不活跃流失是什么？链无法最终化时怎么恢复共识

结论先说

不活跃流失（inactivity leak）是以太坊 PoS 的紧急预案：当链超过约四个 epoch 无法最终化时，协议开始按规则缓慢削减不投票验证者的有效质押权重，直到仍活跃的验证者重新凑出三分之二多数、最终性恢复。它防的不是”某人作恶抢历史”，而是”足够多的人同时不说话了”——理论上只要超过三分之一质押拒绝参与或乱投票，三分之二多数就不存在，历史既不能确认也不能推进，链进入僵死（最终性对三分之二的依赖见以太坊最终性是什么？）。泄漏机制用”让沉默者持续变轻”的代价，把恢复多数的钥匙还给活跃者，同时让”装死”成为一项昂贵的攻击。

为什么需要它

PoS 的最终性建立在每轮三分之二质押背书之上（投票机制见attestation（验证）是什么？验证者怎么投票）。传统 BFT 网络假设”多数会说话”，而以太坊要面对规模与异步网络下更难的问题：分区、大规模掉线、或者一个处于三分之一到二分之一区间的敌对质押选择既不违规、也不参与——按罚则这不构成可罚没的双花（罚则边界见双花（equivocation）是什么？验证者怎么被罚），但多数永远凑不齐。协议需要一个与”违规才惩罚”平行的机制：长时间不贡献最终性信号本身，就构成被削减的条件。这是 Casper FFG 规范里的”安全阀”：宁可付出通胀式地稀释不参与者的代价，也要保住活链恢复共识的可能（BFT 多数假设背景见BFT 是什么？拜占庭容错的原理）。

不活跃流失是什么？链无法最终化时怎么恢复共识机制示意

触发与节奏

运行规则可以概括为三段。触发：距上一个最终化检查点超过约 4 个 epoch（官方文档口径），泄漏启动。进行：客户端为每个验证者维护”不活跃轮数”计数；不投票者的计数随时间增长，其有效余额按规则逐 epoch 下调，而活跃参与者的余额不变甚至继续计息——两边权重此消彼长，相当于缓慢地把天平砝码从不说话的一侧搬给说话的一侧。退出：一旦活跃质押占比重新越过三分之二门槛，最终化恢复、泄漏停止，离线者重新上线后余额随正常规则回升（节点掉线的常规惩罚与队列逻辑见PoS 质押是什么？权益证明原理与风险）。

它把攻击变成烧钱游戏

设想一个持有三分之一以上质押的对手：他若出块或投票造假，会被可罚没的双花条款逮住、付出接近全部质押；他若只让节点集体沉默、不投任何矛盾票，不会触发 slashing，但会触发泄漏——他的有效权重被持续抽走，直到跌出能否阻塞最终性的门槛。也就是说，泄漏机制把”免费瘫痪网络”的选项从菜单上划掉，把僵持改写成一场对手必须持续付租金的对局；攻击越久，他的质押占比被稀释得越薄，网络越接近恢复。历史上的实弹演习是 2019 年 Medalla 测试网：大量验证者因实现缺陷集体掉线，泄漏被真实触发，最终性在削减与重连的拉锯后恢复——主网至今未发生需要启用它的事故（以官方文档记录为准，核验时间 2026 年 7 月 22 日）。

它不覆盖什么

边界要划清：泄漏只处理”多数不活跃”，不处理两类更糟的情形。其一，双最终性——约三分之一以上对手在两条分叉间精心倒票，两条链各自最终化，届时唯一出路是社区社会协调选择诚实分支（这是协议设计明示的”社会恢复”，不是产品故障）。其二，“诚实但分裂”——软件 bug 把节点分成两套视图，靠修复与共识客户端多样性降低概率（多客户端并存的意义见共识客户端和以太坊客户端是什么关系）。对个人节点运营者，泄漏最现实的含义是：长时间离线不仅错过奖励，还会在事故期间被动降权，恢复参与前评估自己的有效余额位置。