作者：Vitalik；編譯：鄧通，金色財(cái)經(jīng)

特別感謝JustinDrake、Hsiao-weiWang、@antonttc和Francesco的反饋和審閱。

最初，“合并”是指Ethereum協(xié)議自推出以來(lái)歷史上最重要的事件：期待已久且來(lái)之不易的從工作量證明到權(quán)益證明的過(guò)渡。如今，Ethereum已經(jīng)成為一個(gè)穩(wěn)定運(yùn)行的權(quán)益證明系統(tǒng)近兩年了，這種權(quán)益證明在穩(wěn)定性、性能和避免中心化風(fēng)險(xiǎn)方面表現(xiàn)非常出色。然而，權(quán)益證明仍有一些重要領(lǐng)域需要改進(jìn)。

我2023年的路線圖將其分為幾部分：改進(jìn)技術(shù)特性，例如穩(wěn)定性、性能和對(duì)較小驗(yàn)證者的可訪問性，以及經(jīng)濟(jì)變化以應(yīng)對(duì)中心化風(fēng)險(xiǎn)。前者接管了“合并”的標(biāo)題，而后者成為“禍害”的一部分。

請(qǐng)注意，這一切都取決于Ethereum的一個(gè)關(guān)鍵目標(biāo)：確保即使成功的攻擊也會(huì)給攻擊者帶來(lái)高昂的成本。這就是“經(jīng)濟(jì)最終性”一詞的含義。如果我們沒有這個(gè)目標(biāo)，那么我們可以通過(guò)隨機(jī)選擇一個(gè)委員會(huì)（例如Algorand所做的那樣）來(lái)最終確定每個(gè)時(shí)隙來(lái)解決這個(gè)問題。但這種方法的問題在于，如果攻擊者確實(shí)控制了51%的驗(yàn)證者，那么他們可以以非常低的成本進(jìn)行攻擊（恢復(fù)最終確定的區(qū)塊、審查或延遲最終確定）：只有委員會(huì)中的部分Node可以被檢測(cè)為參與攻擊并受到懲罰，無(wú)論是通過(guò)削減還是少數(shù)軟分叉。這意味著攻擊者可以多次反復(fù)攻擊該鏈。因此，如果我們想要經(jīng)濟(jì)最終性，那么基于委員會(huì)的簡(jiǎn)單方法是行不通的，乍一看，我們確實(shí)需要全套驗(yàn)證者參與。

理想情況下，我們希望保留經(jīng)濟(jì)終結(jié)性，同時(shí)在兩個(gè)方面改善現(xiàn)狀：

在一個(gè)時(shí)隙內(nèi)終結(jié)區(qū)塊（理想情況下，保持甚至減少當(dāng)前12秒的長(zhǎng)度），而不是15分鐘

允許驗(yàn)證者用1ETH進(jìn)行質(zhì)押（從32ETH降至1ETH）

第一個(gè)目標(biāo)由兩個(gè)目標(biāo)證明，這兩個(gè)目標(biāo)都可以看作是“使Ethereum的屬性與（更中心化的）注重性能的L1鏈的屬性保持一致”。

首先，它確保所有Ethereum用戶都能從通過(guò)最終確定機(jī)制實(shí)現(xiàn)的更高級(jí)別的安全保障中受益。如今，大多數(shù)用戶都無(wú)法享受這種保障，因?yàn)樗麄儾辉敢獾却?5分鐘；而通過(guò)單槽最終確定機(jī)制，用戶幾乎可以在交易確認(rèn)后立即看到交易最終確定。其次，如果用戶和應(yīng)用程序不必?fù)?dān)心鏈回滾的可能性（除非出現(xiàn)相對(duì)罕見的不活動(dòng)泄漏情況），那么它就簡(jiǎn)化了協(xié)議和周圍的基礎(chǔ)設(shè)施。

第二個(gè)目標(biāo)是出于支持單獨(dú)質(zhì)押者的愿望。一次又一次的民意調(diào)查反復(fù)表明，阻止更多人單獨(dú)質(zhì)押的主要因素是32ETH的最低限額。將最低限額降低到1ETH將解決這個(gè)問題，以至于其他問題成為限制單獨(dú)質(zhì)押的主要因素。

領(lǐng)先的單槽最終性提案

問題最難的部分是弄清楚如何使單槽最終性在驗(yàn)證者數(shù)量非常高的情況下發(fā)揮作用，而不會(huì)導(dǎo)致極高的Node運(yùn)營(yíng)商開銷。為此，有幾種領(lǐng)先的解決方案：

選項(xiàng)1：暴力破解——努力實(shí)現(xiàn)更好的簽名聚合協(xié)議，可能使用ZK-SNARKs，這實(shí)際上允許我們處理每個(gè)插槽中數(shù)百萬(wàn)個(gè)驗(yàn)證器的簽名。

Orbit利用驗(yàn)證者存款規(guī)模預(yù)先存在的異質(zhì)性來(lái)獲得盡可能多的經(jīng)濟(jì)最終性，同時(shí)仍將給予小型驗(yàn)證者相應(yīng)的角色。此外，Orbit使用緩慢的委員會(huì)輪換來(lái)確保相鄰法定人數(shù)之間的高度重疊，從而確保其經(jīng)濟(jì)最終性仍然適用于委員會(huì)輪換邊界。

選項(xiàng)3：兩層質(zhì)押-一種機(jī)制，其中質(zhì)押者分為兩類，一類的存款要求較高，另一類的存款要求較低。只有存款要求較高的層級(jí)會(huì)直接參與提供經(jīng)濟(jì)最終性。關(guān)于存款要求較低的層級(jí)究竟有哪些權(quán)利和責(zé)任，有各種提案（例如，參見Rainbow質(zhì)押帖子）。常見想法包括：

將權(quán)益委托給更高層級(jí)的權(quán)益持有者的權(quán)利

隨機(jī)抽取的較低層級(jí)權(quán)益持有者證明并需要完成每個(gè)區(qū)塊

生成納入列表的權(quán)利與現(xiàn)有研究有哪些聯(lián)系？

實(shí)現(xiàn)單槽最終性的途徑(2022)：https://notes.ethereum.org/@vbuterin/single_slot_finality

Ethereum單槽最終性協(xié)議的具體提案(2023)：https://eprint.iacr.org/2023/280

OrbitSSF：https://ethresear.ch/t/orbit-ssf-solo-staking-friendly-validator-set-management-for-ssf/19928

對(duì)Orbit風(fēng)格機(jī)制的進(jìn)一步分析：https://notes.ethereum.org/@anderselowsson/Vorbit_SSF

Horn，簽名聚合協(xié)議(2022)：https://ethresear.ch/t/horn-collecting-signatures-for-faster-finality/14219

大規(guī)模共識(shí)的簽名合并(2023)：https://ethresear.ch/t/signature-merging-for-large-scale-consensus/17386?u=asn

Khovratovich等人提出的簽名聚合協(xié)議：https://hackmd.io/@7dpNYqjKQGeYC7wMlPxHtQ/BykM3ggu0#/

基于STARK的簽名聚合(2022)：https://hackmd.io/@vbuterin/stark_aggregation

Rainbow質(zhì)押：https://ethresear.ch/t/unbundling-staking-towards-rainbow-staking/18683還剩下什么要做？需要權(quán)衡什么？

有四種主要可行的路徑（我們也可以采用混合路徑）：

維持現(xiàn)狀

OrbitSSF

強(qiáng)力SSF

具有兩層質(zhì)押的SSF

(1)意味著不做任何工作，保持質(zhì)押原樣，但這會(huì)使Ethereum的安全體驗(yàn)和質(zhì)押中心化屬性變得比本來(lái)更糟糕。

(2)避免“高科技”，并通過(guò)巧妙地重新思考協(xié)議假設(shè)來(lái)解決問題：我們放寬了“經(jīng)濟(jì)終結(jié)性”要求，這樣我們就要求攻擊成本高昂，但可以接受攻擊成本可能比現(xiàn)在低10倍（例如，攻擊成本為25億美元，而不是250億美元）。人們普遍認(rèn)為，Ethereum今天的經(jīng)濟(jì)終結(jié)性遠(yuǎn)遠(yuǎn)超出了它所需要的水平，它的主要安全風(fēng)險(xiǎn)在其他地方，所以這可以說(shuō)是一個(gè)可以接受的犧牲。

主要的工作是驗(yàn)證Orbit機(jī)制是否安全并具有我們想要的屬性，然后完全形式化并實(shí)施它。此外，EIP-7251（增加最大有效余額）允許自愿驗(yàn)證者余額合并，這會(huì)立即減少鏈驗(yàn)證開銷，并作為Orbit推出的有效初始階段。

(3)避免了巧妙的重新思考，而是用高科技強(qiáng)行解決問題。要做到這一點(diǎn)需要在很短的時(shí)間內(nèi)（5-10秒）收集大量簽名（100萬(wàn)以上）。

(4)避免了巧妙的重新思考和高科技，但它確實(shí)創(chuàng)建了一個(gè)兩層的質(zhì)押系統(tǒng)，仍然具有中心化風(fēng)險(xiǎn)。風(fēng)險(xiǎn)在很大程度上取決于較低質(zhì)押層獲得的特定權(quán)利。例如：

如果低層級(jí)質(zhì)押者需要將其證明權(quán)委托給高層級(jí)質(zhì)押者，那么委托可能會(huì)中心化，最終我們就會(huì)得到兩個(gè)高度集中的質(zhì)押層級(jí)。

如果需要對(duì)低層級(jí)進(jìn)行隨機(jī)抽樣來(lái)批準(zhǔn)每個(gè)區(qū)塊，那么攻擊者可以花費(fèi)極少量的ETH來(lái)阻止最終性。

如果低層級(jí)質(zhì)押者只能制作納入列表，那么證明層可能仍處于中心化狀態(tài)，此時(shí)對(duì)證明層的51%攻擊可以審查納入列表本身。

可以組合多種策略，例如：

(1+2)：添加Orbit而不執(zhí)行單槽最終性。

(1+3)：使用蠻力技術(shù)減少最小存款規(guī)模而不執(zhí)行單槽最終性。所需的聚合量比純(3)情況少64倍，因此問題變得更容易。

(2+3)：使用保守參數(shù)執(zhí)行OrbitSSF（例如128k驗(yàn)證者委員會(huì)而不是8k或32k），并使用蠻力技術(shù)使其超高效。

(1+4)：添加彩虹質(zhì)押而不執(zhí)行單槽最終性。它如何與路線圖的其他部分互動(dòng)？

除了其他好處之外，單槽終結(jié)性還降低了某些類型的多塊MEV攻擊的風(fēng)險(xiǎn)。此外，在單槽終結(jié)性世界中，證明者-提議者分離設(shè)計(jì)和其他協(xié)議內(nèi)塊生產(chǎn)管道需要以不同的方式設(shè)計(jì)。

暴力策略的弱點(diǎn)是，它們使得縮短槽時(shí)間變得更加困難。單一秘密Leader選舉我們要解決什么問題？

今天，哪個(gè)驗(yàn)證者將提出下一個(gè)區(qū)塊是預(yù)先知道的。這會(huì)產(chǎn)生一個(gè)安全漏洞：攻擊者可以監(jiān)視網(wǎng)絡(luò)，識(shí)別哪些驗(yàn)證者對(duì)應(yīng)哪些IP地址，并在驗(yàn)證者即將提出區(qū)塊時(shí)對(duì)其發(fā)起DoS攻擊。它是什么？它是如何工作的？

解決DoS問題的最佳方法是隱藏哪個(gè)驗(yàn)證者將生成下一個(gè)區(qū)塊的信息，至少在區(qū)塊實(shí)際生成之前。請(qǐng)注意，如果我們刪除“單一”要求，這很容易：一種解決方案是讓任何人都可以創(chuàng)建下一個(gè)區(qū)塊，但要求randao揭示小于2256/N。平均而言，只有一個(gè)驗(yàn)證者能夠滿足此要求-但有時(shí)會(huì)有兩個(gè)或更多，有時(shí)會(huì)有零個(gè)。將“保密”要求與“單一”要求結(jié)合起來(lái)一直是一個(gè)難題。

單一秘密領(lǐng)導(dǎo)者選舉協(xié)議通過(guò)使用一些加密技術(shù)為每個(gè)驗(yàn)證者創(chuàng)建一個(gè)“盲”驗(yàn)證者ID來(lái)解決這個(gè)問題，然后讓許多提議者有機(jī)會(huì)對(duì)盲ID池進(jìn)行改組和重新盲化（這類似于混合網(wǎng)絡(luò)的工作方式）。在每個(gè)時(shí)段，都會(huì)選擇一個(gè)隨機(jī)的盲ID。只有該盲ID的所有者才能生成有效的證明來(lái)提議區(qū)塊，但沒有人知道該盲ID對(duì)應(yīng)哪個(gè)驗(yàn)證者。

量子計(jì)算專家，例如ScottAaronson，最近也開始更加認(rèn)真地考慮量子計(jì)算機(jī)在中期內(nèi)實(shí)際工作的可能性。這對(duì)整個(gè)Ethereum路線圖都有影響：這意味著目前依賴于橢圓曲線的每個(gè)Ethereum協(xié)議部分都需要某種基于哈希或其他量子抗性的替代方案。這特別意味著我們不能假設(shè)我們將能夠永遠(yuǎn)依靠BLS聚合的優(yōu)異特性來(lái)處理來(lái)自大型驗(yàn)證器集的簽名。這證明了在權(quán)益證明設(shè)計(jì)性能假設(shè)方面的保守性是合理的，也是更積極地開發(fā)量子抗性替代方案的原因。