Restaking Security: Challenges and Best Practices | DSS Monthly Webinar (September 4th)

本次網路研討會由 Sigma Prime 的 Marly 主持，邀請 Eigenlay Labs 的 Anto 和 Symbiotic 的 Alus 分別介紹各自的 Restaking 解決方案與安全實踐。Restaking 是指將已在以太坊信標鏈上質押、原本僅為以太坊提供安全保障的資本，重複利用於為橋接、預言機、Rollup 等外部協議（AVS）提供經濟安全的新機制。與其說是「新的質押」，不如說是透過智能合約重複利用已有的質押資本，達成資本效率最大化。

Eigenlay 的架構與驅動邏輯

Eigenlay 是建立在以太坊上的 Restaking 協議，核心創新在於引入「可程式化的信任」概念。傳統的經濟信任只能依賴質押規模（32 ETH），Eigenlay 在此基礎上疊加地理多樣性（節點遍佈程度）和以太坊信任（以太坊驗證者自願選擇驗證外部任務）三個支柱。質押者首先透過 Token Manager 合約存入資產——不再限於 ETH，現已擴展至包括流動質押代幣和任意 ERC20 代幣。隨後選擇委託給已註冊的運營商（從 Coinbase、Bnacle Cloud 到獨立自建者均可），這些運營商負責運行 AVS 並為其提供經濟安全保障。當運營商行為不當時，該 AVS 的 Slashing 合約執行懲罰，直接扣除運營商的質押資本，這種威懾力使得運營商傾向於誠實行為。Anto 強調，Restaking 並非簡單地要求參與者拿出新的資本，而是確保現有資本的高效利用——如果每個 AVS 都要求獨立的質押池，將導致安全保障的分散化，每個應用的安全強度都會下降。Restaking 允許一份資本同時擔保多個應用，在保持單一質押集合的同時增強所有依賴應用的安全性。

安全風險與多層防線

Eigenlay 團隊將風險分為智能合約風險和經濟設計風險兩大類。智能合約風險是傳統 DeFi 的痛點——每天都有新的合約漏洞被發現。為此 Eigenlay 採取了多項技術與治理措施：7 天提款延遲機制允許協議在發現重大漏洞時緊急暫停合約並執行升級，在此期間質押者無法提取資金，但協議有時間修補；24/7 的鏈上監控系統會實時檢測異常交易，並設置冗餘監控防止單點故障；此外還部署了不變量監控，每個區塊自動驗證協議的關鍵不變量（例如質押總額的一致性），任何違反不變量的交易都會觸發警報。在治理層，Eigenlay 構建了多層次多簽機制，包括運營多簽、提案者多簽和社區多簽，避免單一實體掌握升級權。與此同時，Eigenlay 與業界最頂級的安全審計公司（如 Sigma Prime、Ottersec、Trail of Bits 等）合作進行代碼審計，並設立 200 萬美元的 Bug Bounty 計劃以激勵外部安全研究者。

經濟層面的風險更加複雜。新推出的 Slashing 設計（Anto 表示即將在數週內發布）經歷了多輪迭代，與業界領袖和加密經濟學研究者合作優化，目標是實現比現有設計更優的信任假設。此外，Stake2u 保險協議（由 Sri Ram 發布的學術論文提出）計畫納入路線圖，允許質押者購買針對 Slashing 風險的保險。流動再質押代幣（LRT，如 Ethery 和 Swell 提供的產品）也扮演關鍵角色——質押者若直接在 Eigenlay 存入資金，無法獲得流動性，但透過 LRT，他們既能獲得再質押獎勵，又能在 DeFi 中使用代幣。Eigenlay 的 Pods 升級引入了檢查點系統，允許多個驗證者聯合生成單一 Proof，大幅降低領取獎勵時的 gas 成本，這使得小額質押者的收益不至於被 gas 費用侵蝕。

Symbiotic 的「最小化層」哲學

相比之下，Symbiotic 採取了截然不同的設計哲學。Alus 強調，質押基礎設施是任何網路共識機制的核心——若質押層崩潰，整個網路會陷入癱瘓；若質押層被攻擊，網路安全可能被徹底破壞。因此，沒有任何外部實體（包括 Symbiotic 本身）應該對網路的質押層擁有控制權。Symbiotic 定位為一個「最小化層」，其角色是提供原始且靈活的質押基礎設施，讓各個網路能夠自主設計其質押經濟。

Symbiotic 的核心創新是引入「可遷移性」（Migratable）合約模式，這介於完全不可變和完全可升級之間。不可變合約無法添加新功能，但提供最高的安全性和用戶信心；可升級合約易於迭代，但依賴於中心化的升級管理者。Symbiotic 的解決方案是：一旦合約部署，其升級路徑就成為不可變的。Symbiotic 只能提出新版本並將其添加到 Factory 合約中，但用戶和網路完全控制是否遷移。如果新版本存在漏洞，老版本仍然可用，用戶可以選擇留在舊版本，Symbiotic 本身無法強制升級或停用舊版本——這完全符合去中心化的核心價值。

在架構層面，Symbiotic 採用高度模組化的設計：Vault 層負責資金管理和儲存（可遷移），Model 層包含 Slasher 和 Delegator 等核心邏輯（提供多個實現版本供選擇），Service 和 Registry 層提供共用的服務和註冊表（不可變）。Slasher 有兩種實現：Simple 版本僅檢查運營商是否已被納入網路並已質押資本，適合簡單場景；Verification 版本引入驗證邏輯，允許預定義解析器（可以是自動的智能合約、委員會決議、甚至外部第三方）在預設時間內驗證 Slash 請求，適合需要複雜仲裁的場景。Delegator 同樣提供兩種模式：Network Rate 禁止同一網路內的多個運營商相互再質押（避免雙重風險），Free State 則無此限制，適合構建保險等進階應用。

開發流程與安全實踐

Symbiotic 的開發流程堪稱業界典範。團隊並未直接編寫 Solidity 代碼，而是首先在 Python 進行原型設計和模型驗證，測試了超過 5 個不同的設計方案，使用多種形式化驗證技術確保邏輯正確性。這一階段避免了複雜的虛擬機開銷，加快了迭代速度。其次進行了內部審計和一次外部初審，目的是拋光代碼、消除簡單的 bug。隨後邀請四家不同的審計團隊（其中兩家仍在進行中，預計 1-2 週完成）進行並行審計，確保代碼經過多個獨立視角的檢驗。同時，Symbiotic 在 Holesky 測試網部署了完整系統，允許開發者即時集成和測試。最後，按照業界標準推出 Bug Bounty 計劃和監控系統。

質押多樣化與網路責任

兩個團隊都強調，隨著 Restaking 從單純的 ETH/LST 擴展至任意 ERC20，各個 AVS 和網路必須主動承擔評估風險的責任。例如，Bridged 資產（透過跨鏈橋接入的資產）和衍生資產（如某個 Cosmos 鏈上的質押代幣）各有不同的信任假設，風險遠高於原生 ETH。協議層無法也不應該替網路做決策，而應該提供評估工具和最佳實踐指南。同時，網路應該維持質押來源的多樣化——不應該過度依賴單一運營商或單一質押模式，而是透過多個運營商、不同的委託模式和跨網路再質押比例的均衡組合，防止單點故障。