Solving State Bloat with State Archival: Risks and Mitigations | Garand Tyson (Stellar)

區塊鏈的狀態膨脹問題長久以來缺乏有效解法。根本原因在於：公鏈所有狀態必須無限期保存，而交易只在提交時支付一次性費用，卻對網路造成持續性的儲存成本。Stellar 已運行超過十年，累積了大量廢棄的 meme 幣、NFT 等冷資料。更棘手的是，傳統資料庫的快取分層策略完全失效——Merkle 結構的更新需要對完全隨機的狀態發出大量阻塞讀取，導致熱資料與冷資料在系統層面無法區分，資料庫只能無限膨脹。

Stellar 提出的解法是狀態歸檔。每筆鏈上狀態被賦予 TTL 值，持有者可透過支付租金延長 TTL；到期未續費的條目將被「歸檔」——從驗證節點的線上資料庫中刪除，轉存至鏈外的不可變 Merkle Trie 中。驗證節點只保留每個 Trie 的 Merkle Root，不儲存完整歸檔內容。當用戶需要重新使用已歸檔的狀態，只需向驗證節點提交一個 Merkle 存在性證明，即可原子性地將條目恢復至鏈上。這套設計讓費用模型與實際儲存成本對齊，也讓驗證節點得以釋放資源。

然而，這套機制引入了三種新型攻擊面。第一種是雙重恢復攻擊：由於歸檔 Trie 是不可變的，舊版本的葉節點即使已過時也無法從中刪除。攻擊者可以先讓舊餘額（例如 10 USDC）歸檔，恢復後花掉部分（剩 5 USDC），再讓新餘額歸檔至較新的 Trie，但轉而提交舊 Trie 的包含證明恢復 10 USDC，達到雙重花費。防禦方案是要求恢復任何條目時，除了提供目標 Trie 的包含證明，還必須提供所有更新 Trie 中該 key 的非包含證明，確保只有最新版本可被恢復。副作用是歸檔時也必須記錄已刪除的 key，以供非包含證明使用。第二種是惡意歸檔攻擊：借款人刻意讓抵押品的 TTL 過期歸檔並違約，貸款方因沒有私鑰而無法恢復抵押品。解法簡潔——TTL 延長與狀態恢復不需要私鑰或擁有權驗證，任何第三方（如清算人）均可代為恢復他人的狀態，且此設計無任何安全副作用。第三種是雙重 Nonce 攻擊：攻擊者趁某個 key 處於歸檔狀態時，在鏈上以相同 key 建立新值，「遮蔽」掉歸檔中的合法舊值。要求建立新 key 時提供所有 Trie 的非包含證明在效能上代價過高，因此改採 Binary Fuse Filter（優化版 Bloom Filter）作機率性篩查；其設計偏向安全性——偽陽性只會暫時阻止合法恢復，但絕不會放行非法操作，且偽陽性時用戶可提交完整的非包含證明予以覆蓋。

目前，智能合約的歸檔介面已於 2025 年 2 月在 Stellar mainnet 上線，完整的證明系統（含條目刪除功能）已完成程式碼實現，預計於 2025 年稍晚正式部署至 mainnet。