原子交换的“输家反悔”攻击是什么？换币流程里那笔免费看跌期权

一句话先说清

原子交换（atomic swap）让两个人隔着两条链以物易物：双方把资产锁进带哈希锁和时间锁的合同，谁先亮出秘密，对方就能用同一秘密去另一条链提走资产，否则到期各自退款。它常被宣传为“完全公平”。但 2019 年前后的系列论文指出一个时序不对称：先亮秘密的一方（通常是后到账的那位）手里多了一个选择权——秘密亮出后、赎回前的窗口里，他可以看一眼行情，涨了正常履约，跌了直接放弃赎回拿退款走人。这种“输了就反悔”的策略被称作 sore loser attack（也译“输家反悔”“赖账攻击”）。

时序里藏着的期权

标准两方交换的节拍是：A 先锁资产并公布哈希，B 随后锁资产，A 去 B 的合同亮秘密提走 B 的币，这个秘密随即让 B 有 能力在 A 的合同提币——但 B 可以选择不用。注意 A 亮秘密的那一刻起，A 的钱已经出账，而 B 的钱还没动；从这一拍到退款时限之间，B 对“要不要成交”拥有单方面决定权，且这个决定的信息含量接近满格：他看到的市场价格就是他自己要接的价。Han、Lin、Yu 在 2019 年的论文（ACM AFT’19，ePrint 2019/896）把这个结构严格化为一份不带权利金的看涨期权，并用金融里的二叉树定价模型估算：以波动率折算，加密货币场景下这份“免费期权”大约值资产价值的百分之二到三，而股票与法币同类结构的对冲成本只有约千分之三——差别来自加密资产的高波动与链上时间锁的刚性窗口。

谁站在悬崖边

不对称的根源是“先手亮秘密、后手动钱”。于是实践中出现了几个变体：让先锁资产的一方拿更长的退款期限，压缩后手的反悔窗口；把时间锁设计成对称交错，使双方各自的反悔窗口都很短；或者干脆接受定价，让先手方在换币比率里预扣这份期权费——论文给出的修复正是在合同里直接加入权利金机制，支持脚本扩展的链加一条简单操作码即可支持。Xue 与 Herlihy 2021 年的对冲方案则把交换拆成“保证金双锁”结构，任何一方反悔都要向对方赔付预先锁定的一笔保证金。

拆分与工程现实

另一条务实路线是 Robinson 在 2018 年提出的小额拆分：把一笔大交换切成许多小笔分别执行，单笔反悔的最大损失被摊薄，代价是交易费与链上足迹上升。现实里还需要记住：HTLC 交换依赖两边的确认节奏——比特币约十分钟一块，目标链哪怕一秒一块，反悔窗口也由最慢那条链的退款时限决定；跨链桥与交换服务普及后，多数用户并没有亲手跑 HTLC 的耐心，但这套期权逻辑原封不动地出现在许多“锁定铸造”式跨链产品的时序里，值得每个做跨量的工程师与交易者在心里过一遍。

快速问答

问：反悔者白赚吗？窗口期内他若放弃赎回，损失的是时间（资金被锁满时限）与手续费，收益是免掉一笔浮亏——窗口时长决定这份礼物有多厚。 问：交易所兑换有这个问题吗？没有这个时序：交易所内撮合是原子记账。问题只在点对点、跨链、无中介的结构里出现。 问：怎么识别自己是否处在“后手反悔位”？问自己一句：亮出秘密到对方资产到账之间，钱在谁的账户上？钱在谁手里，期权就在谁手里。

常见误区

一是把“原子性”当“公平性”：原子性只保证不存在“一方钱货两空”的强制场景，管不住“有权选择违约”的策略。二是以为时间锁越短越好：两端的期限差才是期权价值的主因，单边压短只会伤及诚实先手。三是把论文里的定价当常数：波动率越高、窗口越长，这份期权越值钱，数字会随资产与链参数剧烈变化。

风险提示：本文为协议机制科普，不构成任何投资建议；跨链换币存在价格波动、脚本漏洞与时间锁错配风险。