近期以太坊网络中执行客户端 nethermind 发生的一次故障，导致约 10% 的验证器离线。这一事件再次将焦点聚集在以太坊生态中占据绝对主导地位的 geth 客户端上。尽管 geth 以稳定著称，但其极高的市场占有率也带来了显著的集中化风险。一旦 geth 出现严重漏洞，可能对整个网络造成深远影响。本文旨在深入分析这一风险，呼吁社区重视执行客户端的多样性。
事件回顾：Nethermind 故障与 Geth 的对比
本周，以太坊执行客户端 Nethermind 遭遇故障，导致所有运行该客户端的验证器（约占全网 10%）暂时离线。由于 Nethermind 属于少数派客户端，此次事件影响有限。以笔者运行的验证器为例，故障发生在当地时间凌晨 4 点，团队在 4 小时后发布补丁，验证器于上午 9 点恢复。在此期间，验证器的惩罚与奖励基本持平，下午 1 点时余额甚至高于宕机前。总体而言，这是一次轻微的技术波动。
然而，许多用户错误地认为，如果运行 Geth 时发生类似故障，后果也会如此轻微。事实并非如此。这并非 Geth 代码本身的质量问题，而是由其庞大的用户基数决定的。
根据 ClientDiversity.org 的数据，以太坊网络上约 84% 的验证器运行着 Geth。支持者通常辩称 Geth 是最稳定、最可靠的客户端。确实，自合并以来，Geth 表现优异，而少数客户端如 Nethermind 偶尔会出现停机或资源消耗更高的问题。但这篇文章并非针对 Geth 团队，他们值得尊重。我们需要诚实地探讨的是：当绝大多数质押资产集中在单一客户端上时，潜在的系统性风险究竟有多大。
如果用户明知使用少数客户端会导致更高的停机率和更低的收益，他们往往不愿迁移。特别是专业质押运营商，他们依赖高正常运行时间来吸引客户。例如，截至去年 9 月，最大的质押运营商 Lido 约有 76% 的验证器运行在 Geth 上。
笔者选择运行少数客户端，并非出于利他主义，而是为了规避 Geth 集中化带来的巨大尾部风险。虽然牺牲了部分潜在收益，但确保了资产在面对 Geth 特有漏洞时的安全性。
如果 Geth 出现严重 Bug，会发生什么？
后果取决于 Bug 的性质。
由于超过三分之二的验证器运行 Geth，任何导致 Geth 无法出块的严重故障都会立即阻碍链的最终确定（Finality）。这并不意味着链会停止，只要其他客户端仍在运行，区块生产就会继续。但由于缺乏最终确认，约 84% 的区块将被遗漏，区块时间从 12 秒延长至约 75 秒。这些区块极易发生重组，其中的交易可能无法被确认。虽然这听起来令人担忧，但回顾合并前的以太坊或当前的比特币，最终确认并非即时存在，交易所通常要求 6 个以上的确认以防范重组风险。
2023 年 5 月，以太坊曾发生过共识客户端故障，导致链两次停止最终确定，两天内大量区块被遗漏，网络一度只有 40% 正常运行。恢复后，普通用户仅感知到确认速度变慢，未受实质影响。
但对于验证器而言，情况截然不同。
非活动泄漏（Inactivity Leak）的致命打击
当少数客户端故障时，验证器的损失通常与其收益成正比。但如果 Geth 故障导致链无法最终确定，惩罚将升级为“非活动泄漏”。当链停止最终确定超过 4 个周期（约 25 分钟）时，离线验证器将开始遭受 ETH 销毁惩罚。这种严厉惩罚旨在迫使验证器尽快上线，或在极端情况下，通过销毁其权益使其占比降至 1/3 以下，从而让在线验证器恢复链的最终确定。
在非活动泄漏期间，损失速度惊人：
- 离线 2 天：损失约 0.6% 的权益，相当于 2 个月的质押奖励。
- 离线 5 天：损失整整一年的质押奖励（3.5%），恢复余额需超过 2 年。
- 离线 1 周：损失 10% 的权益，相当于 3 年的奖励。
- 离线约 20 天：损失 50% 的权益。
- 离线约 40 天：损失 90% 的权益。
相比之下，少数客户端故障导致的 40 天离线，仅损失 0.4% 的权益。差距巨大。
非活动惩罚将持续多久？
这取决于 Bug 的修复速度。
如果 Bug 可被快速修补，惩罚将持续到验证器更新或切换客户端为止。若像 Nethermind 事件那样几小时内解决，损失微乎其微。但若 Bug 导致 Geth 将无效区块视为有效并构建，情况将变得灾难性。
这将引发链分叉：一条包含无效区块的 Geth 链，和一条忽略无效区块的非 Geth 链。由于 84% 的验证器运行 Geth，Geth 链将成为权重最高的链。一旦 Geth 链最终确定，运行 Geth 的验证器将被锁定在该链上。若他们试图参与非 Geth 链的建设，将被视为双重签名而面临削减（Slashing）。
因此，Geth 验证器将因“不活跃”而遭受非活动泄漏。没有任何软件更新能阻止这一过程，直到他们的权益被销毁至总权益的 1/3 以下。
目前全网质押 ETH 约 2897 万枚。其中 84%（约 2400 万枚）属于 Geth 验证器。要让非 Geth 链恢复最终确定，Geth 验证器的权益需被销毁至 1/3 以下。这意味着需销毁约 2150 万枚 ETH（占总权益的 90%），仅剩约 25 万枚 ETH。届时，非 Geth 验证器控制的 500 万枚 ETH 将超过 2/3 的权益，恢复链的最终确定。
这一过程预计耗时约 40 天，将导致全网总供应量减少约 18%，跌破 1 亿枚 ETH 大关。
退出队列（Exit Queue）无法救命
处于无效链上的验证器可能会尝试退出。但即使发起退出，在退出队列中仍会遭受非活动泄漏。
退出队列有速率限制，每 6.4 分钟仅允许 13 个验证器退出。若所有 Geth 验证器同时退出，需约 260 天。然而，90% 的权益将在 40 天内被销毁。大多数验证器的余额将在能退出前就已归零。
- 前 2% 发起退出的验证器，将在 5 天内退出，最大损失约 1 年奖励。
- 需进入前 3% 才能将损失控制在 10% 以内。
- 仅前 8% 能将损失控制在 50% 以内。
- 40 天后，超过 85% 的验证器仍在队列中，面临强制退出，有效余额仅剩 16 ETH。
因此，退出机制无法保护你免受毁灭性损失。
会被削减（Slashing）吗？
许多人误以为 Geth 故障会导致验证器被削减。这是误解。削减仅适用于共识层的双重签名等恶意行为。Geth 产生无效区块属于执行层错误，不会触发共识层的削减惩罚。唯一的惩罚是非活动泄漏。
你应该怎么做？
目前运行 Geth 的质押者可能低估了集中化风险。许多人假设 Bug 会在几小时内修复，损失有限。他们未意识到，一旦陷入无效链，大部分 ETH 可能被销毁。
以太坊质押并非无风险套利。你会将 75,000 美元投入一个年收益 3.5% 但可能归零的工具吗？大多数人不会，但 84% 的以太坊质押者正这样做。
转向少数客户端（假设不同客户端同时出现相同 Bug 的概率极低），可将最大损失限制在年化 3.5%。尽管这看似保守，但在极端情况下，这是保护本金的唯一有效手段。
如果你持有 LST（如 stETH、cbETH 等），请确认其验证器是否运行 Geth。若是，请意识到你的资产面临集中化风险，并考虑取消质押或切换至其他 LST，直到 Geth 的市场份额显著下降。
对于希望参与以太坊生态的用户，建议通过正规渠道注册。例如，新用户可通过以下邀请码注册各大交易所，享受手续费优惠：
- 欧易/OKX：W97683506
- 币安/Binance：A6833508
- 火币/HTX：vmykc223
- 芝麻开门/Gate：NENRJRVT
- Bybit：W7GAZMJ
- Bitget：YLWY4JN7
- XT.COM：G9AQVG
