Cosmos 停摆 25 小时：去中心化共识的脆弱与重构 - Woofun 研究院
#ATOM 停链风险
Cosmos 停摆 25 小时：去中心化共识的脆弱与重构 核心要点 Cosmos Hub因Neutron治理漏洞导致验证人主动停链，通过对比BTC/ETH/Solana历史事故，揭示BFT共识中Safety与Liveness的权衡及恢复机制。
据 Woofun AI 消息，
这一次
9 月 22 日晚，一名用户发出了一笔
这一现象表明，网络在特定时刻失去了'活性'（Liveness），即无法处理新交易并生成新区块。对于依赖即时确认的用户来说，这种停滞带来了极大的不确定性，但也正是这种停滞，阻止了潜在的攻击行为进一步扩散。
从结构上看，这次停摆并非随机故障，而是验证人面对跨链攻击威胁时，主动选择牺牲短期可用性以维护长期安全性的结果。
事件的根源并非直接指向 Cosmos Hub，而是始于
这种治理层面的漏洞比单纯的代码 Bug 更难以防范，因为它依赖于社区对提案内容的审查，而攻击者往往利用信息不对称或时间压力来通过恶意提案。值得注意的是，Neutron 作为 Cosmos 生态中的重要模块链，其安全性与 Cosmos Hub 紧密相连，一旦 Neutron 上的资产被非法转移，必然会对整个生态产生连锁反应。
真正让 Cosmos Hub 被卷进来的，是随后发生的跨链资金转移。
0 关注 # Cosmos Hub 停链对 ATOM 价格有何短期影响？# 验证人主动停链如何体现 BFT 共识的安全性优先？# 此次事件对 Cosmos 生态其他项目有何警示？
这一步非常关键，它意味着 Cosmos Hub 并不存在某家公司可以直接点击的"Pause"按钮，也没有先经过一次链上治理投票，真正让网络停下来的，是足够多验证人不再参与形成共识。
这种集体行动体现了去中心化网络中验证人的自治能力，他们有权根据自己对网络安全的判断，选择是否继续参与共识过程。更关键的变量在于，这种停摆并非无序混乱，而是一种有组织的防御策略，旨在为后续的状态修复争取时间和空间。
停链大约 4 个小时后，验证者收到了一份完整的恢复方案：针对停链高度执行一次性的状态修改，把攻击者地址中剩余的 ATOM 转入由社区验证者共同管理的多签地址。随后 Cosmos Labs 根据验证者已经达成的方案制作
这一过程展示了 Cosmos 生态中验证人协调机制的高效性，尽管网络处于停摆状态，但社区仍能通过链下沟通迅速达成一致的恢复计划。Woofun AI 整理数据显示，该多签地址由生态内最具影响力的六个验证人组成，确保了资金转移的安全性和透明度。
这种'软分叉'式的状态修改，虽然在传统区块链理论中颇具争议，但在紧急情况下，它提供了一种快速止损的手段。从逻辑上看，验证人首先通过停摆阻止攻击，然后通过共识升级实现状态回滚，整个过程体现了去中心化系统在危机管理中的灵活性与韧性。
到 9 月 23 日凌晨，确认安装 v28.3.0 的验证者已经超过总 voting power 的 67%，因此当天 12:00 UTC，Cosmos Hub 协调重启，约 6 分钟后，这次一次性状态修改在区块高度 33,086,741 执行，网络恢复正常出块。说到底，Cosmos 停止出块到恢复运行的整个过程中，是验证者先让网络失去 Liveness，再由超过三分之二 voting power 接受一套新的状态转换规则，最终让这套规则成为恢复后的 canonical state。到这里，一个看似简单的问题也就出现了：既然是一条去中心化公链，为什么超三分之一的验证权就能让它停下来，而恢复网络，又需要足够多验证者共同接受并运行同一套软件？答案，其实就藏在"共识"两个字里。
这一过程揭示了 BFT 共识机制的核心特征：安全性依赖于超级多数派的同意，而活性则依赖于足够多的参与者在线。当两者发生冲突时，系统倾向于优先保障安全性，即使这意味着暂时牺牲活性。
这种权衡在分布式系统中是不可避免的，也是 Cosmos Hub 此次停摆的根本原因。
区块链最容易被误解的一件事，就是把"去中心化"和"永不宕机"画上等号。实际上，共识机制真正解决的问题，是在没有一个中央记账人的情况下，许多节点怎样对交易顺序和账本状态达成一致。只不过，不同公链实现这件事的方法，并不一样。像
所以 Bitcoin 并不存在一个明确的"67% 投票后这个区块永远 Finalized"时刻，它更接近一种概率最终性，后续区块越多，想重新组织掉前面的交易，就需要付出越来越高的算力成本。这也是为什么大家过去常说，一笔 Bitcoin 交易最好等待 6 个区块确认，毕竟即使算力再高，也不能简单绕过节点正在执行的共识规则。当然，这并不意味着 Bitcoin 的状态在任何情况下都"绝对无法修改"。理论上，如果整个生态接受一套新的客户端和新的共识规则，通过 Hard Fork，同样可以让过去规则下无效的状态变化变成有效。
但问题就在这里，谁有能力让足够多矿工、Full Node、交易平台、钱包和用户一起接受这样一套新规则？几乎没有。开发团队并不能替整个 Bitcoin 网络决定共识规则，矿工、交易平台也很难，因为它需要跨越的共识门槛非常高，当初
简单理解，一部分机制负责判断"当前应该跟哪条链"，另一部分则负责让区块获得真正意义上的 Finality。当代表至少三分之二质押
想真正改变这种结果，同样需要改变协议规则和客户端。正如 2016 年
Cosmos Hub 又有所不同，它使用 CometBFT，更接近典型的 BFT 共识。可以把它理解为更加典型的 BFT 共识，也即一个区块想真正提交，需要获得超过三分之二 voting power 的 Commit。它的好处是 Finality 非常明确，一旦区块经过足够验证权投票提交，就不需要像 PoW 那样继续等待越来越多区块，用概率换取安全感。
但它的另一面也非常直接，那就是如果三分之一或以上 voting power 不再提供形成 Commit 所需要的投票，剩余验证人再努力，也凑不出超过三分之二。这时候网络最安全的选择，就正如本次的"暂停出块"，所以从分布式系统的角度看，这次 Cosmos Hub 的短暂停摆其实并不神秘。一言以蔽之，一群掌握足够 voting power 的验证人停止参与之后，共识协议按照自己的规则，宁愿失去可用性，也不继续在缺乏足够共识的情况下确认新区块。
这背后其实对应了分布式系统里两个经常被普通用户混在一起的概念：Safety：不能让不同节点同时确认两个彼此冲突的最终状态；Liveness：网络还能不能持续向前运行、处理新的交易。对于 BFT 系统来说，当参与共识的节点不足时，暂停有时候恰恰是维护 Safety 所付出的代价，说得直白一点，这本去中心化账本宁愿先停在那里，也不能让剩下的人各记各的。从这个角度再回头看，会发现公链历史上许多看似完全不同的事故，其实都围绕同一件事展开：当分布式节点无法继续对"正确状态"形成一致意见时，网络该怎么办？
这不是 Cosmos 第一次把这个问题摆到台面上。早在 2013 年，Bitcoin 就发生过一次非常经典的链分叉事故。当时 Bitcoin 0.8 将底层数据库从 Berkeley DB 切换到 LevelDB，随后一个包含大量交易输入的区块出现，新版节点能够正常处理，但部分旧版节点由于 Berkeley DB 锁数量限制，将这个区块判断为无效。于是非常尴尬的一幕出现了，大家运行的都是 Bitcoin，但新旧客户端开始对"这个区块到底是否合法"产生不同答案。
网络因此分裂成两条链，而且新版 0.8 一侧一度拥有大约 60% 的算力，无法依赖正常的算力竞争快速自行收敛。最终，大型矿池经过协调切回旧版本，在旧规则一侧重新获得更多算力，网络才重新收敛，Bitcoin 后来也专门以 BIP 50 对这次事故进行了复盘。到了 2016 年，以太坊的 The DAO 事件又把问题向前推了一步。
正如上文提到的 The DAO 事件，以太坊社区最终通过 Hard Fork，在区块 1,920,000 执行了一次被 Ethereum Foundation 明确称作 irregular state change 的特殊状态修改，把相关 ETH 转入恢复合约。但并不是所有人都认同这种处置，拒绝接受状态修改的一部分矿工和社区继续维护原来的规则，也就有了后来长期存在的 Ethereum Classic（ETC）。
这次 DAO Fork 也是一个经典事件，相当于告诉所有人，当极端事件发生时，代码共识之外还存在社会共识，如果无法形成足够一致的意见，一条链真的可以分成两条。2021 年的
把这些事故放到一起，会发现它们并不是同一回事：Bitcoin 2013 年的问题，是不同客户端开始执行不同的有效性规则；Solana 2021 年的问题，是大量验证节点无法继续正常参与共识，网络失去 Liveness；Ethereum DAO 面对的，则更接近一个社区是否应该通过新的协议规则主动修改状态的问题；而这一次 Cosmos Hub，又带有另一层特殊性，网络先通过验证人协调主动失去 Liveness，阻止攻击资产继续移动；之后又由足够高比例的验证权共同接受新的软件与恢复状态，让网络重新形成一致。
所以，与其把这些事件简单归结为"区块链原来也能关机""去中心化都是假的"，不如承认一个更加真实的事实：共识机制从来不是一台不会坏的机器，它真正提供的其实是一套去中心化的规则，譬如发生分歧时谁来决定正确的链；多少参与者才能让一个状态获得最终性；出现故障时网络选择继续运行还是停止；以及在极端情况下，什么样的集体行动能够改变接下来的运行规则。这也让这次 Cosmos 事件，留下了一个比"该不该停链"更值得普通用户思考的问题。
我们经常说，not your keys, not your coins。这句话当然依旧成立，只是它强调的是资产控制权------只要私钥在自己手里，钱包、交易平台或者其他第三方不能替你正常签署一笔转账。前提是，你所在的区块链必须在任何时候都有能力处理这笔签名。Cosmos Hub 停止出块的那一天，用户依然持有自己的私钥，资产也没有因此凭空消失，只是你即使正确签署了一笔交易，也没有新的区块可以接受它。
恢复过程又进一步说明，如果足够多的共识参与者接受一套新的状态规则，特定账户的链上状态，也可能在没有原地址私钥签名的情况下发生变化。这并不会让"Not your keys, not your coins"失效，但提醒我们，私钥自主权和底层共识权，从来不是同一件事情。而对于钱包来说，同样如此。钱包可以确保私钥和签名权掌握在用户自己手中，可以尽快识别链级异常、准确展示交易状态、建立 RPC 与节点冗余，并在网络恢复之后重新确认交易最终结果。
但钱包不能替一条公链恢复共识，也无法保证底层网络永远不会中断，更无法保证链上的规则和状态永远不会发生共识层面的变化。所以，一个成熟的去中心化系统真正需要追求的，可能从来都不是"任何东西绝对不能改"；相反，应该尽可能把这些并不完美的边界说清楚：谁能够让共识暂停？需要多大的权重？什么情况下允许紧急干预？因为真正的去中心化，不可能让系统永远不会遇到事故，关键在于，即使事故真的发生，我们依然能够知道是谁、依据什么规则、以多大的共识，决定了这本账接下来该怎么记。
WOOFUN 深度内容团队 · 资深加密研究员
评论
暂无评论