原文标题：Enabling the future of onchain markets: The role of predictability
原文作者：@PGarimidi、@jneu_net、@MaxResnick，a16z
原文编译：Peggy，BlockBeats
编者按：随着区块链性能持续提升，行业讨论的焦点正从「能处理多少交易」转向「交易何时被确认」。长期以来，性能被简化为吞吐量（TPS），但对金融系统而言，更关键的是交易包含的可预测性，即一笔交易提交后，能否被及时且确定地纳入区块。
本文指出，多数区块链目前提供的只是「最终会上链」的保障，时间却不可控。这种秒级不确定性在支付场景尚可接受，但在需要毫秒级响应的金融交易中，会直接带来价格劣化、套利空间和不公平问题，削弱链上市场的竞争力。
进一步来看，这一问题源于底层机制：在单一领导者的出块结构下，交易排序与包含权高度集中，容易引发审查、延迟与信息不对称等风险。
基于此，作者提出两个方向：一是提供短期、可预测的交易包含保障，二是在确认前引入信息隐藏机制，以减少抢跑与不利选择。总之，区块链若要真正成为金融基础设施，比吞吐量更重要的，是交易执行的确定性与公平性。
以下为原文：
区块链如今已经可以有底气地宣称，其容量足以与现有金融基础设施展开竞争。当前的生产系统已能够处理每秒数万笔交易，且在可预见的未来仍将实现数量级的提升。
但相比单纯的吞吐能力，金融应用更需要的是可预测性。无论是撮合交易、参与拍卖，还是行使期权，当一笔交易被发送，系统必须能够可靠地保证该交易何时能够被确认上链，这对于金融体系的正常运作至关重要。一旦交易确认存在不确定性延迟（无论来自对抗性行为还是偶发因素），大量应用将失去可用性。
因此，链上金融应用若要具备竞争力，底层区块链必须提供短期包含性保障：一笔有效交易一旦被提交至网络，就应在尽可能短的时间内被纳入区块。
以链上订单簿为例。一个高效的订单簿依赖做市商持续提供流动性，通过不断挂出买卖订单来维持市场运转。做市商面临的核心问题，是在尽可能压缩买卖价差（即买卖报价之间的差距）的同时，避免因报价偏离市场而遭受不利选择风险。
为此，做市商必须持续更新订单，以反映市场状态的变化。例如，当美联储发布公告导致资产价格波动时，做市商需要立即调整报价。如果这些用于更新订单的交易无法即时上链，就可能被套利者以过时价格成交，从而产生损失。结果是，做市商不得不扩大价差以降低风险敞口，进而削弱链上交易场所的竞争力。
正是交易被可预测地纳入区块这一点，赋予了做市商快速响应链下事件的能力，从而维持链上市场的效率。
我们已有的，与我们真正需要的
目前，大多数区块链仅提供最终会被写入的强保证，这一过程通常发生在数秒时间尺度内。虽然这对于支付类应用已经足够，但对于大量需要参与者实时响应信息的金融应用而言，这种保证仍然过于薄弱。
仍以上述订单簿为例：如果做市商只能获得「将在未来几秒内被写入区块」的保证，而套利者的交易却可能进入更早的区块，那么这种保证实际上毫无意义。在缺乏强包含性保障的情况下，做市商只能通过扩大价差来对冲增加的不利选择风险，从而使用户获得更差的交易价格。这也使得链上交易，相较于那些提供更强执行确定性的场所，吸引力明显下降。
如果区块链要真正实现其作为现代资本市场基础设施的愿景，开发者必须解决这些问题，使订单簿等高价值金融应用能够在链上真正生长并具备竞争力。
为什么实现「可预测性」如此困难？
要在现有区块链上强化交易包含性的保证，以支持上述这些应用场景，本身是一项极具挑战的任务。一些协议目前依赖单一节点（即「领导者」）在任意时刻决定哪些交易可以被纳入区块。虽然这种机制在工程上简化了高性能区块链的构建难度，但同时也引入了一个潜在的经济瓶颈：这些领导者可以从中提取价值。通常，在某个节点被选为领导者的时间窗口内，它对区块中包含哪些交易拥有完全的控制权。
对于任何承载金融活动的区块链而言，领导者都处于一种特权地位。如果这个单一领导者决定不包含某一笔交易，唯一的应对方式只能是等待下一个愿意包含该交易的领导者。
在一个无许可网络中，领导者天然会受到提取价值的激励，这通常被称为 MEV。MEV 远不止于对 AMM 交易进行夹子攻击。即便只是将交易的包含延迟几十毫秒，也可能带来可观利润，同时削弱底层应用的效率。一个只优先处理部分交易者订单的订单簿，会让其他参与者处于不公平的竞争环境。在最极端的情况下，领导者甚至可能表现出强对抗性，导致交易者彻底离开该平台。
设想这样一个场景：如果发生加息，ETH 的价格瞬间下跌 5%。订单簿上的所有做市商都会迅速撤销原有挂单，并以新的价格重新挂单；与此同时，套利者会提交卖单，以旧价格吃掉这些尚未更新的订单。如果该订单簿运行在一个单一领导者的协议上，那么领导者将拥有极大的权力。领导者可以直接选择审查所有做市商的撤单，从而让套利者获得巨额利润；或者，即使不完全审查，也可以延迟撤单的上链时间，等套利者的交易先被打包；甚至，领导者还可以插入自己的套利交易，充分利用这一价格错配。
两个关键目标：抗审查与信息隐藏
在这种权力结构下，做市商将失去参与的经济动机；每当价格发生变化，他们都有可能被系统性「收割」。问题的本质在于，领导者在两个方面拥有过度特权：
1）领导者可以审查他人的交易；
2）领导者可以看到他人的交易内容，并据此调整自己的交易行为。
这两点中的任何一项，都可能带来灾难性后果。
案例
我们可以通过一个简单的例子，将问题更加精确地刻画出来。设想一个拍卖场景，只有两个竞标者：Alice 和 Bob，而 Bob 同时也是该区块的领导者。（这里只设两个竞标者仅用于说明问题，实际情况适用于任意数量的参与者。）
该拍卖在一个区块生成的时间窗口内进行，例如从时间 t=0 到 t=1。Alice 在时间 tA 提交出价 bA，Bob 在时间 tB（tB > tA）提交出价 bB。由于 Bob 是该区块的领导者，他可以确保自己始终最后出价。
与此同时，Alice 和 Bob 都可以持续获取某个资产的实时价格（例如来自中心化交易所的中间价）。在任意时间 t，该价格记为 pt。我们假设，在时间 t 时，市场对 t=1（拍卖结束时）的价格预期始终等于 pt。也就是说，在任意时刻，双方对最终价格的预期都等于当前观察到的价格。拍卖规则很简单：谁的出价更高，谁获胜，并支付自己的出价。
抗审查的必要性
首先，考虑 Bob 如何利用其领导者优势。如果 Bob 可以审查 Alice 的出价，那么拍卖机制将直接失效。Bob 只需提交一个极低的出价，就可以在没有竞争的情况下稳赢拍卖。这将导致拍卖收入几乎为零。
信息隐藏的必要性
更复杂的情况是：Bob 无法审查 Alice 的出价，但可以在自己出价前看到 Alice 的出价。在这种情况下，Bob 的策略非常简单：当他出价时，只需判断 ptB 是否大于 bA。如果是，他就报一个略高于 bA 的价格；如果不是，他就不参与出价。
通过这一策略，Bob 会对 Alice 形成不利选择。只有当市场价格发生变化，使得 Alice 的出价高于资产的预期价值时，她才会赢得拍卖。但在这种情况下，她实际上是在亏损，因此理性的选择是不参与拍卖。一旦其他竞标者退出，Bob 便可以再次用极低价格赢得拍卖，使拍卖收入趋近于零。
关键结论
这一例子的关键结论在于：拍卖持续时间的长短并不重要。只要 Bob 能够审查 Alice 的出价，或者在自己出价前看到 Alice 的出价，拍卖机制就注定会失败。
同样的原理适用于所有高频交易场景——无论是现货交易、永续合约，还是衍生品交易。如果存在一个拥有上述权力的领导者，那么该领导者就有能力使整个市场结构崩溃。因此，如果链上产品希望在这些场景中具备可行性，就必须避免赋予领导者这样的权力。
这些问题在现实中是如何出现的？
上述分析描绘了一个相当悲观的图景：在任何无许可、单一领导者的协议上进行链上交易，都会面临结构性问题。然而，现实情况是，许多这类协议上的去中心化交易所（DEX）交易量依然保持活跃。这背后的原因是什么？
在实践中，有两股力量在一定程度上对冲了上述问题：其一，领导者并未完全利用其经济权力，因为他们通常对底层链的长期成功有较深的利益绑定；其二，应用层通过各种「变通方案」，降低了自身对这些问题的敏感性。
尽管这两点在一定程度上维持了当前去中心化金融（DeFi）的运转，但从长期来看，它们不足以让链上市场真正具备与链下市场竞争的能力。
要成为一条具有实际经济活动的链上的领导者，通常需要持有大量质押。因此，要么该节点自身持有大量代币，要么其声誉足够强，以至于其他持币者愿意将质押委托给它。在这两种情况下，大型节点运营者通常都是有名有姓、声誉在外的实体，其行为会面临 reputational risk。除此之外，这些质押本身也意味着他们在经济上有动机推动链的长期发展。因此，我们目前尚未广泛看到领导者完全按照前文所述那样滥用其市场权力——但这并不意味着问题不存在。
首先，仅依赖节点运营者的「善意」、社会压力以及对长期利益的考量，并不能构成未来金融体系的稳固基础。随着链上金融活动规模的扩大，领导者可提取的潜在收益也随之增加。潜在收益越大，依赖社会层约束其行为、使其不追求短期利益的难度就越高。
其次，领导者利用其市场权力的程度是一个连续谱，从几乎无害，到足以使市场彻底失效。节点运营者可以逐步突破「可接受行为」的边界，以获取更高收益。一旦部分节点开始尝试利用这些空间，其他节点也会迅速跟进。单个节点的行为看似影响有限，但当整体行为发生变化时，其影响是显著的。
一个典型例子是所谓的「时间博弈」（timing games）：领导者会尽可能推迟区块的公布时间，同时仍然保证区块有效，从而获取更高奖励。这种行为会导致区块时间延长，甚至在过度激进时出现区块被跳过的情况。虽然这些策略的盈利能力早已为人所知，但过去节点运营者通常出于「维护网络健康」的考虑而选择不采用。然而，这是一种脆弱的社会均衡。一旦某个节点开始使用这些策略并获得更高收益且未受惩罚，其他节点便会迅速效仿。「时间博弈」只是其中一个例子，领导者还有多种方式可以在不完全滥用权力的情况下提高自身收益，而这些收益往往以牺牲应用层为代价。单独来看，这些行为或许尚可承受，但当其规模累积到一定程度时，链上运行的成本将超过其收益。
另一个维持 DeFi 运转的重要因素，是应用层将关键逻辑迁移至链下，仅将结果上链。例如，任何需要快速执行拍卖的协议，通常都会在链下完成拍卖过程。这类应用往往依赖一组许可制节点来运行关键机制，以规避对抗性领导者带来的风险。例如，Uniswap 的 UniswapX 在以太坊主网上链下执行荷兰式拍卖以完成交易撮合，类似地，CowSwap 也在链下执行批量拍卖。虽然这类方案在应用层是有效的，但却使基础层的价值主张变得脆弱。如果应用的执行逻辑都转移到链下，那么底层区块链将仅仅成为一个结算层。而 DeFi 最核心的卖点之一——可组合性——也会被削弱。在一个所有执行都发生在链下的世界里，各类应用将天然处于孤立环境。此外，依赖链下执行还会引入新的信任假设：不仅需要底层区块链保持运行，还需要链下基础设施同样稳定可用。
如何实现「可预测性」
为了解决上述问题，协议需要满足两个关键属性：一致的交易包含与排序规则，以及交易在确认前的隐私性（更严格的定义可参考相关论文）。
目标一：抗审查性（Censorship Resistance）
我们将第一个属性概括为「短期抗审查性」。其定义为：只要一笔交易被任一诚实节点接收，就必须保证其在下一个可生成的区块中被包含。
更具体地说，可以假设协议在一个固定时钟下运行，例如每 100ms 生成一个区块。那么，如果一笔交易在 t=250ms 被某个诚实节点接收，它必须被包含在 t=300ms 生成的区块中。攻击者不应拥有选择性包含部分交易、排除其他交易的自由裁量权。该定义的核心精神在于：用户和应用必须能够以一种高度可靠的方式，在任意时间点将交易提交上链。不应出现因为某个节点丢包（无论是恶意还是偶发）就导致交易无法上链的情况。
尽管该定义要求「任一诚实节点」都能保证交易被包含，但在实践中，实现这一点的成本可能过高。更关键的是，协议应当具备足够的鲁棒性，使交易进入链上的路径具备高度可预测性。显然，无许可的单一领导者协议无法满足这一点，因为一旦当前领导者出现拜占庭行为，交易将无从上链。然而，即便是由少数节点（例如四个节点）共同保障每个时隙的交易包含，也能显著提升用户和应用的上链选择空间。为了让应用真正繁荣，适当在性能上做出一定权衡是值得的。当前仍需进一步探索鲁棒性与性能之间的最佳平衡，但现有协议提供的保障显然不足。
一旦协议能够保证交易被包含，排序问题在某种程度上就迎刃而解。协议可以采用任意确定性的排序规则来保证一致性，例如按照优先费排序，或允许应用对其相关状态的交易进行自定义排序。尽管最优排序方式仍是一个活跃的研究问题，但前提始终是：交易必须先被成功包含。
目标二：隐藏性（Hiding）
在实现短期抗审查性之后，下一个关键属性是「隐藏性」，即一种在交易确认前的隐私保护机制。
其定义为：在交易被最终确认并纳入区块之前，除接收该交易的节点外，任何其他参与方都无法获取该交易的信息。
在具备隐藏性的协议中，节点可以看到提交给自己的交易明文，但在共识完成、交易顺序已被最终确定之前，网络其他部分对交易内容保持不可见。例如，可以通过时间锁加密，使区块内容在某个时间点之前不可解密；或者通过门限加密，在委员会确认区块不可逆后再统一解密。
这意味着，尽管某个接收交易的节点可能滥用其信息，但网络中的其他节点在共识过程中并不知道交易内容。一旦交易信息被公开，其顺序已经确定且不可更改，因此无法被抢跑。要使这一机制有效，协议需要支持在同一时隙中由多个节点接收并上链交易。
我们没有采用更强的隐私模型（例如完全加密内存池，仅用户自身可见），原因在于协议需要具备过滤垃圾交易的能力。如果交易内容对整个网络完全隐藏，则无法区分有效交易与垃圾交易。唯一的替代方案是泄露部分元数据（例如支付手续费的地址），但这类信息同样可能被攻击者利用。因此，更现实的设计是：允许单个节点完整看到交易内容，但网络中其他节点在确认前无法获取任何信息。这也意味着，为了使该属性成立，用户在每个时隙至少需要一个诚实节点作为交易入口。
一个同时具备「短期抗审查性」和「隐藏性」的协议，将为构建金融应用提供理想基础。回到前文的拍卖示例，这两个属性正好消除了 Bob 破坏市场的两种能力：他既无法审查 Alice 的出价，也无法在出价前获取她的信息，从而从根本上解决了问题。
在具备短期抗审查性的前提下，任何提交的交易——无论是撮合、出价还是清算——都可以被即时包含。做市商可以实时调整订单，竞标者可以迅速出价，清算可以高效执行。用户可以确信，其任何操作都会被立即执行。这将使下一代低延迟的现实金融应用能够完全在链上运行。
要让区块链真正与现有金融基础设施竞争，甚至超越它，仅仅提升吞吐量是远远不够的。
