PoS 通论
权益证明用锁仓代币代替哈希做抗女巫：投票权与质押成正比。PoS 本身不是完整共识，只规定谁有资格提议或投票；冲突如何收敛要叠加分叉选择或 BFT，见 Gasper、DPoS、CometBFT。
资源证明
验证者锁定本币，权重 \(w_i = s_i / \sum s\)。提议者或委员会按权重抽签（RANDAO、VRF、轮转）。作恶导致质押被罚没，使「投票」有成本。早期 Peercoin 用币龄（持有量 × 时间）；以太坊等现代实现只按有效余额，不奖励锁得久。
最低质押（如 32 ETH）是协议参数，不是理论必需。Pectra 之后以太坊有效余额上限为 2048 ETH（EIP-7251），允许合并验证者而不改权重语义。
Nothing-at-stake
复制一条 PoS 链的成本接近零：验证者可在所有分叉上签名，期望收益更高。PoW 做同样的事要分裂算力。没有额外约束时，分叉选择失去唯一性。
对策：
- 罚没：对同一高度（或冲突 FFG 投票）的两份签名可提交链上，扣除质押。
- 分叉选择绑定最新消息：LMD-GHOST 每个验证者只计最近一条投票，见 Gasper。
- 确定最终性：委员会 BFT 提交后拒绝回滚，见 CometBFT。
长程攻击与弱主观性
攻击者买（或解锁后取出）创世附近的旧私钥，从很深的检查点另长一条合法链。新节点或长期离线节点无法仅凭协议规则判断哪条是「真」链——两条在密码学上都合法。
PoW 没有这个问题：旧密钥不能补回已经消耗的哈希。PoS 必须引入 弱主观性：节点以近期检查点（最终确定块 + 验证者集合）为信任根，拒绝过深重组。离线超过弱主观性周期后需要从可信源获取检查点。
攻击的完整形态需要两段：第一段制造历史（获取旧私钥 + 在另一条链上累计区块奖励，伪造一条长得过的链），第二段定向投递（对离线节点/交易所同步该链，后者无法区分）。弱主观性挡的是第二段——节点信任根越新，攻击者要伪造的历史越深、成本越高；代价是新节点和恢复节点必须信任链下源（节点发现、交易所检查点）。这与 Gasper 的弱主观性周期、DPoS 的链上代表轮换是同一信任权衡。
罚没条件（抽象）
具体规则因链而异，逻辑形状相同：
| 类型 | 证据 | 效果 |
|---|---|---|
| 双签 / 双提议 | 同一轮次两个不同值的签名 | 罚没 + 驱逐 |
| 环绕投票 | 投票对 \((s_1,t_1)\) 环绕 \((s_2,t_2)\) | 罚没（Casper FFG） |
| 不作为 | 长期不投票 | 通常缓慢泄漏而非一次罚没 |
罚没依赖「证据能上链」。若攻击者控制了最终性所需的投票权，可能同时审查证据。
抽签
- 链上 RNG：RANDAO 混合提议者揭示的随机数，可被最后揭示者轻微偏置；以太坊用 RANDAO + 延迟揭示降低操纵。
- VRF：验证者本地计算可验证随机函数，中签则出示证明（Algorand）。通信更少，偏置面不同。
- 轮转：按权重排列日程，Solana 领导者日程、CometBFT 的
proposer(h,r)。
抽签解决提议权，不解决冲突提交。
验证者经济学
共识的安全阈值要换算成“作恶要花多少钱“：
- 机会成本：质押锁定资本，收益是出块/投票奖励减去交易手续费与罚没期望。收益率低到不足以覆盖锁定成本时，节点数量萎缩，质押集中度上升。
- 罚没 vs 收益：双签一次即被罚没并驱逐，损失远超一次诚实投票的收益——因此“诚实激励“来自罚没的非对称性，不是奖励本身。
- Correlation penalty：同一时期被罚人数越多，每个被罚者扣得越多（Gasper 引入），使联合攻击者的集体成本随规模超线性上升。
MEV 与提案权
出块权意味着对交易排序的定价权。MEV（矿工可提取价值）让提议者/打包者从排序中直接获利，形成对协议规则的偏移：
- 审查：故意排除特定交易（如制裁地址、抢先交易）换取更高收入。
- 排序权拍卖：PBS（Proposer-Builder Separation）把“组块“与“提议“分开——builder 竞争出价，proposer 只卖签名权，削弱提议者对内容的控制，见 Gasper 的 proposer boost 与审查讨论。
- 设计含义：把激励拆给不同角色（提议者 vs 构建者 vs 验证者），让“按协议出块“成为默认无风险选择。