Lido 协议中的可触发提款框架

摘要

本提案旨在寻求 Lido DAO 对可触发提款框架设计的批准，内容包括：技术规范、LIP、VEB 简易轨道工厂、GateSeal 拆分，以及基于参数研究的限制参数。

动机

基于 EIP-7002 的可触发提款框架，能够通过执行层实现安全且可验证的验证者退出——这增强了协议的容错能力，减少了信任假设，并为 Lido 协议实现真正的无需许可质押铺平了道路。目前，只有节点运营商可以通过共识层触发验证者退出。如果任何一方被攻破或无响应，stETH 持有者将面临无限期的提款延迟。对于 Lido 协议 而言，支持 TW 意味着对节点运营商和预言机的信任假设将大幅减少。它解锁了以下能力：

• 无需许可的质押模块，例如 CSM，即使运营商行为不当或表现严重不佳，ETH 也不会被“挟持”；
• 紧急验证者退出机制，用于应对密钥丢失或潜在的安全事件；
• 直接的 DAO 交互，使 Lido DAO 能够独立于预言机请求验证者退出；
• 已请求退出的验证者的无需许可退出，防止节点运营商延迟履行提款请求；
• 通过 简易轨道 请求验证者退出的机制，允许 DAO 和节点运营商在特殊情况下通过验证者退出总线发起退出。

规范概述

从高层次看，该架构以验证者退出总线为中心，它作为验证者退出请求的主要协调点。授权实体可以向 VEB 提交退出报告，然后 VEB 会发出验证者退出事件。一旦退出请求事件发出，节点运营商应自愿启动验证者退出。

为了管理所有由授权实体提交的可触发提款请求，引入了一个名为 可触发提款网关 的专用智能合约。该合约作为来自可信源的 TWR 的单一入口点，并将有效请求转发给提款金库。

一旦通过 VEB 发出退出事件，以太坊网络的任何参与者都可以通过 VEB 合约提供的无需许可接口提交 TWR。VEB 确保验证者确实被请求退出，然后再将请求传递给 TWG 执行。

详细的实现描述可以在 技术规范 和 LIP 中找到。

简易轨道工厂

VEB 简易轨道工厂 允许授权参与者向验证者退出总线提交报告哈希以及期望的验证者列表。提议的授权参与者列表（用于提交和执行简易轨道动议）：

• SDVTMC – 可以管理 sDVT 质押模块 中任何验证者的退出；
• NO（节点运营商） – 可以管理他们在策展质押模块中拥有的任何验证者的退出。

GateSeal

紧急暂停机制已经过修订，并确定了需要改进的领域，以提高隔离性和安全性。

此前，单一的 GateSeal 同时控制着 VEBO 和 WithdrawalQueue——如果两者需要独立暂停，这会带来风险。现提议将 GateSeal 合约拆分为两个，并废弃原合约：

• 一个仅用于 WithdrawalQueue——被认为是最关键的。
• 一个同时用于 VEBO 和 TWG——将它们归为一组，因为它们属于同一流程且一起进行了重构。

提议由同一个 GateSeal 委员会 来操作这两个新的 GateSeal 合约。

限制

为了保护 Lido 协议免受过多的验证者退出影响并防止滥用，为 VEB 和 TWG 引入了速率限制机制。该机制实施了一个动态配额系统，配额随时间逐渐增长，并在触发退出时被消耗。

限制机制

该系统由三个核心参数控制：

1. maxExitRequestsLimit - 配额的最大容量；可用配额不能超过此值；随着时间的推移，配额会逐渐补充——直至达到此最大值。
2. exitsPerFrame - 定义每个新帧有多少新配额可用；这使得配额能够随时间逐渐且可预测地补充。
3. frameDuration - 每个帧的持续时间（以秒为单位），在此之后可以恢复 exitsPerFrame 个退出配额。

参数

以下是基于 最大 TW 全局限制 研究提出的配置值列表，这些值将在即将进行的升级中被设定。

后续步骤

如果 DAO 支持本次 Snapshot 投票，将采取以下步骤：

• 使用已批准的实施方案和参数准备并验证部署；
• 进行链上投票以启动 Lido 协议中的可触发提款功能。

TW 主网上线的必要条件是：StateMind 和 Ackee 的审计完成且无未解决的安全问题，并在研究论坛上发布最终审计报告。