参与Eth2 Staking系列(2) - 激励篇

参与Eth2 Staking系列第二遍 - Staking激励讨论

eth2 Staking系列: Staking - 了解Eth2质押程序 参与Eth2 Staking系列(2) - 激励篇 ETH2 STAKING系列:共识机制篇 Eth2 Staking系列:分片共识


又见面了!在上一篇文章:Eth2质押程序中我们讨论了eth2的设计理念,本文将透过设计理念主要谈谈eth2的激励机制。更确切地说,我们将探析在eth2中举足轻重的激励机制,以及如何通过奖励、惩罚和罚没 (slashings)的形式得以实现。

之后我们会再谈到如何以及为何激励验证者保持在线,为何验证者离线不会被罚没等等话题。我们开始吧!

关于罚没

如果不是因为离线,那什么情况下会被罚没(slashings)?

罚没主要出于两个目的: (1) 使得攻击eth2的成本难以负担; (2) 查核验证者是否真正履行了职责,防止验证者消极怠惰。

对验证者进行罚没,是指如果验证者被证实存在破坏行为,其(部分)质押金将被销毁。在eth2阶段0时期,验证者主要会因为两种恶意行为被罚没:双重投票(double voting)和环绕投票(surround voting),有关细节参见Casper FFG运行机制的论文

双重投票,即验证者在同一个epoch中对两个不同区块进行投票,这也就意味着验证者对两种不同的现实版本表示了支持。需要禁止该行为最直观的原因就是,假如验证者在区块A中发送了一笔交易a,在区块B中发送了一笔交易b,且交易a和交易b花费了等值的ETH。因此双重投票可以被看做是PoS版本的双花攻击(double-spend attack)

环绕投票也是通过罚没来惩罚恶意投票的验证者,以防止其同时创造多个不同的现实版本,避免了两个不同的链被最终确认(finalize)。具体地说,当验证者对某个现实版本进行投票,然后又对另一个版本进行投票,但并没有表明他们不再信任第一个版本,那么该验证者的这些证明(attestations)就是环绕投票。

在阶段0中,双重投票和环绕投票行为是唯一会导致验证者被罚没的情况,但之后的阶段中会增加其他规则,以确保验证者真正履行其职责,存储其签署的分片数据且使数据可用,防止验证者消极怠惰或隐瞒信息。

正确遵循协议且操作正常的验证者不会创建可能导致罚没的投票。如果出现罚没,却并未存在蓄意作恶行为,那么只会是因为bug或意外。那么出现这种情况怎么办?

为了将这种意外损失降低到最小,被销毁的质押金会与同时段被罚没的验证者数量成一定比例。因为如果只有数量很少的验证者进行了被罚没的行为,那么就不太可能是试图对eth2链发起攻击,而攻击成功需要大量的验证者。

因此,如果只有少数验证者被罚没,那么其行为会被认定为无心之过,惩罚力度也不会很大(最低罚没金额为1 ETH)。反之,如果大量验证者几乎同时产生不当行为,那么他们的质押金很大一部分则会被销毁(最高罚没金额为全部余额),因为这种情况会被视作针对网络的攻击行为。

被罚没的验证者将被停止继续参与协议,并且会被强制退出。如果验证者是无心之过,那么这种措施可以防止犯错的验证者一错再错,被重复罚没;如果是网络攻击的情况,则可以将恶意的验证者从协议中剔除。

关于验证者离线

离线的验证者又会怎样?

在本应该参与协议进行验证工作的时候,离线的验证者会被惩罚,而在正常情况下,离线只会使得验证者失去他们本可以通过验证工作所获取的奖励。也就是说,如果验证者50%以上的时间在线,他们的质押金额会随时间推移增加。

这种机制带来的结果是,对于需要离线进行维护等工作的验证者客户端,最好是选择短时间离线,而不是采取退出协议再重新加入的方式(因为退出和进入都存在相关延迟性)。

这也就意味着,减轻了验证者在客户端备份和网络延迟上的负担,因为离线的惩罚并不那么严重。实际上,如果系统中有两个实体可以对消息进行签名,可能会带来负面影响,因为主客户端和备份客户端有可能同时在线,进而导致创建可能导致罚没的投票(即上文提及的双重投票),Cosmos的首个罚没案例就是这样发生的。

这种离线惩罚机制能够成立的前提是区块正在被最终确认,即有2/3的验证者(按权益加权)在线并且其投票正在被计数。这是eth2在正常情况下应该达到的预期状态。如果少于2/3的验证者在线,就说明eth2中发生了灾难性的错误。在此类情况下,以太坊的共识协议(包括Casper)则无法达成共识。

如果超过1/3的验证者离线,Eth2会作何反应?

如果发生这种情况,那么这些离线的验证者就会面临inactivity leak(消极)惩罚。随着离线时间推移,受到inactivity leak惩罚的离线节点会被扣减余额,如此一来,在线验证者占验证者总数(权益加权)的比例就能够再次超过2/3,使得eth2得以继续运行协议。

诸如Inactivity leak此类的设计,使得eth2具备从灾难性事件中幸存下来的能力。如果这种灾难性状况导致超过1/3的验证者离线,那么这些离线验证者会发现他们的余额不断被扣减至某个程度(16个ETH),到那时eth2的运行将不再需要他们的参与。

反相关性 & 去中心化

罚没机制和inactivity leak(消极惩罚)机制促使验证者做出与其他验证者不同的使自身节点失效的决策。也就是说,为了确保自己受到尽可能轻微的罚没和不受到inactivity leak惩罚,验证者应该会努力尝试和其他验证者不同的客户端失效形式(译者注:避免客户端失效,导致一同受罚)。

这给所有验证者施加了压力,他们需要将作为验证者的方方面面进行去中心化,例如,如果验证者都依赖于相同的现实来源(如Infura)或是都借助AWS来托管客户端,一旦这些方面发生什么错误,验证者们会面临更为严厉的惩罚。

惩罚与奖励

有这么多惩罚机制,那验证者是否吃力不讨好?

正如在上期文章中所说,“eth2假设验证者怠惰、收受贿赂、攻击系统的情况,除非采取措施对验证者进行激励。”上文讨论到的惩罚机制是为了防止作恶行为,但同时也需要通过奖励来激励验证者为eth2进行有益工作。验证者奖励主要分为三类:

检举者奖励

通过提供证明,发起其他验证者罚没行为的警告,这些验证者能够因其为eth2扫除不利而获得奖励。

区块提议者奖励

验证者会被随机地分配产生区块的任务,被选中的验证者就是“区块提议者”(proposer)。区块提议者能够通过以下方式获得奖励:

  • 打包一份来自检举者的证明,且该证明证实某个验证者被罚没;
  • 打包来自其他验证者的证明(attestations)

当验证者被选中提议区块时,奖励能够鼓励其向区块链提供有用信息。

证明者奖励

证明(attestations)是表明验证者同意eth2中某个决定的投票。这类信息构成了eth2的共识基础,主要通过以下5种途径获得奖励:

  • 获取链上证明
  • 与验证者就区块链历史记录达成共识
  • 与验证者就区块链最前部分达成共识
  • 快速使证明上链
  • 在指定分片中指向正确区块

开拓验证者收益

在PoS系统中,有两种常见的验证者奖励模式:固定奖励(fixed rewards)和固定通胀(fixed inflation)。

在固定奖励模式中,验证者通过履行职责获得固定数额的奖励,而通胀率取决于验证者数量。这种模式需要解决的问题在于如何设置回报率(reward rate)。如果回报率过低。验证者数量会过少;如果回报率太高,则会衍生出安全性需求之外的验证行为,并且浪费资金。

因此,拥有固定通胀率的模式更受欢迎。在这种模式中,既定数额的奖励由所有的活跃验证者瓜分。这种模式的好处在于利用市场的力量来寻求合适的奖励数额,因为验证者可以根据当下的收益自行选择是否参与验证。

但这种模式也存在一定缺陷。验证者奖励有可能是不稳定的,这使得对于个人验证者来说,很难做出盈利性决策;这种模式还使得协议容易暴露在“泄气攻击”(discouragement attack)之下,受到这种攻击时,验证者会试图阻止其他验证者参与进来,以此提高自己的奖励(即便自己会受到暂时的损失)。

Eth2旨在结合两种模式的优点:验证者的奖励与ETH质押总量的平方根成正比。这种混合奖励模式的好处是在抑制通胀变化和验证者回报率的同时,依然能够借助市场力量来决定验证者的奖励金额。

抱最大希望,做最坏打算

Eth2激励机制的方方面面都遵循了上期文章中所阐述的协议设计理念。例如,反相关性机制有助于去中心化,inactivity leaks(消极)惩罚有助于eth2具备从灾难性事件中幸存下来的能力……但支撑起eth2激励机制的主要理念还是:eth2假设验证者怠惰、收受贿赂、攻击系统的情况,除非采取措施对验证者进行激励。

如果有人试图用本文中提到的任何一种方式来攻击eth2,那最好做足损失大量ETH的准备,因为无论如何,攻击者都会输得一无所有。

原文链接:https://blog.ethereum.org/2020/01/13/validated-staking-on-eth2-1-incentives/ 转载请注明:ECN以太坊中国

点赞 0
收藏 0
分享
本文参与登链社区写作激励计划 ,好文好收益,欢迎正在阅读的你也加入。

0 条评论

请先 登录 后评论
ETH中文网
ETH中文网
https://ethereum.cn ECN 以太坊中国