📈 economics

Reserve Depletion and Security Runway in Proof-of-Stake Systems

本文提出了一个随机均衡框架，用于推导状态相关的储备阈值，以确定权益证明系统能否通过有限的代币储备维持其安全水平，直至仅靠交易费用便足以支撑安全，从而实现对从依赖储备向仅依赖费用的过渡进行严格的压力测试。

原作者： Paolo Penna, Manvir Schneider

发布于 2026-06-03

📖 1 分钟阅读☕ 轻松阅读

原作者： Paolo Penna, Manvir Schneider

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，一个权益证明（Proof-of-Stake）区块链就像一座高安全性堡垒，需要一支常驻的卫队（验证者）来维持安全。这些卫士需要获得报酬才能留下来值守。

在开始阶段，这座堡垒是崭新且空旷的。游客并不多，因此从游客那里收取的“入场费”（交易费）太少，不足以支付卫士们的生计费用。如果卫士们拿不到工资，他们就会离开，导致堡首先变得无人看守，进而引发系统崩溃。

为了解决这个问题，堡垒拥有一个巨大的紧急储蓄账户（储备金），里面存满了代币。这个账户旨在补贴卫士的工资，直到这座堡垒变得足够受欢迎，使得仅靠入场费就能覆盖成本。

Penna 和 Schneider 的论文提出了一个关键问题：这个储蓄账户能否支撑足够长的时间，从而在入场费足以覆盖成本之前填补这一缺口？

以下是他们研究结果的拆解，使用了简单的类比：

1. “购买力”陷阱

论文指出了一个棘手的问题：储蓄账户里装的是代币，但卫士们需要用现实世界的货币（如美元）来支付账单。

类比： 想象你的储蓄账户里装满了金币。如果金价下跌，你的账户在金币数量上看起来可能依然庞大，但你却无法用它买到同样多的面包。
洞察： 一个协议可能因为拥有数十亿代币的储备而看起来很“安全”。但如果代币价格暴跌，这十亿个代币可能甚至不足以支付卫士们一天的工资。论文认为，你不能只看代币的数量；你必须观察它们在特定时刻的价值。

2. “安全线”（阈值）

作者创建了一条像潮汐一样不断移动的数学**“安全线”**。

类比： 想象一艘船（储备金）试图穿越河流到达一个安全的岛屿（仅靠费用实现的安全性）。水位的变化（代币价格和需求）是在不断上升和下降的。
规则： 船只沉没不仅仅是因为燃料（代币）耗尽。如果水面相对于船只当前重量变得过低，船就会沉没。
三个区域：
1. 危险区： 需求如此之低，以至于即使有庞大的储蓄账户，你也无法支付足够的卫士工资。系统注定失败。
2. 过渡区： 需求尚可，但你仍需要储蓄账户来补贴卫士的薪资。只要储蓄账户保持在“安全线”之上，堡垒就是安全的。
3. 安全岛： 入场费现在已经非常高，以至于你不再需要储蓄账户。系统实现了自给自足。

3. “跑道”概念

论文引入了“安全跑道”的概念。

类比： 想象一架正在起飞的飞机。它需要在能够自主飞行之前，通过一段长的跑道来获得速度。
洞察： “跑道”不仅仅取决于还剩多少燃料（代币）。它还在于飞机是否能在燃料耗尽之前，拥有足够的动力（需求）来飞行。
失效点： 系统失败并不是在油箱空了的时候，而是在油箱降至低于维持当前飞行速度所需的特定水平的那一刻。如果风力（需求）突然减弱，跑道就会缩短，即便还有燃料，飞机也可能坠毁。

4. “预知未来”的卫士（前瞻性卫士）

论文还考虑了如果卫士足够聪明、能够洞察未来时会发生什么。

类比： 如果一名卫士认为：“嘿，如果我今天多干一点活，储蓄账户就会增长，明年我也能拿到更多报酬，”那么他可能会在今天更努力地工作。
洞察： 作者表明，即使卫士在考虑未来，核心规则仍然不变：你仍然需要保持在移动的“安全线”之上。然而，如果卫士知道未来前景看好，他们可能会愿意在今天接受稍低的薪资，这虽然微调了计算方式，但并未改变根本性的风险。

5. 系统压力测试

作者提供了一种在堡垒开业前进行“压力测试”的方法。

方法： 你可以通过计算得出：“如果代币价格下跌 20%，且需求在未来 5 年内下降 10%，我们的储蓄账户是否仍能保持在安全线之上？”
结果： 这能给你一个具体的“是/否”答案。如果答案是“否”，那么无论目前的市场看起来多么乐观，该协议都需要更多的初始资金或不同的计划。

总结

核心要点是：一大堆代币并不等于安全性。

一个协议可以拥有巨额储备，但如果代币价格崩盘或人们停止使用该网络，它仍然会失败。相反，如果网络非常受欢迎，以至于仅靠费用就能支付卫士的工资，那么一个储备较小的协议也可以是完全安全的。

为了保持区块链的安全，你不应仅仅清点金库里的硬币；你必须不断检查这些硬币的价值结合当前的用户需求，是否足以让卫士满意并确保堡垒安全，直到系统能够独立运行。

技术摘要：权益证明（PoS）系统中的储备枯竭与安全运行期

问题陈述
权益证明（PoS）区块链通常依赖于两种资金机制来为验证者奖励提供支持：交易费用和有限的原生代币储备。这种设计产生了一个“动态交接”问题。在协议的早期阶段，交易费用通常不足以支撑目标安全水平（活跃质押量），因此需要来自储备的补贴。随着采用率的提高，预期交易费用将足以独立维持安全性。

核心挑战在于确定储备是否提供了足够的“运行期”（runway），以在这一转型过程中维持安全性。论文识别了两个脆弱性来源：

需求不确定性：交易费用收入是随机的，取决于对区块空间的实际用户需求。
价格风险：储备以原生代币形式持有，而验证者成本是以外部计价单位（numeraire）计算的。一个在代币单位上看起来充足的储备，在代币价格下跌后可能会变得不足。

治理不能仅仅依赖于名义上的储备余额或稳态奖励比例。如果发生价格或需求冲击，一个拥有大规模名义储备的协议仍可能面临迫在眉睫的安全失败；而一个储备正在缩减的协议，如果费用已经跨越了实现自给自足的阈值，则可能是安全的。本文旨在形式化协议在转型期间保证安全运行的条件，并定义转型何时失败。

方法论
作者构建了一个涉及 $N$ 个策略验证者的离散时间随机模型。

状态变量：系统状态 $X_t = (R_t, \text{Price}_t, \text{FeeMax}_t)$ 由储备存量 ( $R_t$ )、外部计价单位下的代币价格 ( $\text{Price}_t$ ) 以及代表用户愿意支付的最大费用的需求偏移量 ( $\text{FeeMax}_t$ ) 组成。
验证者行为：验证者通过选择参与水平（活跃质押量）来最大化效用，平衡奖励（费用 + 储备支出）与二次方运营成本。
均衡概念：分析首先从静态阶段博弈开始，推导出对称纳什均衡。随后将其扩展到动态设置，其中储备根据费用收入和支出进行演变。
前瞻性扩展：模型被扩展为一个有限时界的马尔可夫博弈，其中验证者是前瞻性的，会考虑当前参与如何影响未来的储备存量和延续价值。
随机动力学：为了进行定量分析，模型将代币价格特化为几何布朗运动，并将需求特化为离散时间对数正态动力学。

主要贡献与结果

闭式静态均衡：
论文求解了验证者参与博弈的闭式解（定理 3），证明了对称纳什均衡的存在性和唯一性。研究表明，均衡聚合安全水平 $s^*$ 取决于代币价格与储备存量 ( $\text{Price} \cdot R$ ) 的乘积，这突显了固定储备金额的安全价值是具有状态相关性的。
状态相关储备阈值：
其核心理论贡献是推导出了一个精确的、与状态相关的储备阈值，记作 $\text{SecureR}(\text{Price}, \text{FeeMax}; s)$ （定理 10）。对于任何目标安全水平 $s$ ，该阈值代表了在给定当前价格和需求下，维持该安全水平所需的最小储备存量。

三个区域：该阈值将状态空间划分为：
1. 不可行性：即使拥有无限储备，需求也过低，无法支持目标安全水平。
2. 依赖储备的安全：只有当储备超过该阈值时，目标才能实现。
3. 仅靠费用保障的安全：需求足够高，使得阈值为零；此时储备对于安全性而言是冗余的。

作为击中时间问题的动态交接：
从储备驱动型向仅靠费用驱动型安全的转型被形式化为一个击中时间问题（命题 13）。

失败时间 ( $\tau_{\text{fail}}$ )：储备跌破状态相关阈值的第一个时刻。
交接时间 ( $\tau_{\text{hand}}$ )：系统进入“仅靠费用”区域（阈值变为零）的第一个时刻。
成功条件：当且仅当 $\tau_{\text{hand}} < \tau_{\text{fail}}$ 时，交接才算成功。

压力测试保证：
作者推导出了保守的有限时界压力测试保证（定理 15）。通过使用价格和需求的置信下限，可以计算出一个确定性的储备需求，该需求在忽略未来费用流入的情况下，能以特定概率确保安全性。在对数正态动力学下，提供了关于失败概率和预期交接时间的显式界限（定理 30，命题 31）。
前瞻性验证者：
在马尔可夫扩展中，论文证明了马尔可夫完美均衡的存在性（定理 22），并推导了动态一阶条件（命题 25）。该条件捕捉了当前参与如何影响未来的储备积累。结果表明，虽然前瞻性激励会修正均衡安全水平，但基本的“运行期”逻辑（即安全性取决于储备是否高于状态相关的切点）依然成立（命题 27）。

意义与主张
本文声称提供了第一个专门隔离 PoS 系统中“储备交接”问题的可处理均衡框架。其主要意义在于将评估储备充足性的标准从静态指标（例如基于当前消耗率的“数年运行期”）转向了状态相关的运行期分析。

作者认为：

储备并非中性：其安全价值随代币价格和需求而波动。大规模的名义储备并不保证能抵御不利冲击。
阈值至关重要：治理应当监控状态相关阈值，而非仅仅关注储备余额。一旦需求跨越了“仅靠费用”阈值，储备对于安全性而言便成为冗余。
政策启示：储备政策不应仅通过名义上的耗尽日期来评估。该框架允许对转型路径进行逐状态的“压力测试”，将储备充足性转化为一个概率性的击中时间问题。

论文最后指出，虽然目前的模型假设固定政策参数 ( $\theta$ 和 $\rho$ )，但未来的工作可以探索自适应储备政策，使这些参数能够根据状态变量动态响应，从而延长运行期或降低失败风险。