博客

持有 ETH 之后，还能做点什么？几年前这个问题的答案简单得甚至有些单调：提进冷钱包，放着，等牛市。但在以太坊完成 PoS 转型、链上借贷市场完全跑顺的今天，手里的 ETH 显然不甘心只屯着不动。最常见的，要么做 Native Staking 拿协议质押奖励，要么把 ETH 押进借贷市场借出稳定币，在不交出筹码的前提下套出一笔流动性。表面来看，两种方式都是在让「躺在钱包里的 ETH 动起来」，但如果只比较谁的 APR 更高，很容易忽略它们最本质的区别：Native Staking 解决的是长期持有资产如何持续生息的问题，而借贷解决的，则是不愿出售资产时，如何释放流动性和资本效率的问题。它们对应的，其实是两种完全不同的资产需求。一、Native Staking：把漫长的持有时间，变成生产资料先看最纯粹的一种场景。假设手里有 32 个（或更多）ETH，未来两三年内几乎确定不会动用，那在现货层面，币价的短期波动你认了，这时候唯一能继续做文章的变量，其实就是这段确定要付出的持有时间。Native Staking 做的，正是这件事，去把这段时间资本化。众所周知，以太坊进入 PoS 时代后，验证者通过质押 ETH 参与网络共识，负责证明、区块提议等工作，并根据协议规则获得相应奖励。也就是说，这部分收益并不是来自另一个借款人的利息，也不是某个 DeFi 协议额外发放的 Token，它直接来自于以太坊网络给底层安全维护者的协议奖励。因此，对于长期持有者而言，Native Staking 的逻辑其实非常直接——既然这部分 ETH 本来就不准备动，那么可以让它在持有期间参与网络运行，并持续积累更多 ETH。且 Pectra 升级之后，这条路径又进一步发生了变化（延伸阅读《当 800 万枚 ETH 开始「搬家」：后 Pectra 时代，Staking 迎来结构性巨变？》）。新的 0x02 Compounding Validator 将单个验证者的最大有效余额从过去的 32 ETH 提升至 2048 ETH，超过 32 ETH 的奖励可以按 1ETH 为单位继续计入有效余额并参与后续收益计算，也让原生质押真正具备了更加完整的复利能力。但 Native Staking 同样存在一个很明显的特点，那就是它解决了收益问题，却没有直接解决流动性问题。因为一旦 ETH 进入验证者体系，它首先承担的是网络安全资本的角色。新验证者需要经历激活队列，完全退出时也需要根据网络情况等待退出流程，因此它并不像钱包余额一样，可以随时拿出去消费、交易或者进行其他投资（延伸阅读《现在参与以太坊原生质押，为什么要先排队一个月？》）。当然，Liquid Staking 的出现部分解决了这个问题，比如通过 Lido 质押 ETH 后获得 stETH，用户依然可以转账、借贷或者参与其他 DeFi 活动，但从资产结构来看，它也在最简单的 Native Staking 之上，增加了一层 LST 协议和 Token。所以如果把问题进一步抽象，Native Staking 最适合解决的，其实是你有一笔确定长期持有的 ETH，怎样让这段持有时间本身产生价值。二、借贷：保留筹码的同时，提前透支购买力借贷解决的完全是另一种现实麻烦。你同样极度看好 ETH，坚决不想卖，但现实中突然需要一笔现金周转，或者链上出现了一个极具诱惑力的新机会。直接砸现货当然最省事，但代价是彻底交出了筹码，如果 ETH 随后开启大级别主升浪，被卖掉的现货仓位很难以低成本再接回来。DeFi 借贷提供了另一种思路，不卖 ETH，把 ETH 作为抵押物，超额抵押并借出需要的稳定币。以 Aave 这类超额抵押借贷协议为例，用户可以存入符合条件的资产作为抵押品，在一定 LTV 范围内借出其他资产，借出的资金可以用于支付、投资或者其他资金需求，而原来的 ETH 仍然作为抵押资产存在。这时候，ETH 承担的角色就完全变了。在 Native Staking 中，ETH 是「生产资料」，通过参与网络共识创造协议收益；而在借贷中，ETH 更像是「资产负债表上的抵押物」，最大的价值是帮助持有者获得新的流动性。所以严格来说，借贷并不是免费的「额外收益」。借出资产之后，用户会形成一笔债务，需要承担持续变化的借款利率；与此同时，ETH 的价格如果大幅下跌，抵押仓位的 Health Factor 也会下降，一旦达到清算条件，部分抵押资产就可能被协议出售。Aave 因此要求借款人持续关注 LTV、Liquidation Threshold 与 Health Factor。甚至于如果借出来的稳定币又被拿去购买更多 ETH，事情则会再进一步，让原本单纯的流动性管理，开始变成杠杆——ETH 上涨时，它会放大收益；ETH 下跌时，同样会加速抵押率恶化。这也是借贷与 Native Staking 非常重要的一条风险分界线。Staking 的核心风险来自验证者运行、罚没以及退出流动性；抵押借贷则额外引入了债务、利率和市场价格驱动的清算风险。因此，对于长期 Holder 来说，借贷真正解决的，是当你不想卖掉 ETH，却又需要使用资金时，能不能把这部分资产的流动性释放出来？答案是可以。只是这种流动性不是免费的。三、一个赚「时间的钱」，一个换「流动性的钱」从这个角度重新来看，Native Staking 和借贷并不存在绝对的替代关系，在实际仓位管理中，它们更像是解决不同阶段痛点的互补工具：核心不动仓位：几年不打算变现的大头现货，走 Native Staking 是最自然的归宿，不引入外部债务，不承担市场清算，老老实实吃以太坊的网络红利；战术机动资金：短期内有明确现金流诉求、且愿意承担监控成本的部分，借贷提供了一个无需抛售现货的缓冲带；简单来说，不需要流动性时，让 ETH 进厂打工，需要流动性时，拉 ETH 出来当担保人，前者提高的是长期持有阶段的收益效率，后者提高的是资产负债表上的资本效率。当然，DeFi 里也有各种把两者拧在一起的骚操作，比如把 ETH 换成 stETH 再拿去循环质押借贷，试图把两头的好处吃尽，但资本效率越紧绷，风险暴露和传导的链条就拉得越长。不过说实话，对于打算长线持币的人来说，「少一层智能合约风险」，往往比「账面上多两个点的收益」更值钱。而在现实中，很多人之所以不选 Native Staking，痛点实际上是嫌麻烦，毕竟自建验证节点的门槛对绝大多数人来说过高——配机、搭客户端、防掉线罚款，哪怕到了 Pectra 时代运维成本依然在，如果图省事把币扔给中心化交易所，又违背了非托管的基本初衷。这，恰恰是成熟钱包工具在填补的空白，完全可以把过去复杂的验证者操作进一步产品化。以 imToken 的非托管 Native Staking 为例，32 ETH 起步就能直接拉起独立验证者，同时适配了复利型（0x02）与自动提领模式，底层的硬件部署、节点运维和全天候监控由专业基础设施承担，但最核心的私钥所有权与提款凭证（Withdrawal Credentials）始终由用户自己掌控。换句话说，它把一整套原本极客、繁琐的节点管理流程，压成了一个直观、可控的原生产品体验。写在最后这或许也是今天长期持有 ETH 时，一个越来越值得重新思考的问题，过去，我们最关注的是「ETH 要不要继续拿着」。而当 Staking、借贷以及各种链上金融工具逐渐成熟之后，问题变成了既然准备长期拿着，这部分 ETH 究竟应该承担什么角色？是成为持续产生协议收益的长期资产，还是成为随时可以调动资金的抵押资产？想清楚这一点，可能比单纯比较几个百分点的 APR 更重要。

过去几年，RWA 和稳定币大概是加密行业最不缺「宏大叙事」的赛道。一边是把美债、股票、基金乃至私人信贷搬到链上，让现实资产获得可编程、可组合和全球流通的能力；另一边则是把美元、欧元等法币，变成可以 7×24 小时流转的链上现金。这套叙事本身讲得有点久了，甚至容易让人审美疲劳，但如果把最近几个月传统机构和加密平台的动作拼在一起，会发现它们不再是各自独立的单点实验，而是在相互咬合，拼成一条完整的金融链条（延伸阅读《从「投机资产」到「下一代金融底层」，Crypto 正长出一套新的 TradFi 世界？》）。一、RWA 下半场，不再只聊「发 Token」早期大家聊 RWA，想得都很直接，那就是把资产做成代币。一只美债基金原本存在传统金融账户里，现在把份额做成 Token；一块黄金原本需要通过基金、仓单或者经纪商交易，现在可以生成链上的数字凭证。这确实解决了资产的「数字化表达」，但在实际金融世界里，光有 Token 根本走不通。一只股票如果只是链上的代币映射，它往往没有真实的股东权利；如果脱离了监管和现有的交易结算规则，机构根本不敢碰。你必须回答底层股票谁来托管、公司分红怎么发、过户谁来记账、盘后怎么交割等一连串枯燥却致命的制度问题。所以 NYSE 正在做的事情才值得关注。今年 1 月，NYSE 宣布开发自己的代币化证券平台，按照公开方案，它并不是简单发行几个「股票映射 Token」，而是希望让代币化股票真正具备传统证券的股东权利，同时支持 7×24 小时交易、碎股交易、即时结算以及稳定币资金交割。此后，NYSE 又先后引入 Securitize 和 tZERO，围绕数字过户代理、Broker-Dealer、证券登记和链上结算继续补齐基础设施，这与过去 Crypto 原生平台自己发行一个代币化的Stock，逻辑已经完全不同。传统金融正在尝试解决的问题，是如何在不放弃证券法、投资者权利和现有金融市场规则的情况下，把区块链变成证券市场新的技术底座。另一边，Crypto 平台也在反向靠近传统金融。头部交易平台相继推出美股和 ETF 乃至于期权交易产品，过去用户需要在加密交易所买 BTC，在证券账户买英伟达，再到另一个账户交易黄金，现在越来越多的加密平台，试图把这些资产重新收拢进同一个账户和资金体系。譬如 Bitfinex Securities 最近上线的五款产品，让合格投资者可以通过 Token 化证券获得 Strategy、Metaplanet 等上市公司的经济敞口，并以美元、USDT 和 BTC 等进行交易。说到底，RWA 的竞争，正在从「谁能把资产做成 Token」，升级成「谁能建立一套真正可以发行、交易、托管、结算和持续运行的链上资本市场」。而一旦走到结算这一步，稳定币自然成为下一块拼图。二、资产上链之后，稳定币开始成为「现金层」有了能上链的资产，紧接着的问题就是用什么钱来结账？过去很长一段时间，稳定币更像是一个加密大赌场里的「法币代币」。大家买 USDT/USDC，主要是为了在交易所炒币，资金流转几乎全在行业内部闭环。但当资产端开始 24 小时全天候运转，传统银行系统的短板立刻就暴露了。传统证券市场为什么周末不开盘？很大程度上是因为背后的银行、托管、清算和资金系统都有自己的营业时间。这就是为什么稳定币必须顶上来。9 月初，包括 Goldman Sachs、Bank of America、Citi、Deutsche Bank 在内的 21 家金融机构宣布，计划共同组建公司，并在 2027 年上半年推出美元稳定币，此后还可能扩展至欧元等其他 G7 货币。这也意味着稳定币发行正在逐渐从 Crypto 公司之间的竞争，进入银行体系本身。Circle CEO Jeremy Allaire 用一个很有意思的类比描述了今天的市场，即当前的链上金融和稳定币，大概相当于 2002 年的互联网。它想表达的其实不是稳定币规模还会简单增长多少倍，而是基础设施已经开始跨过那个临界点——技术逐渐成熟、监管开始接受，机构也终于具备了真正大规模接入的条件。Circle 在最新报告中同样把稳定币定义为正在进入受监管金融体系，而不再只是独立于银行体系之外运行的 Crypto 产品，这也解释了为什么 RWA 和稳定币越来越难被分开讨论。假设未来一只美国股票真的能够 24 小时在链上交易，那么仅仅把「股票」Token 化，并没有真正解决传统市场的问题,而稳定币提供的恰恰是一种与证券 Token 对称的资金形态，毕竟资产可以 7×24 小时移动，钱也可以 7×24 小时移动。一边是 Tokenized Securities，一边是 Stablecoin Cash Leg，中间再通过区块链完成近乎实时的 Delivery versus Payment，过去需要几个机构、多个账户甚至数日完成的证券交割流程，就有机会压缩到同一个系统中。从这个角度看，当证券、基金、债券和其他 RWA 陆续上链之后，稳定币有机会从 Crypto 市场的计价货币，进一步变成整个链上资本市场的现金层。这也是为什么监管变得越来越重要。某种程度上，监管并不是稳定币扩张的反面，恰恰是监管边界逐渐明确之后，它才真正有可能从 Crypto 原生资产，进入更大规模的金融体系。三、当稳定币走出交易所，最后一公里开始连接现实世界不过，即便完成了资产上链、合规发行和链上结算，稳定币距离真正成为「货币」仍然还差最后一步：在现实里花出去。最近日本市场的动作很有代表性。8 月份，HashPort 和罗森便利店在东京高轮 Gateway City 门店跑通了一次线下日元稳定币支付。顾客掏出钱包付钱，商户端直接连着便利店现有的 POS 终端，整个过程不再是 Web3 活动现场摆一块二维码，让两个钱包互相转账，而是尝试让稳定币真正进入普通零售系统。与此同时，NETSTARS 也在另一家罗森门店完成了自己的 Stablecoin Pay 实证，并验证了包括日元稳定币、USDC 和 USDT 在内的多币种、多链支付与现有 POS 系统的连接。今年 7 月正式启动的 Stablecoin Pay，商户手续费为 0.98%，其目标也非常明确，商户不需要分别理解每一条区块链、每一种钱包和稳定币，而是通过同一套支付基础设施完成接入。这一点可能比「便利店终于可以用稳定币买咖啡」本身更加重要。今天信用卡、支付宝或者交通卡之所以能够大规模普及，从来不是因为每一家便利店都理解 Visa 的清算网络、二维码协议或者银行间系统。恰恰相反，成熟支付网络最重要的特征，就是把底层复杂性藏起来。未来稳定币真正进入线下，也大概率需要经历同样的过程，消费者只需要选择钱包，商户继续使用熟悉的 POS，支付服务商负责处理中间的链、币种、汇率、确认、合规和结算。区块链最终可能存在于每一笔交易背后，却没有必要出现在每一个消费者面前。更有意思的是，支付终端的另一端也开始发生变化。HashPort 同期宣布推出 Wallet MCP，希望让 ChatGPT、Claude 等 AI Agent 可以连接钱包，在用户授权下完成余额查询、转账、交换甚至外部服务支付。这意味着今天正在建设的稳定币支付网络，面对的可能不只有「人」，如果未来 Agent 可以自己订酒店、购买 API、采购云计算资源甚至管理企业费用，那么稳定币这种原生数字化、全球流通且可编程的钱，天然比传统银行卡更容易成为机器使用的支付工具。于是从消费者 Wallet，到 Agent Wallet；从链上 Token，到便利店 POS；从美元稳定币，到日元稳定币，一张新的支付网络正在慢慢出现。而钱包在其中的位置，也会随之发生变化。过去的钱包主要解决「如何安全地持有和使用链上资产」，未来的钱包可能还需要承担另一层角色，那就是成为链上金融网络与现实商业网络之间的用户入口。这也是 imToken 与 NETSTARS 最新合作值得关注的地方。9 月 3 日，双方签署 MOU，计划探索 imToken 钱包基础设施与 Stablecoin Pay 的连接，让钱包里的稳定币进一步获得进入日本线下实体商户的可能。目前这仍处于合作探索阶段，并不意味着具体支付服务已经正式上线，但从方向上看，它恰好代表了钱包角色正在发生的变化：从连接链上资产和 DApp，继续向现实支付入口延伸。写在最后回头看这几年的路径，其实非常清晰：最开始大家讨论「资产能不能上链」；后来发现上链后没有流动性，于是折腾「DeFi 能不能借贷」；而到了今天，整个叙事终于落到了实处：传统机构能不能合规发行？能不能用链上的钱完成交割？日常能不能在便利店甚至 AI 场景里花出去？当纽交所的清算、华尔街的稳定币、便利店的 POS 机以及用户的钱包在同一条链路上咬合，所谓 RWA 就不再只是把现实资产搬进 Web3。到那个时候，可能就是 Crypto 的金融基础设施，真正开始进入现实世界。让我们拭目以待。

如果你最近直接参与以太坊原生质押，可能会发现，ETH 存进去了，链上交易也成功了，但验证器却迟迟没有开始工作，而是停留在「排队中」。而且这一排，大概率就是一个多月。截至 9 月 16 日，以太坊仍有 180 多万枚 ETH 等待进入验证者集合，预计等待时间约 32 天；今年 7 月，等待时间一度超过 43 天，而在 3 月队列最高峰时，甚至曾有约 340 万枚 ETH 堵在入口，等待时间接近 60 天。也就是说，「排队一个月」并不是一个夸张的说法。但问题也随之而来。以太坊平均每 12 秒就能产生一个 Slot，一笔普通交易很快就能得到确认，为什么轮到质押，却要让价值数十亿美元的 ETH 原地等上几十天？更重要的是，这几十天里有没有收益？为什么现在进入质押要等一个多月，退出却可能只需要几分钟？答案，都藏在以太坊一个很重要却很少被普通用户注意到的机制里：Validator Queue，验证者队列。一、「排队一个月」，到底是怎么算出来的？先说一个最容易产生误解的地方，以太坊并没有规定，新质押的 ETH 必须锁 40 天以后才能开始工作。一个月只是一个动态结果。简单来说，可以把它理解成前面等待进入的 ETH ÷ 以太坊每天允许进入的 ETH = 大致排队时间。以太坊 PoS 并不会允许所有新验证者一次性进入网络，而是设置了一个叫做 Churn Limit 的限速机制，控制每个 Epoch 最多有多少质押余额能够加入验证者集合。一个 Epoch 包含 32 个 Slot，每个 Slot 约 12 秒，所以一个 Epoch 大约是 6.4 分钟，一天大约会经历 225 个 Epoch。Pectra / Electra 之后，以太坊开始更多以「ETH 余额」而非单纯验证器数量来计算这套限额，目前新质押的处理上限为每个 Epoch 256 ETH，如果全部换算成传统的 32 ETH 验证器，就相当于每 6.4 分钟最多放行 8 个标准验证器。这样一天能够进入多少 ETH，也就很容易算出来了：256 ETH × 225 ≈ 57600 ETH/天。所以如果前面有大约 183 万枚 ETH 等着进入，那就是 183 万 ÷ 5.76 万 ≈ 32 天，这就是「排队一个月」最核心的来源。因此，这个数字每天都会变化。如果每天新进入队列的 ETH 少于 57,600 枚，积压会逐渐被消化，40 天可能变成 30 天、20 天；反过来，如果每天都有超过这个数量的 ETH 涌进来，队伍不仅不会缩短，反而会越排越长。今年 3 月约 340 万 ETH 排队、等待接近 60 天，就是一个极端例子。所以它与我们平时理解的「以太坊堵不堵」其实是两回事。Gas 很低、区块空间很充裕，并不意味着验证者就能马上加入，因为限制它的不是执行层交易容量，而是以太坊主动设置的一道验证者入口限速器。二、为什么不干脆把入口打开，让所有 ETH 一次进来？既然几十天的排队意味着资金无法产生质押收益，那么最直接的解决办法似乎也很简单，把 256 ETH / Epoch 的上限调高不就行了？问题是，验证者并不是普通账户。一笔 ETH 转账完成以后，基本不会给整个网络增加持续负担；但一个验证器一旦被激活，就会长期进入以太坊的共识系统，参与区块证明、委员会分配和网络共识。目前以太坊已经拥有超过 90 万个活跃验证器，质押 ETH 超过 4200 万枚。每一个新增验证器，都会成为这个巨大共识系统的一部分。这也是为什么以太坊一直在主动控制验证者集合的变化速度。2023 年提出的 EIP-7514，就专门给验证者激活速度设置了上限。它背后的担忧并不是「质押的人太多不好」，恰恰相反，而是如果验证者数量在短时间内无节制增长，共识层状态规模、验证器管理以及网络通信和处理压力都会随之上升。Pectra 之后，以太坊允许单个复利验证器的有效余额最高提升至 2048 ETH，部分原因也是为了让大量质押资金不再必须被拆成成千上万个 32 ETH 验证器，从而降低验证者数量持续膨胀带来的额外负担。但除此之外，Churn Limit 还有一个更底层的目的，就是不要让维护以太坊安全的那群人，在短时间内发生剧烈变化。毕竟 PoS 网络的安全依赖于当前活跃验证者集合。如果大量质押资金可以瞬间加入或者离开，那么整个网络用于判断谁有资格参与共识、多少经济安全仍然留在系统中的基础也会快速变化，因此以太坊需要人为给这种变化设置一个速度上限。这也是为什么「排队」并不是一个待修复的 Bug。从用户角度看，它确实牺牲了一部分资金效率；但从协议角度看，这更像一道刻意设置的减速带，表明以太坊宁愿让几百万枚 ETH 在门口等几十天，也不愿让验证者集合在几天时间里突然膨胀或者收缩。甚至从未来路线图来看，这个思路也没有改变。目前计划纳入 Glamsterdam 的 EIP-8061，准备显著提高退出与验证器合并的处理能力，以缓解退出拥堵，但依然计划保留激活端的 256 ETH / Epoch 上限。换句话说，以太坊正在考虑让「出去」更灵活，却暂时没有准备彻底放开「进来」的闸门。三、排队期间有收益么？为什么现在退出反而这么快？那 ETH 存进去了，等待的这一个月到底算不算质押？从协议奖励角度看，不算。只有当验证器真正进入 Active，也就是「活跃」状态以后，它才会开始执行证明、参与区块提议等验证工作，并获得相应的以太坊协议奖励。在此之前，即使质押交易已经完成、ETH 已经进入质押流程，只要验证器仍处于 Pending，也不会产生正常的验证者质押奖励，Ethereum.org 就将「Active」作为验证器开始工作和产生收益的时间点。这也是长队真正影响普通用户的地方。按照目前约 2.6% 的全网质押 APR 粗略计算，一台 32 ETH 的验证器如果等待 40 天，相当于少了大约 0.09 ETH 的潜在协议收益。单独看并不算特别夸张，但如果是一家需要部署几万、几十万枚 ETH 的机构，40 天的资金闲置成本就会迅速放大。这也解释了为什么最近以太坊质押队列越来越受到机构和 ETH 财库公司的关注，过去大家比较不同 Staking 方案，最容易看到的是 APR 差几个百分点、手续费是多少；但当排队本身就可能长达一个多月以后，「什么时候能够真正开始产生收益」也变成了资金效率的一部分。不过这里还有一个很有意思的反差。如果查看退出队列，会发现等待时间往往只有几分钟到几个小时，难道以太坊允许大家快速跑路，却不允许快速进场？其实不是。进入和退出都有 Churn Limit，它们都会受到协议限速，只不过队列长度最终取决于有多少人在排队。现在有超过 200 万枚 ETH 想进场，而真正等待退出的 ETH 却非常少，于是同样是一条限速公路，一边排起几十公里长队，另一边却几乎畅通无阻。而且，「退出队列很短」也不等于 ETH 可以几分钟后立刻回到钱包，验证器完成退出以后，还需要等待固定的 256 个 Epoch，约 27 小时，才能进入可提款状态，此后还要等待以太坊的自动 Withdrawal Sweep 将资金发送到提款地址，整个过程仍可能额外花费数天。那对普通用户而言，这也意味着不同质押方式之间出现了一个很容易被忽略的差异。如果选择自己运行验证器，或者通过 imToken 这样的非托管 ETH 质押服务创建独立验证器，那么底层都需要真实进入以太坊验证者集合，因此也必须经历这条协议队列。譬如 imToken 的非托管质押中，用户持有提款密钥，节点服务商负责验证器运行；当页面显示「排队中」时，本质上就是验证器正在等待以太坊放行，直到状态转为「活跃」后才开始产生协议收益。而部分流动性质押池，因为已经存在大量活跃验证器和流动性代币，可以在产品层面对这段等待进行一定程度的抽象，用户未必会直接感受到几十天的「零收益排队期」。只不过，代价则是引入另一套信任边界，包括智能合约、LST 流动性、协议治理以及资产兑换等额外风险，这也是一个经常被 APR 掩盖的问题，即 Staking 的真实成本，从来不只有手续费和收益率。资金什么时候进入、什么时候真正开始工作、什么时候可以退出，以及在这个过程中谁掌握资产控制权，本身都属于质押产品的一部分。写在最后从表面上看，以太坊让几百万枚 ETH 排在门口一个多月，似乎是一种相当低效的设计。但如果把视角从切换到整个网络，反而能理解，毕竟普通交易追求的是尽快执行，而验证者关系到的是谁在维护下一刻的以太坊共识。前者可以追求越来越快，后者反而需要有所节制。所以，这其实是质押需求远远超过协议设定的进入速度以后，一道原本看不见的安全护栏，被排成了一条肉眼可见的长队。某种意义上，这条队伍越长，至少说明在这一阶段，想进入以太坊验证者集合的质押需求持续超过协议允许的进入速度。但无论外面站着多少人，以太坊依然只肯按照自己的速度，一个 Epoch、一个 Epoch 地开门。

沉寂了一段时间的「龙虾」OpenClaw，在 8 月 30 日发布了 2.0 版本。按照官方的说法，这是 OpenClaw 历史上规模最大的一次更新，累计超过 1.6 万个 Pull Request，几乎触及安装、消息、记忆、Skills、模型、Automations、浏览器、原生应用、Plugins 与安全机制等整个产品栈。但相比这些庞杂的功能列表，更值得关注的，其实是 OpenClaw 2.0 背后那条越来越清晰的演进路线：Agent 正变得越来越能真正「动手做事」。与此同时，它也把行业带向了一个绕不开的信任困境：当 Agent 越来越能够自主决定「怎么做」，我们又该如何确保，它的每一次关键操作，都没有越过用户真正授权的边界？一、Agent 自主权的两难：全盘放权，还是层层确认？过去一年，AI Agent 最明显的变化，并不只是底层模型变聪明了。随着 MCP、Skills、Plugins、浏览器控制和代码执行等基础设施逐渐成熟，Agent 开始拥有越来越多真正能够影响外部世界的「手脚」，譬如修改信息，点击按钮，或者通过 computer use 直接控制浏览器（延伸阅读《Agentic AI 拐点已至？当 AI 学会「自己行动」，如何重构 Web3 的安全边界？》）。但问题也恰恰出现在这里，在现有的交互范式下，往往容易陷入两种极端。一种是全盘放权，直接把私钥，或者一枚长期有效、权限足够大的 Session Key 交给 Agent，让它自行判断执行。这种模式的自动化体验当然最好，但风险同样非常集中，一旦遭遇提示词注入、恶意网页或环境污染，又或者模型自身出现理解偏差，错误就可能沿着整个执行链一路传递，最终变成真实操作（延伸阅读《Sign 不只签名：当 AI Agent 替你签名，谁还握着控制权？》）。毕竟在普通互联网场景，这可能只是发错一封邮件、删错一个文件，但到了链上，一笔错误交易却往往不可逆。另一种则是完全不放权，每一个操作、每一次子调用都弹出签名窗口请求确认，安全性是提高了，但自动化的意义也随之大幅下降。毕竟一个 Agent 帮用户完成一套复杂 DeFi 策略，中间涉及多个步骤，如果都需要用户拿起手机逐个「Approve」，那用户实际上只是从「自己点按钮」，变成了替 Agent 不断盖章的「人工验印机」。换句话说，中间的自由度，既是 Agent 提高效率的来源，也是新的风险来源。从这个角度看，问题的核心并不在于「要不要放权给 Agent」，而在于授权的粒度与验证机制是否具备动态弹性，因为传统的权限管理是二元的（要么允许，要么拒绝），而 Agent 面对的任务显然复杂得多。同样是一笔交易，10 美元和 10 万美元不同；与长期使用的协议交互，和突然授权一个陌生合约不同；完成一笔用户明确要求的 Swap，和 Agent 自行决定把资产跨到另一条链，也不是同一个风险等级。所以说，Agent 越能自主行动，权限就越不能只是一个简单的开关。真正需要的，是一套能够让它在边界以内自由行动，越过边界时自动停下来的安全机制。二、如何为自主 Agent 构建一条「可验证」防线？事实上，OpenClaw 并没有忽视这个问题。目前它提供了多层权限机制，譬如插件可以在具体操作执行前暂停并要求用户确认，涉及主机命令时，则还有独立的 Exec Approvals 和 Allowlist等等。相比把所有工具和权限一次性交给 Agent，这已经向前走了一大步。但当 Agent 真正进入支付、交易和资产管理场景，一个更细的问题随之出现：允许 Agent 使用某项能力，和授权 Agent 完成某项具体行动，其实不是一回事。就像允许 Agent 使用浏览器，并不意味着允许它在任何网站购买任何东西；允许 Agent 访问邮箱，也不等于允许它以你的名义给任何人发送邮件；同样，允许 Agent 调用钱包，也绝不应该等于允许它将任意金额发送至任意地址。所以，Agent 时代的权限体系可能需要区分两个不同的问题。一个是能力权限，即 Agent 能不能使用浏览器、终端、邮件或者钱包？另一个则是更具体的行动授权，像在这一刻，它准备执行的这件事，究竟是不是用户真正允许它做的？那如何让 Agent 在明确的边界内充分自动化，同时在真正越过边界的时候，把决定权重新交回用户？这也是 imToken 正在探索 Sigil 的原因。它的核心并不是给 Agent 再增加一道传统意义上的「确认弹窗」，而是尝试通过可验证签名与细粒度权限控制，在用户和 Agent 之间建立一层可以被明确约束的安全护栏。其中一个很重要的原则就是「What you see is what you sign」，你看到什么，就签署什么。简单来说，用户可以预先授予 Agent 一定范围的权限，让低风险、符合既定策略的行为自动完成；当操作触及资金额度、陌生协议或者其他关键权限边界时，再暂停执行，把具体请求交还给用户确认。更重要的是，这种确认并不应该只是一句模糊的「Agent 准备执行交易，是否同意」，用户真正需要看到的，是这笔操作里实际发生变化的关键参数：使用什么资产、金额是多少、交互对象是谁，以及最终究竟准备执行什么。因为只有当用户看到的内容、用户授权的内容和系统最后执行的内容能够对应起来，一次确认才真正具有意义。Sigil 围绕这一点，还尝试使用 Passkey、生物识别、单次签名、短有效期以及请求参数绑定等机制，让关键授权不仅可以被用户理解，也能够被系统验证。这意味着，一份授权不只是「有人点了确认」，而是可以进一步回答谁批准了、批准了什么，以及最后真正执行的，是不是当时看到的那件事。从这个角度看，Sigil 真正想解决的并不是「如何让 Agent 少做一些事」。恰恰相反。它试图解决的是，怎样让 Agent 在不拿走用户最终控制权的情况下，可以放心地多做一些事（延伸阅读《从盲目点「Yes」，到看清再签名：Sigil 如何为 AI Agent 加上一道安全护栏？》）。三、从管理资产到管理 Agent如果把视角再往后拉一步，会发现这其实也是钱包正在面对的一次角色变化。自以太坊诞生以来，imToken 钱包亲身经历并见证两个关键世代：从管理单一私钥的 1.0 时代，演进到通过账户抽象（AA）优化交互体验的 2.0 时代。随着 OpenClaw 2.0 等自主 Agent 的普及，钱包无疑正步入第三代演进，需要进一步帮助用户管理一个个会自主判断、持续工作的 Agent。这也是为什么钱包行业过去积累的私钥管理、数字签名、身份认证与权限隔离能力，可能会在 Agent 时代获得新的意义。因为这些技术表面上是在解决「怎样安全地签一笔链上交易」，背后处理的其实是一个更加普遍的问题：如何证明一项行动，确实获得了某个主体的真实授权。今天，这项行动可能是转出 1 ETH。未来，它也可能是发送一封邮件、修改一份文件、使用某个数字身份、购买一项服务，或者允许 Agent 在未来一周持续执行某套自动化策略。这些行为并不一定全部发生在区块链上，但底层关系非常相似，那就是 Agent 正在以用户的名义调用一种属于用户的能力。因此，Sigil 的意义也未必只局限于 Crypto。当 OpenClaw、Hermes 以及更多运行在个人设备或云端环境中的 Agent，逐渐连接邮件、即时通信、日历、文件、浏览器、终端和支付工具时，「如何证明这一次行动确实经过用户授权」会变成一个越来越普遍的问题。因此 Sigil 未来也可能从链上交易延展至数据访问、身份使用、文件修改、内容发布、服务购买和自动化任务。总的来看，作为 imToken 与 OpenClaw 的共同探索，Sigil 试图把 imToken 过去十年在自托管、钱包和数字签名领域积累的经验，带入自主 Agent 开始进入真实执行环境的新阶段。它不替代 Agent，也不取代钱包。它站在二者之间。

如果把过去几年以太坊的升级串成一条线，主题词毫无疑问就是「扩容」。从 Dencun 引入 Blob 给 Rollup 大幅减税，到 Pectra 调整验证者效率和质押机制，再到 Fusaka 落地 PeerDAS 降低数据分发负担，协议层几乎把所有精力都砸在了一件事上：让以太坊吞下更多数据，同时别把节点门槛抬得太高。这套组合拳确实管用，Rollup 的数据成本打下来了，主网 Gas Limit 也在稳步提升，以太坊不再像上一轮牛市那样动辄几十刀手续费让人望而却步。但路修宽了，车怎么开，依然很别扭： 我们还是要在三四条 L2 之间搬运资产，稍不留神就提错链； 一笔转账明明几秒就打上包了，桥和交易所非要你干等十几分钟才敢确认； 专业 Builder 几乎垄断了区块打包，你想发一笔敏感交易，随时可能被协议外的潜规则拒之门外； 更别提直到今天，一个刚进圈的用户如果只是想转几百块 USDC，还得先去搞明白为什么钱包里必须有 ETH、什么是 Nonce、什么又是 Gas； 这些问题表面上都表现为用户体验的摩擦，背后却牵涉确认规则、区块构建、抗审查与账户模型等更底层的协议机制。而这也正是从 Glamsterdam 到 Hegotá，从 2026 年 Q4 到 2027 年，以太坊开始集中处理的新问题。一、扩容不停，但开始「缝合」L1 与 L2当然，扩容不会踩刹车。Glamsterdam 依然带有很重的性能取向，其中最引人关注的两项，一个叫 ePBS（EIP-7732），另一个叫 BAL（Block-level Access Lists，EIP-7928），简单理解的话： ePBS 就是把今天已经大量存在于协议外部的 Proposer 与 Builder 分工，更正式地写入协议，顺便把出块和验证的时间窗口切分得更科学，给未来跑更大区块留足缓冲； BAL 则相当于让区块在开头就列出一张「访问清单」，节点一眼扫过去就能提前预取数据甚至并行处理，专治存储 I/O 瓶颈； 只是在扩容之外，今天大部分人的真实痛苦，根本不是以太坊 TPS 够不够高，而是 「链太多了」。譬如 ETH 在主网，玩的 meme 在 Robinhood Chain，支付结算用的 USDC 又可能在 Arbitrum，想抄底的 USDC 在 Base.....对以太坊基金会来说，Rollup 们都是以太坊版图的一部分，但对用户来说，这跟跨国换汇、办签证没什么区别。因此，要把散落的拼图重新缝成一张网，除了跨链协议各显神通，协议层最近在推的一项底层机制很值得关注——FCR（Fast Confirmation Rule，快速确认规则）。很多人以为交易被打包进区块就算成了，但在密码学与共识层面，一个刚出的区块完全可能遭遇微小重组，真正不可逆的「最终性（Finality）」，以太坊需要走完两个 Epoch，大概耗时 13 分钟。这平时转账无所谓，但对跨链桥、大额清算和中心化交易所来说简直是折磨，为了不担重组风险，它们只能让你硬等。FCR 的巧思在于，不必傻等十几分钟的完整 Finality，而是利用验证者本来就会持续产生的 Attestation，根据已经累积的投票权重，更早判断某个区块是否已经获得足够强的共识支持。按照以太坊基金会给出的目标，在网络保持正常同步的情况下，FCR 有望把这种「强确认」提前到大约 15～30 秒，虽然不等同于完整 Finality，但对于许多今天不得不等待最终性的桥、跨链通信和基础设施而言，已经足以提供一个更早、且具备明确安全模型的确认信号。更特殊的是，FCR 并不需要等待某一次硬分叉才能启用，它更接近一套可以由共识客户端和基础设施逐步采用的确认规则。一旦各类 L2、跨链桥和钱包开始使用这套信号，今天大量因为「等待 L1 最终性」产生的跨层延迟，就有机会从十几分钟压缩到几十秒级。这也意味着，未来你调动一笔资产，后台可能悄悄跨了两条链或多条链，但在前端，只需要点一下确认，然后很快便到账。二、更底层的命题：谁有权力决定交易能不能上链？不过，当区块越来越大、Builder 越来越专业以后，以太坊又面临另一个非常典型的两难问题。既然专业 Builder 凭借顶尖算力和订单流把区块构建效率做到了极致，那么绝大多数区块的生杀大权，自然也就落到了少数几个大机构手里。这就带来了一个极度危险的隐患：审查。如果某些 Builder 出于合规压力、商业竞争，或者单纯看某些隐私协议不顺眼，故意在内存池里装聋作哑、拒绝打包你的合法交易，哪怕你私钥在手、Gas 给够，你的交易也可能被活生生卡在链外（延伸阅读《将抗审查写进协议：谁来决定一笔以太坊交易能否上链？》）。去中心化如果连最基本的「抗审查交易准入」都保不住，吞吐量再高也是空中楼阁。这也是为什么在 Hegotá 的规划里，FOCIL（Fork-choice Enforced Inclusion Lists，EIP-7805） 被摆上了如此关键的位置。它的逻辑极其简单粗暴，就是给 Builder 戴上紧箍咒。每个 Slot，协议都会随机抽选一批普通的独立验证者，让他们把各自在内存池里看到的合法待处理交易塞进一张「包含清单（Inclusion List）」，Builder 你依然可以自由排布交易顺序去赚你的 MEV，但你交出来的区块，必须老老实实把清单里的交易带上。如果 Builder 敢恶意无视这张清单，全网验证者就会在分叉选择规则里直接把这个区块踢出局。换句话说，你可以靠本事赚钱，但你不能替全网决定谁有资格使用以太坊。这层机制一立起来，连带着以太坊另一块喊了很久却始终推不动的短板，也就是大家翘首以盼的隐私性，也终于找到了落脚点。众所周知，过去大家聊隐私，张嘴闭嘴都是零知识证明、隐形地址、混币池，但只要 Builder 认出来「这是一笔往隐私合约发的调用」，反手给你拒掉，你的数学魔法瞬间就瘫痪了。而目前在以太坊的隐私路线里，FOCIL 堵上的，恰恰就是最容易被卡脖子的地方，毕竟只要协议层能死保每一笔合法交易的准入权，上层的隐私探索才有活路。目前像 EIP-8182（尝试引入协议级原生 Shielded Pool） 这类更激进的隐私提案虽然还在候选讨论阶段（Proposed），但趋势已经很明显，也即隐私不能再当成某个第三方 DApp 的边缘功能，它得逐渐变成以太坊底层的基本水电气。三、最后一步，原生 AA 与不再反人性的钱包前面聊的架构调整，更多发生在水面之下，而第三件事，则会和普通用户的实际使用体验密切相关。那就是以太坊终于下定决心，要对延续了十多年的 EOA 账户模型动大手术了。老实说，以太坊沿用至今的私钥签名模型，对稍微普通一点的互联网用户来说简直反人性到了极点：私钥丢了就万劫不复；钱包里明明有成千上万的稳定币，就因为差了 0.001 个 ETH 当手续费，资产就暂时无法转移；玩个 DeFi 要先 Approve 再 Swap，点三次签名才能做完一件事；交易 Nonce 必须严格排队，一笔卡住，全家卡死。前两轮升级里，社区做过各种折中。比如搞出 ERC-4337，在协议外用合约钱包迂回救国；又比如在 Pectra 引入 EIP-7702，允许普通地址临时挂载一段合约逻辑来借点灵活性。但 7702 说到底是一座便桥，Hegotá 锁定的重头戏，是真正的原生账户抽象 EIP-8141（Frame Transactions，帧交易）。可以简单理解为，以往以太坊的一笔交易是把三件事死死捆在一起的，譬如谁证明是你（验证）+ 谁掏这笔钱（付 Gas）+ 究竟要干嘛（执行），而 EIP-8141 则是从协议底层把这三件事拆成了不同的「帧」（延伸阅读《原生账户抽象 + 抗量子威胁：EIP-8141 为何还没成为以太坊 Hegotá 的头牌？》）： 验证帧：不再锁死在固定的 ECDSA 椭圆曲线签名上，可以支持 Passkey 等更灵活的验证方式，进一步结合手机指纹、Face ID 等能力，让密钥轮换和账户恢复变得更自然； 支付帧：Gas 赞助原生化。应用方可以直接替新用户代付 Gas，或者你在支付帧里指定直接扣除转账里的 USDC，再也不需要中继器在链下倒买倒卖； 执行帧：天然支持原子批处理，授权+兑换一步到位，成功就一起生效，失败就干脆利落地全部回滚； 如果再加上正在排队讨论的 EIP-8250（Keyed Nonces），未来的账户甚至能有多条并行的 Nonce 轨道。一旦这些能力原生沉淀到协议里，对像 imToken 这样的钱包来说，产品形态将迎来一次质的解脱。要知道过去钱包的大部分精力都耗费在提醒用户备好 Gas、解释为什么这笔交易卡住了、教育用户如何抄写助记词、帮用户在不同链之间切换 RPC。未来，当签名算法、Gas 代付、权限控制和交易路由都可以被编程时，钱包终于可以退回它应有的位置，成为用户和去中心化世界之间的一层静默操作系统。它和之前一样，仍完全掌控在用户手里，但用起来却会像支付宝扫码支付、像指纹解锁一样理所当然。写在最后回头看以太坊这几年的升级脚印，路径其实极其清晰。Dencun 解决 Blob；Pectra 一边继续扩容，一边改善验证器和账户能力；Fusaka 用 PeerDAS 为更大的数据吞吐继续铺路；接下来的 Glamsterdam，又会通过 ePBS、BAL 等结构性变化，为更高 Gas Limit 和并行执行打基础。扩容依然没有结束，但扩容已经不再是唯一的问题。以太坊终于腾出手来，直面那些最本质、也最让人头疼的问题，这也是为什么 EF 在 2026 年重新整理协议研发方向时，将其归纳为了三个非常简单的目标：Scale、Improve UX，以及 Harden the L1。以太坊早已向世界证明了，它能成为一台永不停机的世界计算机，接下来，就是让普通人，真的可以丝滑地用起来。

最近，以太坊 Staking 又出现了两个很有意思的数字。一个是 34.7%。截至 8 月下旬，以太坊全网已经有约 4240 万枚 ETH 参与质押，占总供应量约 34.7%，创下历史新高，更夸张的是，验证器入口处还有超过 220 万枚 ETH 正在排队，按照当前速度，新的质押资金需要等待近 39 天才能正式激活。另一个变化，则来自传统金融。8 月，Fidelity 为旗下以太坊基金 FETH 进一步推进 Staking 安排，不仅已经与 Anchorage Digital、BitGo 签署相关托管协议，还明确设计了质押收益分配机制。这两个看起来并不相关的变化，其实是一个缩影，近半年来，以太坊质押正加速从一项偏极客的链上操作，逐渐变成一种越来越标准化的资产管理方式。那对普通 ETH 持有者来说，一个比「要不要质押」更现实的问题开始出现：如果决定 Staking，到底应该自己运行节点，选择 Native Staking、Lido，还是干脆放在交易所？一、Staking 已不只局限于「锁仓赚收益」先从最基础的问题说起。以太坊完成 The Merge 之后，网络不再依赖矿工通过算力维护网络，反而由验证节点通过质押 ETH 参与区块验证与共识。而想成为一个独立验证节点，最基本的门槛是 32 ETH。验证者保持在线、正确完成证明以及参与区块提议，可以获得来自以太坊协议的共识层奖励，反过来，如果长时间离线会遭受一定惩罚，发生双签等严重违规行为，则可能面临 Slashing。从这个角度看，Staking 的收益并不是凭空产生的「利息」，而是用户用自己的 ETH 为以太坊网络提供经济安全，并因此获得的协议奖励。但过去几年，Staking 一直存在一个不那么符合直觉的问题：奖励并不会天然复利。在传统的 0x01 验证器中，即便它赚到了 0.5 ETH、1 ETH 的额外共识层奖励，超过 32 ETH 的部分也会被网络定期自动提取到提款地址，而不会继续参与下一轮质押。如果想让这些 ETH 重新产生收益，就需要重新凑够质押额度并再次部署。Pectra 改变了这一点。新的 0x02 验证器最高有效余额被提升至 2048 ETH，且超过 32 ETH 后，余额可以继续按照协议规则逐步增加有效质押额度，对长期质押者而言，原来「赚到收益—提出来—重新部署」的过程，第一次可以在以太坊原生协议内部自动完成（延伸阅读《当 800 万枚 ETH 开始「搬家」：后 Pectra 时代，Staking 迎来结构性巨变？》）。如果梳理近半年的时间线，会发现 ETH 质押，正从早期相对粗糙的「锁 32 ETH 换收益」，逐渐变成一套更成熟的资产管理机制。Fidelity 把 Staking 收益加入 ETF，解决的是传统金融用户「谁替我质押」的问题；Pectra 解决的是验证器层面的资本效率；Lido 等流动性质押协议解决流动性；专业节点运营商，则开始把运维从资产控制中拆分出来。因此今天再比较 Staking，真正应该看的已经不只有 APR，而应该进行综合权衡。二、同样是 Staking，到底有什么区别？总的来看，现在普通用户能够接触到的 ETH Staking，大致可以分为四种典型路径。表面看起来，它们似乎只是四种获得同一种收益的方法，但这些路径的核心差异，本质在于用户选择将哪一部分权力与风险委托给第三方。1. 自己运行节点：收益最「原生」，控制权也最完整最纯粹的 ETH 质押，就是自己准备 32 ETH、运行执行层和共识层客户端，并维护属于自己的验证节点。这种方式中，节点怎么部署、运行什么客户端、什么时候退出，都由自己决定，协议产生的收益也不需要再额外分给流动性质押协议或者交易平台。但门槛也较高，因为你不仅需要至少 32 ETH，还需要一台稳定运行的设备、良好的网络环境，并长期维护客户端版本、节点状态和密钥安全。说到底，自己运行节点就是在用最高的控制权和更完整的收益，交换更高的技术与运维成本。2. Native Staking：资产自己控制，把「运维」外包出去第二种方式，则可以理解成 Solo Staking 与完全托管之间的一层折中。用户仍然拿出自己的 32 ETH 创建独立验证器，ETH 最终进入的依然是以太坊原生质押体系，并不会兑换成另一种 Token，但节点运行交给专业服务商完成。最重要的区别在于提款权和节点操作权可以分离。验证器本身存在不同密钥，其中 Signing Key 用于节点日常签名和验证区块，可以交由专业节点服务商管理；而真正决定本金与收益最终去向的 Withdrawal Credential，则仍可以掌握在用户自己手里。这也是非托管 Native Staking 与交易所托管质押非常关键的一道分界线，例如 imToken 当前提供的非托管 ETH 质押，就是按照这套思路设计（延伸阅读《什么是 imToken 非托管 ETH 质押服务？》）：用户持有 32 ETH 以上即可创建独立验证器，提款密钥由用户控制，节点运行交给专业基础设施完成，同时已经提供复利型验证器与自动提领型验证器等不同选择。它比较适合这样一类用户——有至少 32 ETH，希望获取原生 Staking 收益，也比较重视自托管，但不想每天自己维护一台验证器。当然，「非托管」并不等于「没有第三方风险」，节点运营商仍可能出现停机、配置错误甚至 Slashing，因此这里转移出去的不是资产所有权，而是节点运维风险。3. Lido：牺牲一点「原生性」，换来流动性如果没有 32 ETH，或者压根不愿意让一笔 ETH 长时间处于验证器退出队列中，那么流动性质押就是完全不同的一条路线。Lido 是其中最典型的例子。用户把 ETH 存入 Lido 后，协议会将资金分配给节点运营商参与以太坊质押，同时向用户发放 stETH。于是原本处于质押状态、无法直接转账的 ETH，被包装成了一种可以继续流通的链上资产，用户仍然可以拿着 stETH 转账、交易，也可以进一步参与借贷、流动性等 DeFi 场景。如果想退出，则既可以按照 Lido 的协议赎回流程换回 ETH，也可以直接在 DEX 上将 stETH 卖成 ETH，后者甚至不需要等待验证器真正退出，但代价是需要承担当时的市场价格和滑点。与此同时，stETH 会通过 Rebase 等机制持续反映用户获得的质押奖励，因此对于普通用户来说，也基本不需要自己处理「领取收益以后再重新质押」的问题。便利性的另一面，则是多了一层风险，Lido 当前会收取一定的协议费用，并在节点运营商和 DAO Treasury 等之间分配，用户获得剩余部分，更重要的是，还额外引入了 Lido 智能合约、协议治理、节点运营商以及 stETH 二级市场流动性等风险。需要特别说明的是，stETH 和 ETH 之间并不存在像法币稳定币那样的强制「1:1 锚定」。如果市场短时间急于出售 stETH，它完全可能相对 ETH 出现折价；如果继续拿 stETH 参与更多 DeFi 协议，又会进一步叠加新的智能合约与清算风险。目前 imToken 的 ETH 质押入口同样已经接入 Lido，用户无需拥有 32 ETH，即可直接参与流动性质押并持有 stETH。4. 交易所 Staking：门槛最低，但你拥有的是「平台承诺」最后一种可能也是很多新用户最熟悉的方式，把 ETH 放在交易所，然后点击「Staking」。从使用体验来说，这无疑最简单。不需要准备 32 ETH，不需要理解验证节点，也不需要管理 Signing Key、Withdrawal Key，更不用考虑服务器会不会掉线。交易所负责把大量用户的 ETH 汇总起来运行验证器，再按照自己的规则把一部分收益记入用户账户。但也正因为如此，这种方式需要引入最多的信任。用户看到的「已质押 1 ETH」，很多时候首先是交易所内部账户系统中的一条记录；底层究竟如何部署验证器、多少资产处于质押状态、收益如何复投、平台抽取多少比例，以及用户提交赎回以后如何满足流动性，都取决于具体平台的产品设计。更重要的是，资产本身首先处于中心化平台托管之下，当然这并不意味着交易所 Staking 一定「不好」，对于原本就长期把 ETH 放在交易所，而且并不准备自行管理链上钱包的新手，它依然可能是操作门槛最低的方式。只是你得到的便利，本质上来自把资产托管、节点运行、收益分配乃至退出流程，一起交给了平台。三、没有收益最高的 Staking，只有更适合自己的风险组合把四种方式放在一起之后，会发现一个很有意思的现象。以太坊质押的产品演进，并不是所有方案最终走向同一个终点，而是在不断拆分不同用户真正需要的能力。 自己运行节点，把控制权做到了极致； Native Staking 把「资金所有权」和「节点运维」拆开； Lido 把「质押收益」和「资金流动性」重新组合； 交易所则进一步把复杂度隐藏起来，用中心化托管换取最低的使用门槛； 而 Fidelity 计划把 Staking 装进 ETF，其实又向前走了一步——投资者甚至不需要持有链上的 ETH，也不需要知道验证节点如何工作，传统金融产品就可以替他完成托管、节点运营、收益获取乃至最终的收益分配。从这个角度看，Staking 正在越来越像一项成熟的金融基础服务。那么普通用户到底应该怎么选？如果拥有至少 32 ETH，有一定技术能力，而且非常看重自主控制，希望直接参与以太坊网络，那么自己运行验证器依然是控制权最完整的选择。如果同样拥有 32 ETH，但不想承担长期节点运维工作，同时仍然希望牢牢掌握提款权限，那么非托管 Native Staking 是相对自然的折中。如果持有的 ETH 不到 32 枚，或者日常还有交易、借贷和其他 DeFi 需求，那么以 Lido 为代表的 Liquid Staking，则用额外一层协议风险换来了明显更高的资金灵活性。至于交易所 Staking，更适合本身就接受中心化托管、希望最大程度降低操作门槛的用户，但前提是理解平台风险并不会因为多了一个「Staking」按钮而消失。所以今天再看以太坊质押，APR 反而可能是最不应该首先比较的那个数字。假如两个产品的年化收益只相差零点几个百分点，但一个需要把资产完全交给第三方，另一个则由自己掌握提款权；一个退出时需要等待验证器队列，另一个可以通过 LST 随时在市场出售；一个可以直接原生复利，另一个则需要依赖平台如何处理奖励——这些差异，往往远比表面上的 APR 更重要。毕竟，质押收益永远不是孤立存在的。你赚到多少收益，与为了这份收益交出了多少流动性、控制权，以及额外承担了多少风险，本来就是同一笔账。想确认 imToken Stake 是否适合你？查看参与门槛、流动性、费用、控制权与退出方式后再做决定。

如果你是一名 Token 高消耗用户，过去一年，应该对 AI Agent 最核心的演进感同身受： 除了底层大模型本身的智力跃升，它开始越来越像一个真正的「工作者」。 从最早的聊天机器人，到 MCP、Skills、Harness 等基础设施逐渐成熟，Agent 开始获得越来越多「手脚」，它可以打开网页、读取实时数据、操作软件，甚至连接钱包和交易账户。 但走到这一步，新现实问题也随之出现：会使用工具，和真正能完成一个工作任务，其实是两回事。 一个真正能够承担任务的 Agent，不应该只是收到指令以后调用一次 API，而是需要在一个持续变化的环境中，根据结果不断调整下一步行动。 金融市场恰好把这种差异体现得尤其明显。 你可以告诉一个 Agent「帮我判断某场比赛谁更可能获胜」，它几秒钟就能给出一份看起来不错的分析，但如果要求变成「给你一笔资金，在未来一个月里持续参与预测市场，在控制最大回撤的前提下提高收益」，就完全变成了另一类问题。 它必须不断读取实时新闻、赔率和订单簿，判断市场是否已经充分定价，决定何时建仓、加仓或退出，并在自己的判断出错以后及时调整策略。 而近期密集出现的一系列基础设施创新，似乎正在将这块此前相对缺失的拼图，逐一补齐。 一、AI Agent 需要一个「模拟训练场」？ 8 月中旬，SKALE 推出了一个颇有意思的新产品，AgentPit。 简单来说，它是一座专门为预测市场 AI Agent 搭建的「模拟交易沙盒」，同步真实 Polymarket 的市场信息并兼容其 API，同时采用接近生产环境的 CLOB 订单簿、CTF Token 与结算机制，只是将真实资金替换成了模拟 USDC。 开发者可以让 Agent 在其中实时读取盘口、下单撮合、管理仓位，并在完全没有资金损失风险的前提下测试策略，同时也可以观察多个 Agent 在同一订单簿中博弈所涌现出的群体行为。 这看起来有些类似传统量化交易里的回测和模拟盘，但对于 AI Agent 而言，其意义要深远得多。 因为 Agent 面临的一个长期问题在于，你究竟怎么知道一个 Agent「真的会交易」？ 众所周知，过去评估大模型能力，行业严重依赖静态的基准测试（Benchmarks）——做几道数学题、修复一段代码、或者总结一篇长文本。 但真实世界中的复杂决策不存在预设的标准答案，尤其在金融市场，假设 Agent 判断某个预测事件的「YES」公允价值应为 0.7 美元，而当前市价为 0.55 美元。当它买入之后，价格可能继续下探到 0.45 美元，也可能因为突发新闻迅速拉升，此外订单簿的瞬时流动性也会直接影响实际成交均价。 那就意味着 Agent 不能给出一次预测就结束任务，它必须持续面对自己上一次决策带来的真实后果，这正是 Agent Pit 的核心价值所在。它为智能体提供了一个逼近真实生产环境的动态反馈闭环： 观察 → 判断 → 执行 → 获得反馈 → 调整 → 再执行。 当然，这里的「训练」并不一定意味着 Agent 每完成一笔交易，就会自动修改底层模型参数，它提供的是一个能够反复运行策略、评估结果和迭代工作流的环境。 就像自动驾驶系统真正走上公路之前，需要在模拟器中经历大量极端场景一样，一个未来可能管理真实资金的金融 Agent，也很难仅凭几次 Prompt 测试就直接获得资产控制权，它需要先证明，自己在连续决策环境里究竟表现如何。 但问题也随之而来。 模拟环境里表现不错，并不意味着可以立刻把真钱交给 AI，中间还需要有更关键的一层。 二、基础设施并轨：当支付与交易成为 Agent 的原生组件 如果观察过去数月主流云巨头与头部交易平台的动作，不难发现，Agent 的运行轨道正在以惊人的速度完成标准化打通。 首先是机器原生支付协议的落地。 8 月 18 日，Amazon Bedrock AgentCore Payments 正式 GA，该服务允许运行在 AgentCore 上的智能体自主发现并付费调用第三方 API、MCP 服务或专业数据源，并集成了 Coinbase 与 Stripe / Privy 的钱包基础设施，原生支持稳定币以及 x402 等机器支付协议。 这就解决了一个极度切中痛点的断点问题——如果 Agent 在分析市场时，发现一份高质量的实时数据需要付费，在以往，工作流必须中断，等待人类手动刷卡购买、配置 API Key 后才能继续。 而在 AgentCore Payments 的框架下，支付被直接封装为工作流内的一个自动化节点，用户只需预先设定预算和策略，Agent 便能在遇到付费壁垒时自主发起微支付完成调用，整个过程无需人工介入，且钱包私钥与凭证对模型本身保持隔离。 紧接着，两天后的 8 月 20 日，Binance 又推出了 Agent OS，开放了 Agent 原生接口。 与单纯提供某一个 AI 功能不同，Agent OS 更像一层专门面向 Agent 的金融基础设施接口，把 Binance API、Wallet Agentic Hub、x402、Skills Hub 和 MCP 等组件整合在了一起。 它允许兼容的 AI 应用通过 MCP 获取行情、查看账户信息，并在用户授权后执行支持的交易操作，更关键的是，它在机制层面强调了权限边界与隔离： 用户可以为 Agent 分配专门的子账户，将资金与交易活动同主账户隔离，并为 Agent 配置具体权限；相关访问权限也可以随时撤销。 如果把 AgentPit、AWS AgentCore Payments 和 Binance Agent OS 放在一起，就会发现一个越来越清晰的变化： AgentPit 提供了策略测试与持续反馈的环境，x402 和 AWS AgentCore Payments 开始打通机器原生支付，而 Binance Agent OS 则进一步把行情、账户、交易与链上能力开放给 Agent，使得原本分散的能力，正在被逐渐串成一条完整的工作流。 不过，金融场景尤其特殊的一点在于，代码写错了，大不了重新运行，但 Agent 一旦执行了一笔错误交易，资产可能已经真正离开钱包。 这意味着，从模拟环境走向真实世界时，还有一个角色无法被绕过去。 那就是钱包。 三、Agent Wallet 的真正价值到底是什么？ 如果勾勒出未来 AI Agent 的完整工作流，它将呈现出一条清晰的链路： 先在 AgentPit 这样的模拟环境中训练和测试策略； 再通过 MCP、Skills 和各种 API 获得信息与工具； 通过 x402 等协议购买数据和计算资源（延伸阅读《当 AI Agent 开始拥有「钱包」：经济自主权之后，谁来守住控制权？》）； 随后进入真实市场执行交易； 再根据实际结果继续调优策略； 到了执行这一步，钱包所承担的角色将与今天截然不同。 毕竟传统 Web3 钱包的交互逻辑是为人机交互设计的——每一笔签名，都依赖人类在屏幕前肉眼核对并手动点击确认，但如果一个高频 Agent 每秒需要读取多组盘口数据、持续微调仓位，仍然要求人类逐笔签名，自动化的意义将荡然无存。 然而，如果直接把私钥交由 AI 保管，又等同于放弃了所有安全底线。 因此，Agent Wallet 真正要解决的，从来不是「如何让 AI 拿到私钥」，而是「如何在不让渡最终资产控制权的前提下，为 Agent 提供安全可控的执行权」。 这也是 imToken 在 Agent Wallet 设计框架中给出的核心解法： 账户隔离与会话密钥（Session Keys）：在 imToken 的 Agent Wallet 设计构想中，每一个获得执行权限的 Agent 都对应独立的 Agent Account，其 Session Key 在可信执行环境（TEE）中生成并隔离，且不会离开这一安全环境。 策略规则（Policy）的硬约束：每个 Agent Account 都需要绑定明确的 Policy，包括允许交互的协议白名单、单笔交易上限、每日额度、操作频率以及授权有效期等限制。换言之，Agent 获得的并不是一个不受约束的钱包，而是被规则包围起来的执行账户。 用户保留最终控制权：Agent 只能在用户预先授权的 Policy 范围内自主执行，超出边界的操作必须重新交由用户确认，用户则始终可以调整 Policy，暂停或恢复 Agent、撤销权限并收回资金；对于被识别为异常或超出预设策略的交易，自动执行也会暂停，并重新要求用户进行身份认证。 从这个维度再审视整个生态，就会发现模拟训练（如 AgentPit）与智能钱包（如 imToken Agent Wallet）其实是在解决同一个命题的两个阶段。 前者负责提升 Agent 的决策能力上限，后者负责筑牢 Agent 的行动安全底线。 二者缺一不可。 这可能才是 Agent Wallet 相比传统 Wallet 最重要的变化。 写在最后 从这个意义上说，AgentPit 出现之后，一个值得关注的新阶段正在到来。 AI Agent 正在从「学会使用工具」，进入「学习如何工作」。 而当它最终走出模拟训练场、迈入波谲云诡的真实交易世界时，决定这一步能否走得稳、走得远的，往往不仅取决于底层大模型有多聪明，更取决于我们为其构筑的账户与授权边界有多坚固。 毕竟，在真实复杂的经济体系中，我们真正需要的从来不是一个永远不犯错的 Agent，而是一个即便可能失误，其风险依然在可控边界之内的 Agent。

9 月 22 日晚，一名用户发出了一笔 ATOM 转账。一夜过去，交易依然停留在「等待确认」。私钥没有丢，钱包也没有出现签名异常，第二天再次检查，多个公开 RPC 都显示 Cosmos Hub 停在了区块高度 33,086,740。没有新的区块产生，自然也就没有任何地方能够把这笔交易打包进去。直到大约一天之后 Cosmos Hub 恢复出块，这笔此前一直处于等待状态的 ATOM 转账才最终成功。对于普通用户来说，这可能是理解区块链共识最直观的一堂课。我们习惯说「没有任何中心机构可以关掉一条公链」，但现实显然要复杂得多，一条足够去中心化的区块链，确实通常不存在服务器机房里的那个「关机按钮」，但它仍然可能停止。这一次 Cosmos Hub 的暂停，恰好把这套平时藏在底层的机制，完整地暴露到了普通用户面前。一、Cosmos 为什么突然「停止出块」？首先需要把一个容易混淆的问题说清楚，本次被直接攻击的，并不是 Cosmos Hub。事件最早发生在 Neutron。9 月 22 日，一项名为「AIATO: AI Agent Takeover」的 Neutron 治理提案获得通过，攻击者钻了链级治理权限的空子，利用 wasmd 框架原生提供的特权指令，把 Astroport、Drop 等应用的合约管理员改成了攻击者控制的地址。这并不是我们通常理解的那种「代码漏洞」或「协议缺陷」。可以简单理解为，应用本身有自己的「门锁」，但 Neutron 的链级治理手里还握着一把权限更高的「总钥匙」，而当攻击者控制了治理结果，也就等于拿到了这把钥匙，可以重新指定管理员、迁移合约，进一步转移其中的资产。而真正让 Cosmos Hub 被卷进来的，是随后发生的跨链资金转移。Cosmos Labs 复盘显示，在 Neutron 停止运行前，攻击者已把部分资产转向多个网络，其中大约 170 万枚 ATOM 被转入 Cosmos Hub，并开始通过跨链流动性进行兑换。也就是说，Cosmos Hub 本身没有遭到直接攻击，普通 Hub 用户资金也没有因为 Neutron 漏洞直接被盗。但攻击所得的 ATOM 已经进入了 Hub，为了阻止剩余 ATOM 继续流出，一部分 Cosmos Hub 验证人开始停止节点运行。到 9 月 22 日 19:18 左右（SGT），停止运行的验证人已经代表超过三分之一的总 voting power，Cosmos Hub 因此无法继续形成新区块，最终停在 33,086,740。这一步非常关键。它意味着 Cosmos Hub 并不存在某家公司可以直接点击的「Pause」按钮，也没有先经过一次链上治理投票，真正让网络停下来的，是足够多验证人不再参与形成共识。但更值得注意的，其实是后面的恢复过程。停链大约 4 个小时后，验证者收到了一份完整的恢复方案：针对停链高度执行一次性的状态修改，把攻击者地址中剩余的 ATOM 转入由社区验证者共同管理的多签地址。随后 Cosmos Labs 根据验证者已经达成的方案制作 Gaia v28.3.0 补丁，对其进行测试，并分发给验证者。这版 Gaia 会在指定恢复高度执行一次性的状态变化，把攻击者地址中的 1,227,121 ATOM 转入由 Nansen、Keplr、Enigma、Silknodes、Kiln 和 Polkachu 六方组成的 4-of-6 多签地址。到 9 月 23 日凌晨，确认安装 v28.3.0 的验证者已经超过总 voting power 的 67%，因此当天 12:00 UTC，Cosmos Hub 协调重启，约 6 分钟后，这次一次性状态修改在区块高度 33,086,741 执行，网络恢复正常出块。说到底，Cosmos 停止出块到恢复运行的整个过程中，是验证者先让网络失去 Liveness，再由超过三分之二 voting power 接受一套新的状态转换规则，最终让这套规则成为恢复后的 canonical state。到这里，一个看似简单的问题也就出现了：既然是一条去中心化公链，为什么超三分之一的验证权就能让它停下来，而恢复网络，又需要足够多验证者共同接受并运行同一套软件？答案，其实就藏在「共识」两个字里。二、所谓共识，本就不是「永远不会停」区块链最容易被误解的一件事，就是把「去中心化」和「永不宕机」画上等号。实际上，共识机制真正解决的问题，是在没有一个中央记账人的情况下，许多节点怎样对交易顺序和账本状态达成一致。只不过，不同公链实现这件事的方法，并不一样。像 Bitcoin 最经典的是 PoW，也就是工作量证明——矿工依靠算力竞争出块，当网络短时间出现两条合法分支时，节点按照累计工作量选择其中一条继续构建。所以 Bitcoin 并不存在一个明确的「67% 投票后这个区块永远 Finalized」时刻，它更接近一种概率最终性，后续区块越多，想重新组织掉前面的交易，就需要付出越来越高的算力成本。这也是为什么大家过去常说，一笔 Bitcoin 交易最好等待 6 个区块确认，毕竟即使算力再高，也不能简单绕过节点正在执行的共识规则。当然，这并不意味着 Bitcoin 的状态在任何情况下都「绝对无法修改」。理论上，如果整个生态接受一套新的客户端和新的共识规则，通过 Hard Fork，同样可以让过去规则下无效的状态变化变成有效。但问题就在这里，谁有能力让足够多矿工、Full Node、交易平台、钱包和用户一起接受这样一套新规则？几乎没有。开发团队并不能替整个 Bitcoin 网络决定共识规则，矿工、交易平台也很难，因为它需要跨越的共识门槛非常高，当初币安被盗 7000 枚 BTC，就有人建议 CZ 联系大矿工操作，最终不了了之。以太坊则提供了另一个很经典的样本。在转向 PoS 之后，现在的以太坊使用 Casper FFG 与 LMD-GHOST 共同组成的 Gasper 共识。简单理解，一部分机制负责判断「当前应该跟哪条链」，另一部分则负责让区块获得真正意义上的 Finality。当代表至少三分之二质押 ETH 的验证者对相应 checkpoint 达成一致，区块才能进一步走向最终确定；反过来，如果超过三分之一的 stake 长时间不参与正确投票，网络就可能暂时无法形成 Finality，不过 Ethereum 还设计了 inactivity leak，在长时间无法 finalizing 时逐步降低离线验证者的有效权重，让网络最终有机会重新恢复 Finality。想真正改变这种结果，同样需要改变协议规则和客户端。正如 2016 年 The DAO 事件，以太坊社区最终通过 Hard Fork，在区块 1,920,000 执行了一次 Ethereum Foundation 当时直接称为 irregular state change 的特殊状态修改，把相关 ETH 转入恢复合约。只是，拒绝升级、继续维护原有状态的一部分矿工和社区最终形成了 Ethereum Classic（ETC），导致了众所周知的 ETH 与 ETC 分叉，表明不是所有人都接受这套规则。Cosmos Hub 又有所不同，它使用 CometBFT，更接近典型的 BFT 共识。可以把它理解为更加典型的 BFT 共识，也即一个区块想真正提交，需要获得超过三分之二 voting power 的 Commit。它的好处是 Finality 非常明确，一旦区块经过足够验证权投票提交，就不需要像 PoW 那样继续等待越来越多区块，用概率换取安全感。但它的另一面也非常直接，那就是如果三分之一或以上 voting power 不再提供形成 Commit 所需要的投票，剩余验证人再努力，也凑不出超过三分之二。这时候网络最安全的选择，就正如本次的「暂停出块」，所以从分布式系统的角度看，这次 Cosmos Hub 的短暂停摆其实并不神秘。一言以蔽之，一群掌握足够 voting power 的验证人停止参与之后，共识协议按照自己的规则，宁愿失去可用性，也不继续在缺乏足够共识的情况下确认新区块。这背后其实对应了分布式系统里两个经常被普通用户混在一起的概念： Safety：不能让不同节点同时确认两个彼此冲突的最终状态； Liveness：网络还能不能持续向前运行、处理新的交易； 对于 BFT 系统来说，当参与共识的节点不足时，暂停有时候恰恰是维护 Safety 所付出的代价，说得直白一点，这本去中心化账本宁愿先停在那里，也不能让剩下的人各记各的。从这个角度再回头看，会发现公链历史上许多看似完全不同的事故，其实都围绕同一件事展开：当分布式节点无法继续对「正确状态」形成一致意见时，网络该怎么办？三、从 Bitcoin 到 Solana，公链真正的风险边界在哪里？这不是 Cosmos 第一次把这个问题摆到台面上。早在 2013 年，Bitcoin 就发生过一次非常经典的链分叉事故。当时 Bitcoin 0.8 将底层数据库从 Berkeley DB 切换到 LevelDB，随后一个包含大量交易输入的区块出现，新版节点能够正常处理，但部分旧版节点由于 Berkeley DB 锁数量限制，将这个区块判断为无效。于是非常尴尬的一幕出现了，大家运行的都是 Bitcoin，但新旧客户端开始对「这个区块到底是否合法」产生不同答案。网络因此分裂成两条链，而且新版 0.8 一侧一度拥有大约 60% 的算力，无法依赖正常的算力竞争快速自行收敛。最终，大型矿池经过协调切回旧版本，在旧规则一侧重新获得更多算力，网络才重新收敛，Bitcoin 后来也专门以 BIP 50 对这次事故进行了复盘。到了 2016 年，以太坊的 The DAO 事件又把问题向前推了一步。正如上文提到的 The DAO 事件，以太坊社区最终通过 Hard Fork，在区块 1,920,000 执行了一次被 Ethereum Foundation 明确称作 irregular state change 的特殊状态修改，把相关 ETH 转入恢复合约。但并不是所有人都认同这种处置，拒绝接受状态修改的一部分矿工和社区继续维护原来的规则，也就有了后来长期存在的 Ethereum Classic（ETC）。这次 DAO Fork 也是一个经典事件，相当于告诉所有人，当极端事件发生时，代码共识之外还存在社会共识，如果无法形成足够一致的意见，一条链真的可以分成两条。2021 年的 Solana，则展示了另一种完全不同的故障路径。当年 9 月，大量机器人交易涌入网络，引发验证节点内存耗尽，大量节点崩溃，最终整个网络无法对当前状态形成一致意见，停止确认新区块约 17 个小时，随后验证人共同协调恢复网络。把这些事故放到一起，会发现它们并不是同一回事： Bitcoin 2013 年的问题，是不同客户端开始执行不同的有效性规则； Solana 2021 年的问题，是大量验证节点无法继续正常参与共识，网络失去 Liveness； Ethereum DAO 面对的，则更接近一个社区是否应该通过新的协议规则主动修改状态的问题； 而这一次 Cosmos Hub，又带有另一层特殊性，网络先通过验证人协调主动失去 Liveness，阻止攻击资产继续移动；之后又由足够高比例的验证权共同接受新的软件与恢复状态，让网络重新形成一致； 所以，与其把这些事件简单归结为「区块链原来也能关机」「去中心化都是假的」，不如承认一个更加真实的事实：共识机制从来不是一台不会坏的机器，它真正提供的其实是一套去中心化的规则，譬如发生分歧时谁来决定正确的链；多少参与者才能让一个状态获得最终性；出现故障时网络选择继续运行还是停止；以及在极端情况下，什么样的集体行动能够改变接下来的运行规则。这也让这次 Cosmos 事件，留下了一个比「该不该停链」更值得普通用户思考的问题。写在最后我们经常说，not your keys, not your coins。这句话当然依旧成立，只是它强调的是资产控制权——只要私钥在自己手里，钱包、交易平台或者其他第三方不能替你正常签署一笔转账。前提是，你所在的区块链必须在任何时候都有能力处理这笔签名。Cosmos Hub 停止出块的那一天，用户依然持有自己的私钥，资产也没有因此凭空消失，只是你即使正确签署了一笔交易，也没有新的区块可以接受它。恢复过程又进一步说明，如果足够多的共识参与者接受一套新的状态规则，特定账户的链上状态，也可能在没有原地址私钥签名的情况下发生变化。这并不会让「Not your keys, not your coins」失效，但提醒我们，私钥自主权和底层共识权，从来不是同一件事情。而对于钱包来说，同样如此。钱包可以确保私钥和签名权掌握在用户自己手中，可以尽快识别链级异常、准确展示交易状态、建立 RPC 与节点冗余，并在网络恢复之后重新确认交易最终结果。但钱包不能替一条公链恢复共识，也无法保证底层网络永远不会中断，更无法保证链上的规则和状态永远不会发生共识层面的变化。所以，一个成熟的去中心化系统真正需要追求的，可能从来都不是「任何东西绝对不能改」；相反，应该尽可能把这些并不完美的边界说清楚：谁能够让共识暂停？需要多大的权重？什么情况下允许紧急干预？因为真正的去中心化，不可能让系统永远不会遇到事故，关键在于，即使事故真的发生，我们依然能够知道是谁、依据什么规则、以多大的共识，决定了这本账接下来该怎么记。

如果你玩链上，大概率遇到过这些尴尬的情况：新地址里收到一笔稳定币，转出却弹窗没 ETH 付 Gas；想在 DEX 换个币，卡住；从交易平台提了一笔 USDC，才意识到自己没准备 Gas.....凡此种种，不得不先去别处找法币通道或者到处求人转点「水」，这也算是 Crypto 世界最经典的新手劝退现场了。而最近，Vitalik Buterin 提到 EIP-8141（Frame Transactions，帧交易） 的进展，也再度把新的想象空间推到大家面前：未来钱包里没有 ETH，也可以直接转账，Gas 可以直接从 USDC 中扣除，甚至某些应用为了吸引用户，可以干脆替你承担 Gas。消息一传开，很快就发酵成了一句吓人的暴论：「以后用以太坊都不需要 ETH 了，那 ETH 还有什么价值？」答案没那么简单。用户用什么支付费用，和以太坊协议最终用什么结算费用，其实是两件完全不同的事。一、不用 ETH 支付 Gas，究竟是什么意思？先从今天的一笔普通以太坊交易说起。譬如 Frank 钱包里有 1000 USDC，他想给朋友转 100 USDC，但只要钱包里没有 ETH，这笔交易就发不出去。原因很简单，目前普通以太坊账户的逻辑非常死板，发起交易的人，同时也是负责支付网络 Gas 的人——Frank 签名、Frank 发起交易、Frank 的 ETH 余额支付 Gas，三件事情基本绑在了一起。EIP-8141 想做的事情，就是把它们拆开。按照目前的设计，一笔 Frame Transaction 可以被拆成多个不同的「Frame」，分别负责验证交易、确认谁来支付 Gas，以及真正执行用户操作。于是未来 Frank 转账时，可以变成 Frank 仍然签名，证明「这 100 USDC 确实是我要转的」，但另外一个 Paymaster 或账户负责拿出 ETH，替 Frank 向以太坊网络支付 Gas，Frank 再用少量 USDC 向这个 Paymaster 支付费用。对于 Frank 来说，看到的可能只是转账 100 USDC，网络费用 0.1 USDC，整个过程中，甚至不需要知道 ETH Gas 是多少，也不需要提前准备 ETH。但站在以太坊协议的角度，事情并没有变成「以太坊开始收 USDC 作为 Gas」，只是有人在后台替 Frank 拿 ETH 付了 Gas，然后再用 USDC 和 Frank 结算。EIP-8141 官方给出的 ERC-20 支付示例就是类似结构，由 Sponsor 负责批准并承担 Gas，而用户可以向 Sponsor 转移 ERC-20 Token 作为费用。如果把它类比成现实生活中的消费，会更容易理解。我们去日本刷人民币信用卡时，用户感知到的是「人民币扣款」，商家收到的可能是日元，但这并不意味着日本的底层结算货币因此变成了人民币，前台支付资产和后台结算资产，本来就可以不是同一个东西。EIP-8141 做的，本质上也是类似的抽象。说到底，用户可以不再亲自持有 ETH，由其他账户代付 ETH Gas，再使用 USDC 等资产完成费用结算。两者看起来只差几个字，对 ETH 的含义却完全不同。二、以太坊为什么非要把 Gas「藏」起来？事实上，「不用自己准备 ETH」也并不是一个全新的想法。ERC-4337 引入的 Account Abstraction 和 Paymaster，已经允许智能账户实现 Gas Sponsorship，应用可以替用户支付手续费，也可以让用户使用稳定币承担费用。只不过 ERC-4337 能做是能做，但更多是在协议之外增加一套 UserOperation、Bundler、EntryPoint 和 Paymaster 基础设施，EIP-8141 则试图把这类能力更原生地放进以太坊交易结构本身。说到底，核心就是为了解决一个早该解决的问题：普通用户凭什么非要理解什么是 Gas？现实生活里，你在微信给朋友转两百块钱，微信绝对不会弹窗让你「先去另一家平台买两块钱的清算代币」。但 Crypto 过去偏偏就这么折磨人。在以太坊要准备 ETH，到了 Solana 得换 SOL，去 BNB Chain 又得囤 BNB，哪怕换个新的 L2，第一反应也是先查钱包里有没有启动资金。老手可能花两分钟跨个链就应付过去了，可对圈外人来说，这就是一道能直接让人关网页走人的天堑。除了把 Gas 藏起来，帧交易还能顺手解决不少顽疾。比如现在去 DEX 交易一个新代币，你得先点一次 Approve 授权，再点一次 Swap，钱包弹窗确认两次。万一后面的 Swap 失败了，前面的授权还长期挂在链上，留下被盗风险。那如果用 Frames，这两件事能直接打包成一个原子批次：只要 Swap 失败，前面的授权自动跟着回滚，干干净净。就涉及到一个更大的想象空间了，未来谁来授权、谁来执行、谁来付钱，以及用什么方式验证，都可以被拆开重新组合。三、那 ETH 到底是利好还是利空？这也是这轮讨论中最容易走向两个极端的地方。一种说法是，「以后不用 ETH 付 Gas，ETH 没价值了」，另一种说法则是，「用户门槛降低，交易量暴涨，所以对 ETH 是超级利好」。对于涉及底层协议使用体验的大架构改革，现在还很难下定论，但可以确定的一点是，EIP-8141 并没有取消 ETH 作为以太坊底层 Gas 与费用结算资产的角色。用户可以感知不到 ETH，但负责替用户付款的 Paymaster、应用或者其他账户，依然需要有能力承担以 ETH 计价的网络费用，现有 EIP-1559 费用市场也没有因为 Frames 而被稳定币替代。改变的只是 ETH 需求的位置。今天可能是 100 万个用户，每个人为了 Gas 在钱包里放一点 ETH；未来则可能变成少量 Paymaster、钱包服务商和应用持有更大的 ETH 周转余额，然后替大量普通用户统一处理 Gas。当然，也别天真地觉得「用户每付一笔稳定币，后台就会去二级市场市价扫货买等额 ETH」。代付商有自己的库存管理和对冲策略，它很难直接转化为散户幻想的即时买盘。Paymaster 可以提前准备库存，可以动态补仓，也可以采用其他资金管理方式，因此仅凭「以后可以用稳定币付 Gas」，很难直接推导 ETH 会因此产生多大的新增买盘。真正的胜负手，只有一个逻辑：体验优化之后，最终有没有带来更多真实的以太坊使用需求，到底能不能把盘子做大？算笔账就很直观： 如果过去有 100 个人打算进场，其中 70 个人被买 Gas、算 Gwei、跨链折腾得半路弃坑，最后只有 30 个人完成了交易； 未来如果钱包把这些麻烦全吞进后台，让 80 个人顺顺当当把交易跑完了——哪怕他们手里连一丁点 ETH 都没有，网络实际消耗和销毁的 ETH，也远比过去多得多； 反过来讲，如果整个生态根本带不来增量活跃度，仅仅是把「自己掏钱」换成了「找人代付」，那确实不会产生任何新的增量价值。写在最后从笔者的角度，它削弱的是「每个用户都必须提前囤一点 ETH 才能使用以太坊」这件事，但赌的则是，当这一门槛消失以后，会有更多人真正开始使用以太坊。对于普通用户来说，现在当然还不需要因为这项 EIP 改变自己的使用习惯，不过从钱包发展的角度，它指向的方向已经很明确。未来一款好用的钱包，可能越来越不应该要求用户先理解 Gas，用户负责决定资产要去哪里、准备执行什么操作；钱包负责告诉他风险是什么、最终花多少钱；至于该用哪个账户付款、用 ETH 还是稳定币计费、是否存在可用的 Gas Sponsor，这些复杂的协议细节，应该逐渐被隐藏在后台。真正成熟的基础设施，往往也都是这样。