先看到的不算数：Full-RBF 成为标准行为后的零确认收款防御

一、“没标记就安全”为什么是错觉

BIP-0125 定义了 opt-in RBF：交易用输入的 sequence 字段显式声明可替换。长久以来流传一种读法——没打标记的交易”不会被替换”。误区在于把节点的中继策略当成了共识规则：替换从来不是协议层禁止的事，能不能替换取决于你的节点愿不愿转发竞争交易、矿工愿意打包哪一笔。零确认信任的真正对象一直是矿工的经济动机与沿途节点的策略构成，而不是那两位 sequence 比特。政策层面走了三步：核心 24.0 加入 -mempoolfullrbf 选项、默认关；28.0 把默认改成开；29.0 直接删除该选项，让所有新版节点一律把内存池中任意未确认交易视为可替换。策略终于与链上现实对齐了。

二、三种攻击模型的新边界

重排模型讲的是先备好一个区块的攻击者，把自己双花的竞争交易放进这个块里，收款方看到的那笔被回滚——它的成本在囤块与算力，从来不依赖标记位，Full-RBF 只是让”未标记也可中继”的传播歧义消失，攻击的成本结构没变。竞花模型用双笔高费竞争交易把选择权拍卖给矿工，本质是价高者得，与 RBF 标记无关，过去可行今天照样可行。第三种是 mempools 分叉：只要网络里仍有节点策略不一致，同一笔交易的”可见世界”就不统一。Full-RBF 成为标准后的实际变化是防守方的心智负担：不再需要区分”可替换/不可替换”两种未确认状态——所有未确认交易一律按可替换对待，赌局反而更透明了。

三、按场景写防御清单

线上服务：一个确认是底线配置，零确认只用于有追偿闭环的内部场景。POS 与自助终端：要么等首个确认再放行，要么改用带惩罚条款的即时结算方案，别用”未标记所以安全”的旧直觉做默认值。所有场景通用三件套：费率与拥堵越高双花动机越强，把确认深度与公开费率历史挂钩评估；监控已收款是否回滚，而不是只数首见；把”交易被节点接受”与”交易被矿工选中”当两件事记录。闪电支付是另一条谱系——HTLC 与惩罚机制对付的是通道内旧状态，与链上 RBF 不是同一威胁模型，结论不可互相套用。任何”零确认也安全”的主张都建立在对手理性或可惩罚的前提上；超出这个边界的部分，按营销话术处理。

四、把确认数写成可执行的策略

“等几个确认”要落成数字才有防御力。一个可用的起点是把风险量化：等一个确认期间被双花的收益上限约等于该笔交易金额，攻击者要垫付的代价至少是竞争交易的手续费乘以重排所需的心智与算力成本；费率越高、区块越满，垫付成本越高，零确认风险反而随拥堵下降——这与直觉相反，却符合替换是拍卖的逻辑。落地成策略就是三条参数：面向用户的收款页在费率数据高企时可放宽到一个确认即可发货，费率低位时维持两确认的内部保守线；大额转账永远等六个确认并保留人工复核；所有等待线每季度对照公开费率历史复核一次，而不是写死在三年前。闪电即时收款可以并存，但要知道它把对手方从矿工换成了通道对手，威胁清单换了一张表，不是风险归零。

本文内容仅供信息与教育参考，不构成投资建议、法律或税务意见，也不构成对任何产品或服务的推荐。比特币与闪电网络操作不可逆，涉及资产操作前请自行核实关键参数并评估风险。