L2 真的受到Ethereum的保护吗？
作者：Ishita来源：Hazeflow 翻译：善欧巴，金色财经
Ethereum在过去十年中的增长，由一个简单的承诺所塑造：在不损害去中心化的情况下扩展网络。根据其路线图，答案是一个以Rollup为中心的未来——Layer2网络（L2s或“Rollups”）在链下执行交易，以实现更低的成本和更高的吞吐量，同时仍从作为基础层（Layer1）的Ethereum那里获取核心安全保障。
几乎所有主要的Rollup，如Arbitrum、Optimism、Base、zkSync和Scroll，都将自己宣传为“由Ethereum提供安全保障”。这个短语强大有力，是其营销叙事的核心，但它符合现实吗？一旦你仔细审视Rollup的实际工作方式以及资产流入的方式，这种说法就变得模糊不清。
本文将剖析口号与现实之间的差距，从桥接器（用户资金所在地）开始，接着是排序器（谁来对交易进行排序），最后是治理机制（谁来制定规则）。Rollup桥接器的现实情况
“由Ethereum提供安全保障”的说法忽略了用户与这些系统实际交互的方式。
要使用Rollup，无论是用于DeFi、支付还是应用，你的资产首先需要存在于其上。Ethereum没有内置的直接移入或移出资产的方法；你不能简单地将ETH“传送”到Rollup中。这需要一个桥接器。桥接器是Ethereum和Rollup之间的入口和出口，它们定义了用户实际体验到的安全性。桥接器如何工作
存入
当你向Rollup存入ETH时，你将其发送到Ethereum上的一个桥接合约。该合约锁定你的ETH，并告知Rollup在你的L2钱包中创建等量的Tokens。例如，如果你存入1ETH，桥接器会在Ethereum上安全地持有你的1ETH，而你的Rollup账户则显示1ETH。由于Ethereum保管着锁定的ETH，存入是信任最小化的。
取出
取出操作复杂之处。要退出，流程相反：
你在Rollup上销毁（或锁定）Tokens。
你向Ethereum桥接合约发送一条消息：“我在L2上销毁了Tokens，请释放我锁定的ETH。”
关键在于：Ethereum无法看到Rollup内部发生了什么。它对L2的计算是盲视的。
因此，Ethereum只会在桥接器提供取款合法的证明时，才会释放你的资金。该证明可以是：
欺诈证明（OptimisticRollup）：假设交易有效，除非在争议期内受到挑战。
有效性证明（ZKRollup）：一种加密证明，预先表明所有交易都遵守了规则，因此Ethereum可以立即信任结果。
多签或委员会：依赖受信任方进行证明。
桥接器定义了你访问Rollup的方式。把它想象成房子的一扇窗户。即使窗户（桥接器）破了，房子（Rollup）本身仍然屹立不倒。但如果窗户破碎，你就无法安全地进出。同理，桥接器受损会切断用户的进出通道，即使Rollup机器本身仍在运行。
这就是为什么桥接层是衡量Rollup安全性的真正透镜。“由Ethereum提供安全保障”的资产是否真的安全，取决于你使用的桥接器及其所依赖的信任模型，而非Rollup本身。桥接器模型及其假设
规范桥接器（CanonicalBridges，即“官方”Rollup桥）：它们与Ethereum绑定。当你在此锁定资产时，Ethereum验证者保证你最终可以取回L1，即使L2停止运行。规范桥接器是唯一直接继承Ethereum安全属性的桥接器。
外部桥接器（ExternalBridges，例如Wormhole、LayerZero、Axelar）：它们通过独立的验证者委员会或多签机制提供更快的用户体验和跨链转移，但不受Ethereum共识的强制执行。如果这些链下操作者被黑客攻击或串通，即使Ethereum运行完美，用户也可能损失资金。
原生发行（NativeIssuance，直接在Rollup上铸造的Tokens）：例如Base上的USDC或Optimism上的OP。这些资产从未通过规范桥接器，也无法在L1上赎回。它们的保障来自于Rollup的治理和基础设施，而非Ethereum。Rollup资产实际存储在哪里？
截至2025年8月29日，EthereumRollups总共锁定了约$439.6亿美元的资产。细分如下：
外部桥接：$169.5亿（39%）—最大类别
规范桥接：$148.1亿（34%）—由Ethereum保障的资产
原生铸造：$122.0亿（27%）—Rollup原生资产
规范桥接在绝对值上持续增长，并在2024年达到顶峰，但其份额开始萎缩。
原生发行稳步扩张，尤其是在2024年至2025年。
外部桥接从2023年底开始加速最快，到2025年初，它们超越了规范桥接——这是Ethereum失去Rollup资产多数份额的交叉点。
今天，三分之二的Rollup资产（外部桥接+原生）位于Ethereum直接安全保障范围之外。Rollup级别细分
市场高度集中：排名前六的Rollup占总TVL的93.3%。在这些生态系统中，分配如下：
规范桥接：32.0%
原生发行：28.8%
外部桥接：39.2%
聚合模式图示
外部侧重型：Arbitrum和Unichain，用户通过第三方桥接器追求快速退出/流动性。
规范侧重型：Linea（以及程度稍轻的OPMainnet），更多L1来源的抵押品通过官方桥接路由。
原生侧重型：zkSyncEra和Base，大量L2上发行的资产（例如Base上的原生USDC）和直接入金通道。
重要性：最大的Rollup中，大部分价值位于Ethereum的直接保障之外。用户实际获得的安全保障取决于每部分资产背后的桥接器模型。
超越桥接器：其他风险
桥接器解释了资产的所在地，但即使每项资产都是规范的，用户仍面临其他信任和安全缺口。以下三个领域最为重要：交易如何排序、谁来治理堆栈，以及可组合性如何影响用户体验。1.排序器：中心化的控制点
排序是将交易纳入Blockchain的顺序过程。几乎绝大多数Rollup都使用中心化排序器。这种设置既快速又有利可图。
但中心化排序器可以：
审查交易，通过拒绝将其纳入块中。
无限期地阻止取款，因为它决定了何时将退出请求批量提交给Ethereum。
完全下线，停止活动直到其恢复运行。（例如Arbitrum曾经历78分钟停机）。
Ethereum纳入了“强制包含”机制，允许用户直接向L1提交交易以绕过排序器。但这些机制并不能保证公平性。排序器仍然控制着区块排序，这通常足以损害用户利益。
这是一个交易可以被纳入但仍然失败的例子：
假设你试图从L2上的Aave中提取资金。
你在Ethereum上提交了强制包含的取款请求，这意味着排序器无法忽略它。
但排序器可以在你的交易之前插入自己的交易——例如，从同一个池子中借入额外的资金。
等到你的取款运行时，该资金池已没有足够的流动性，你的取款失败。
你的交易被“包含了”，但它的结果却被破坏了。
强制包含也带来实际的困扰：等待时间可能长达数小时（有时超过12小时），吞吐量有限，以及提交后仍可能被重新排序的风险。它更像是一个缓慢的安全阀，而非公平执行的保证。
与此同时，去中心化的动力正在形成。Espresso和Astria等项目正在构建共享排序器网络，以提高弹性和互操作性。
这里有一个关键理念是预确认：排序器或共享网络对交易将被包含所做的早期承诺，甚至在交易在Ethereum上最终确定之前。这有助于减少去中心化带来的延迟惩罚，让用户在不牺牲中立性的前提下获得更快的保证。
然而，中心化排序器仍占主导地位，因为它们简单、有利可图，并对机构有吸引力——至少在竞争或用户需求迫使改变之前是如此。2.治理与激励风险（公司化L2s）
谁运营L2确实很重要。许多领先的Rollup由公司或风投支持的团队运营（例如Coinbase的Base、OffchainLabs的Arbitrum、OPLabs的Optimism）。
它们的义务首先是对股东/投资者，而不是对Ethereum的社会契约。
股东责任→盈利压力：费用最初较低以吸引用户，一旦流动性和应用被锁定，费用就会上涨（经典的“平台税”模式）。预计会出现更高的排序器费用、优惠的集成或有利于运营方更广泛业务的规则。
锁定效应→杠杆：在积累了数十亿美元的TVL和用户后，转换成本使得退出变得困难。运营商可以改变经济模型或政策，而无需担心大规模迁移。
文化不匹配：Ethereum依赖公开的开发者会议、多客户端多样性以及开放治理（EIPs）。公司化Rollups则更为自上而下，通常拥有可以暂停、升级或冻结的管理密钥/多签——将合规性或盈利能力置于中立性之上。随着时间的推移，Rollup可能会越来越像一个围墙花园。
结果是Ethereum的开放精神与塑造公司化Rollup的激励措施之间，差距日益增大。这种差距不仅影响治理，还会蔓延到应用程序如何交互以及用户如何体验系统。3.可组合性与用户体验（UX）
Ethereum的“魔力”在于原子可组合性：合约可以在一笔交易中同步读取/写入（想象一下：一次Uniswap兑换可以原子性地偿还Aave并触发Maker的一个行动）。L2s打破了这种可组合性：
异步性：跨Rollup消息存在延迟，规范桥接退出可能需要数天，第三方桥接增加了信任假设。
孤岛：流动性和状态在L2之间碎片化，降低了使Ethereum引人注目的无缝DeFi用户体验。
什么能解决这个问题？
Ethereum原生Rollup（按照L1标准设计和治理）可以实现L2→L1的同步读取、L1→L2的同步写入以及原子级的跨Rollup写入，从而在扩展区块空间的同时恢复L1的大部分可组合性。没有这一点，用户体验将继续倾向于那些并非由Ethereum提供安全保障的便利层。Rollup的未来
如果“由Ethereum提供安全保障”想要超越一句口号，那么核心保障必须驻留在L1上，而不是在链下委员会或由单一公司控制的排序器中。有三种设计正指向这个方向。
原生Rollup将有效性完全转移到Ethereum上。
与其让用户信任一个独立的欺诈证明系统、一个他们无法审计的ZK证明者或一个安全委员会，Rollup将提供一个Ethereum本身可以重新执行的交易轨迹。
实际上，这将取款和状态正确性变成了L1的权利，而非承诺：如果Rollup声称你的余额是X，Ethereum可以直接检查这个说法。
这缩小了桥接器的攻击面，减少了对暂停密钥的需求，并使Rollup与未来的Ethereum升级保持一致。
代价是在L1上的成本更高，但回报很简单：当发生争议时，由L1裁决。
目前还没有原生Rollup上线。
BasedRollup将交易排序锚定到Ethereum的验证者集合。
如今，单一排序器可以对交易进行重新排序或延迟，这在实践中足以破坏“强制包含”机制。
有了BaseL1共识的排序，规范排序来自L1，因此审查和最后一秒的重新排序变得困难得多。
强制包含成为一个正常的途径，而不是一个缓慢的安全阀。项目添加“预确认”以保持用户体验的流畅性，同时仍让L1作为排序的最终仲裁者。
你会放弃一些L2的收入和灵活性，但你移除了当前堆栈中最大的单点控制。
致力于BasedRollup设计的核心团队包括Taiko、Spire和Puffer。
密钥库Rollup解决了一个更隐蔽但持续存在的风险来源：密钥和升级。
与其让每个Rollup（和应用）各自处理账户恢复、会话密钥和轮换，一个最小的“密钥库”Rollup将逻辑标准化一次，并将其同步到所有地方。
用户在一个地方轮换或恢复密钥；更改会传播到所有L2。运营者需要的应急密钥更少；管理员需要的“上帝模式”开关也更少。
结果是钱包被盗用的情况减少，事件发生后仓促升级的情况减少，账户安全与应用逻辑之间的分离也更清晰。
密钥库Rollup设计目前仅是理论，尚未上线。
总而言之，这些方法都与用户实际面临的问题相一致：依赖信任的退出机制、由单一公司控制的排序，以及脆弱的密钥/升级路径。
将有效性、排序和账户安全纳入Ethereum的保护伞下，才是Rollup赢得“由Ethereum提供安全保障”这一说法的途径，而不仅仅是将其作为宣传口号。