员会的预定时隙进行投票，这些时隙在一个epoch中被平均分配，因此，一棵子树至少需要一个时隙（12秒）才能获得验证者集总投票权重的1/32。如果没有竞争的分叉出现，这将以恒定的速度进行。

逆转风险

一般来说，攻击者在LMD GHOST下导致逆转的方式是控制一个时隙的提议者，但拒绝他们的提议，然后揭示一个叉，将一些诚实的区块还原，并将他们的证明权重扔给它。如果我们只考虑天真的攻击，那么如果给定的子树已经累积了N个证明，攻击者就必须拥有相同的证明权重，才能将网络分叉出去。

然而，有一些对抗性策略对此进行了改进。从像雪崩攻击这样的公式中得到的高级启示是，攻击者可以通过他们揭示的时间和他们产生的备用分叉的结构，用他们的证明权实现更深的还原。因此，尽管还原一个区块的难度显然随着其子树证明权重的增加而增加，但很难对此进行准确的定价。

以太坊的分叉选择规则已经做了一些修改，使这些攻击不那么可行，例如忽略那些在证明上含糊其辞的验证者和提议者的提升，这给及时提出的区块提供了额外的权重，但成功攻击所需的确切参数仍然相当模糊。

尽管由于网络不同步或客户端分区，诚实验证者之间也可能发生区块逆转，但以太坊的PoS共识在防止产生“意外”重组的情况方面非常有效，到目前为止，已经证明了比工作证明制度下要稳定得多。

自合并以来，我们自己的完整节点已经经历了大约90次链重组，其中没有一次重演的深度超过一个区块。再次，重要的是，不要不假思索地将此作为先例，认为更深的逆转不可能发生，特别是如果攻击者这样做会有特定的回报情况下。即使验证者的总证明权重为51%，可以防止任何天真的攻击，但仍然没有正式的保证，无法为跨链应用程序还原子树，双重消费攻击的风险（通过导致逆转来实现）尤其需要考虑。

另一个重要的考虑因素是，桥接交易可能包含独特形式的MEV，因此可能为攻击者提供额外的激励，试图重新组织链。因此，跨链应用设计者不仅要考虑GHOST下一般情况下的区块逆转风险，还要考虑他们的协议产生的交易可能（本身）会激励攻击者针对他们的区块，即使他们不能通过双重消费直接获利。

虽然这是一种二阶效应，但必须考虑，因为这意味着预最终确认不仅对直接转移价值的跨链交易（易受双重消费攻击）是危险的，对不直接涉及发送/接收代币的交易也是危险的，但它们确实携带与价值相对应的明确或隐含信息的交易（例如，跨链池的组件发送有关其流动性的更新或oracle更新）。

Casper链头（保持一致）

详解

一个区块在Casper下被证明是合理的，这类似于Tendermint的预投票阶段的完成。在假设至少有2/3的验证者是诚实的（不模糊）的情况下，那么将只有一个典型的区块会得到足够的票数，成为最终性的候选人，但考虑如果这个假设不成立会发生什么也很重要。仅仅这个阶段并不是BFT机制的最终条件，比如Casper（它需要额外的一轮共识来确认对这些投票的同意），但它已经提供了一个强有力的保证，防止逆转，与LMD GHOST相比，这更容易从形式上进行推理。

延迟

如果共识顺利运行，那么每个epoch都会有一个检查点时隙，即32个时隙，即6.4分钟。给定一个随机选择的区块/时隙，到达这些检查点之一的时间平均为16个时隙，均匀分布在0到32之间。

自合并以来，Casper一直顺利、成功地跟上了这一进度；然而，因为这取决于至少2/3的验证器集的活跃度，我们不能确定，根据这个时间表，一轮完整的Casper总是成功的。即使在超过1/3的验证者离线的情况下，无论是由于相关的中断还是恶意尝试停止链，Casper都被设计为最终能够通过非活动泄漏再次前进，而无需硬分叉。因此，在最坏的情况下，如果验证者发生重大停机，区块达到合理化的时间可能会延长到几天或几周。

逆转风险

幸运的是，到目前为止，在验证者中还没有出现大规模的等价交换，所以冲突的Casper分叉的威胁还没有在实践中实现。虽然GHOST链的负责人可以看到完全在协议规则内的逆转，可能有一小部分验证者有恶意行为，但Casper只能在大量验证者愿意对投票进行双重签名的情况下产生模棱两可的结果，这将需要至少1/3的验证者进行模棱两可的处理。

虽然以太坊无法保证这种情况不会发生，但它确实可以保证，如果两个冲突的Casper链成功达成共识，那么至少有1070万ETH（按目前验证者集合规模约50万）将在两个分叉上被烧毁。对于那些不涉及太多“直接”价值的高MEV交易的情况，可能在这个阶段可以安全地确认，这要归功于高价格的逆转；然而，对于涉及直接价值转移的应用，更安全的选择是等待另一轮共识来实现最终结果。

Casper的最终确定性

详解

Casper下的最终性是以太坊共识提供的最有力的保证，需要在证明理由的基础上再进行一轮投票。如果逆转或双重支出存在生存威胁，那么高风险应用当然需要尽可能高的安全性。

延迟

如果一个区块被论证可以比作Tendermint的预承诺阶段的完成，那么实现最终性就类似于预投票阶段。然而，Casper的有趣之处在于，它采用了这两个投票阶段，并在某种意义上“管道化”。当验证者签署Casper投票时，他们不是为单个检查点块投票，而是为两个检查点之间的过渡投票。调整区块的过程与最终确定区块的过程相同，只是阶段性地往后移了一个epoch。因此，区块最终确定之间的延迟与论证之间的延迟遵循相同的分布，从某个感兴趣的区块的角度来看，预计最终确定的时间只是论证的时间加上另一个epoch，也就是再加上6.4分钟。最坏情况下的考虑与论证相同，需要等待，直到非活动性泄漏推送出离线验证者。

逆转风险

虽然从技术上讲，只需要三分之一的验证者权益权重就可以恢复最终性，为了成功证明并最终确定Casper下的两个冲突叉，验证者集合的剩余2/3必须被完美分割，以防止双方听到第一次含糊其辞并随后在攻击者再次含糊其词以达成最终结果之前对其进行猛烈攻击。

更现实的是，为了让攻击者在不依赖诚实验证者之间的分区的情况下最终确定冲突的区块，他们必须完全控制2/3的验证者集合。最终，以太坊的安全性取决于所押的经济价值，以及这是否产生了足够高的门槛（以ETH的当前价格计算，超过200亿美元），以禁止参与者控制验证者集合的这一比例。

结论

在这篇文章中，我们主要探讨了以太坊当前权益证明共识协议中主要阶段的延迟和逆转风险之间的权衡。

*本文由CoinTime整理编译，转载请注明来源。