现实中合约的有效性通常是通过法律来保证的，当合约出现纠纷，或者一方违约，可以通过法律手段解决，如起诉违约人等。
BTC 实现了去中心化的货币，而 ETH 则实现了去中心化的合约，即智能合约。
智能合约是存储在区块链上的一段代码，可以被调用，代码一般使用 Solidity 语言编写，运行在 EVM（Ethereum Virtual Machine）上，是图灵完备的语言，且代码一旦上链，则极难更改，这有效地保证了合约的有效性，但是如果合约代码有漏洞，也极难有修复，ETH 社区就曾经因为这个出现了 Hard Fork。
智能合约对帐户的更改，形成的交易和收据会存储在状态树、交易树和收据树中，并最终通过将三棵树的根哈希值写入 block header 来与其它全节点达成共识。
将介绍下列内容：

• 合约账户
• 嵌套调用
• 汽油费
• 其它特性

合约账户

智能合约的账户保存了合约的当前状态：

• balance：余额
• nonce：交易次数
• code：合约代码
• storage：存储，数据结构是一颗 MPT。

嵌套调用

• 智能合约的执行具有原子性，执行过程中出现错误会导致回滚。
• 嵌套调用是指一个合约调用另一个合约中的函数。
• 嵌套调用有时会触发连锁式的回滚，有时则不会。

汽油费

• 每条语句会消耗一定汽油费（gas）。
• 复杂的指令消耗的多，简单的指令消耗少，也有一些是免费的。
• 汽油费由发起调用的外部账户一次性支付，如果没有用完则退还。
• 如果汽油费耗尽但是合约未执行完毕，则回滚更改，但是不退汽油费。
• 最终获取记账权的矿工会获得执行合约的汽油费。
• 执行发生错误的交易依然要支付汽油费。

Q：为什么汽油费不足时不退还？

A：为了避免恶意的合约调用，如果退还的话，我就可以发布一个合约，里面是死循环代码，然后一直调用这个合约让矿工白白浪费算力，而我却几乎没有任何损失。

Q：为什么执行发生错误的交易依然要支付汽油费？

A：原因同上，主要是为了反之恶意的合约和恶意的调用。

Q：每个区块内部的合约调用消耗的总汽油费是否有限制？

A：有限制，记录在`header.gasLimit`字段，每个矿工在决定了要发布的区块时可以微调这个值，上调或下调$\frac{1}{1024}$。

其它特性

• 一个合约内的函数可以调用另一个合约内的函数。
• 一个外部账户也可以调用一个合约内的函数。
• 合约代码不支持try....catch，若执行时出现异常会触发回滚。
• 代码禁止 syscall。
• 合约代码只有被外部账户或者其它合约调用时才会执行，无法实现如定时执行等功能。
• 合约代码不允许多线程。

Q：为什么禁止 syscall？

A：因为执行代码的环境不同，syscall 返回的结果也可能不同，容易导致最终的状态不一致，不同全节点之间难以达成共识。

Q：为什么合约代码不允许多线程？

A：多个合约并发/并行执行可能会导致最终的状态无法一致。一个例子：

1. 合约 A：如果张三账户中至少有 100 个币则转给李四 10 个币。
2. 合约 B：如果张三账户中不足 100 个币则转给李四 5 个币。
3. 合约 A 中现在恰好有 100 个币。
4. 正常的执行顺序是先执行 A，后执行 B。运行结果是李四收到 15 个币，张三的账户剩余 85 个币。
5. 但是如果是并发/并行执行，则可能先执行 B，等待 B 完成后才执行 A，这种情况下李四收到 10 个币，张三的账户剩余 90 个币。
6. 也就是最终相关的状态会不一致，也就是状态的转移不确定。各个全节点之间无法达成共识。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

由于智能合约代码存储在区块链上，所以一旦其有漏洞也极难修复。TheDAO 是运行在 ETH 区块链平台上的一个智能合约，但是其代码存在漏洞，于是黑客发起了 Re-entrancy Attack 盗走了大量的以太币，最终导致了以太坊分裂为 ETH（Ethereum） 和 ETC（Ethereum Classic）。

本系列的文章不会着重于细节讲解，对于本次攻击的详情可以参考这篇文章：Analysis of the DAO exploit。

将介绍下列内容：

• TheDAO
• 补救措施
• 以太坊的分裂

TheDAO

DAO 是 Decentralized Autonomous Organization（分布式自治组织）的简称，TheDAO 是一个基于 ETH 区块链平台的众筹项目。其目的是让持有 TheDAO 代币的参与者通过投票的方式共同决定被投资项目，整个社区完全自制，其功能通过智能合约实现。众筹完成时共募集 1150 万以太币，在当时的价值达到 1.49 亿美元。

Child DAO

允许 TheDAO 代币的持有者调用 TheDAO 合约中的 `split` 函数，创建一个子合约，持有者在原有 TheDAO 智能合约中的 TheDAO 代币被销毁，存储在原 TheDAO 智能合约中对应的以太币被转移到新的 TheDAO 智能合约中。
Child DAO 是为了保护处于弱势地位了 TheDAO 代币持有者，使他们也可以有一个可以投票和分红的 DAO。黑客发起攻击后 ETC 就锁定在了 Child DAO 内。

补救措施

Child DAO 创建后有 28 天的锁定期，这段时间无法将以太币转走，就是段时间给了以太坊社区补救的机会。

以太坊团队设计了两步走方案：

1. 锁定黑客账户。
2. 设法将盗取的以太币退还。

以太坊首先发布了一个软分叉方案，新的软件升级中加入了一条规则：凡是和 TheDAO 相关的账户一律不允许交易。升级发布后大多数矿工都升级的软件。但是新的软件有一个 bug。
当新的软件执行某个交易与 TheDAO 相关时，这个交易失败，但是没有收取汽油费。这就导致了整个系统中充斥着大量的与 TheDAO 相关的交易，消耗了大量的资源，因此大多数矿工又将软件版本退回了更新前。
软分叉的措施失败了，此时距离 28 天的锁定期结束已经很近了。于是以太坊团队发布了一个硬分叉方案，所有 TheDAO 账户中的以太币都被强制转到另一个账户，事后再想办法将其退还。
这次没有出现意外，最终被盗取的以太币都退还了

以太坊的分裂

在攻击发生后，以太坊社区有两个观点，双方进行了激烈讨论，最终没能达成一致，导致了分裂。

应该采取措施

这一派认为应该采取措施方式黑客将以太币盗走，原因是 TheDAO 是太大而不能倒的合约，TheDAO 筹集的以太币大概占有当时总流通量的 10% 左右。以太坊开发团队也持有这种观点。
但是不要认为合约出了问题以太坊团队就会介入，主要还是因为这个合约的影响太大了。

不应采取措施

这一派认为黑客的行为并没有违反任何规则，因为智能合约的代码就是规则，按照规则行事何谈违反？
更重要的观点是，如果出了问题就要回滚，那么还谈什么去中心化的不可篡改的账本？开发团队一句话就能强行更改账本，这和中心化有何区别？

分裂

两派的矿工都没能说服对方，最终导致以太坊分裂成了两条链，一条就是采取了措施的链，称为 ETH（Ethereum），另一条是没有采取任何补救措施的链，称为 ETC（Ethereum Classic）。直到现在这两条链依旧存在，只是 ETH 上的算力更强。
在 ETC 上挖矿人一部分是出于投机目的，因为这条链算力更少，更容易挖出区块。另一部分人是纯粹出于信仰，这些坚持十分纯正的去中心化理念，认为 ETC 才是正宗的以太坊，而 ETH 已经偏离的去中心化的初衷。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• 状态树
• 交易树和收据树

状态树

ETH 采用的是基于账户的模式，也就是说系统中显示记录着每个账户的当前状态信息。

每个账户都是由一个 160bit 的地址组成，外部账户中的状态包含余额（balance）、交易次数（nonce），合约账户包含 code(代码)、存储(stroge)。
对于一个出块时间只有十几秒的系统，如何高效地维护这些状态就成了十分重要的事情。

为何不使用 HashTable？

由于每个账户都是一个 160bit 的地址，所以很容易想到用 HashTable 来建立地址到账户状态的映射，在不考虑哈希碰撞的情况下，增删改查都是常数时间。国安民乐，岂不美哉？

那么为什么 ETH 没有使用 HashTable 呢？原因就是建立共识代价太大。

BTC 建立共识是通过将区块内的交易组织成一颗 Merkle Tree，并将根哈希值写入 Block Header，其它全节点验证时只需要重新计算区根哈希值即可，同时因为一个 Block 的大小有限制，所以达成共识的代价比较小。
ETH 如果使用 HashTable 管理账户状态的话，两个全节点要达成共识代价都很大，因为要遍历整个 HashTable 才可以。

为何不使用 Merkle Tree？

那么如果把账户的状态组织成一颗 Merkle Tree 怎么样呢？这样是不是就可以像 BTC 一样方便了？
看起来我们可以直接将根哈希值写入到 Block Header 里，以求向 BTC 一样达成共识。

Q：如果两个全节点记录的账户状态完全一致，它们的根哈希值一定相同么？

A：不一定，因为两个全节点听到各个账户的顺序可能不同，如果不对 Merkle Tree 进行排序的话，两个全节点构造出来的 Merkle Tree 的根哈希值很可能不同。如果不同，也就无法达成共识。

Q：如果使用排序的 Merkle Tree 是不是就没问题了？

A：如果监听到了一个新的账户，由于 Merkle Tree 时排序的，所以就要将其插入到合适的位置，那么就需要重新组织 Merkle Tree，代价过大，不能接受。

MPT（Merkle Patricia Trie）

最终 ETH 使用了 MPT 管理各个账户的状态，MPT 是 Merkle Tree 和 Patricia Trie 组合而成的数据结构。

Patricia Trie 就是经过路径压缩的 Trie。

Q：新增一个账户时的代价是否可以接受？

A：可以，因为 160bit 的账户地址很容易地就能添加到 Patricia Trie，且由于 Patricia Trie 的特点，对其更新都是局部的，不会导致整棵树的重组。

Q：更改一个账户状态时的代价是否可以接受？

A：可以，因为 Patricia Trie 的查找仅需对数时间，同时由于 Patricia Trie 的特点，其更改也是局部的，同样不会导致整棵树的重组。

Q：达成共识的代价是否可以接受？

A：Merkle Patricia Trie 中 将 Patricia Trie 中的传统的地址指针改成了哈希指针，且由于只要存储的地址完全一致，则无论存储顺序的先后，Patricia Trie 只有一种形态，所以可以算出 Merkle Patricia Trie 的根哈希值并写道 Block Header 中，达成共识十分简单。

每个区块都会保存完整的状态树，而不是仅和当前区块内交易有关的节点。因为这样可以便于回滚。也可以这么考虑：

1. 账户 A 转账给 账户 B 一个币。
2. 那么就应该先知道两个账户的余额。
3. 如果每个区块只保存与当前区块有关联的账户的状态树节点。
4. 且假设 B 是一个新的账户。
5. 那么这个新账户肯定不会存在于状态树中。
6. 由于每个区块没有保留完整的状态树，所以只能顺着区块链去找。
7. 那么查询账户 B 的状态，最终会找到 Genesis Block，才会发现这是一个新账户。
8. 代价太大，不能接受。

交易树和收据树

ETH 每次发布区块的时候其包含的交易会被组织成一颗交易树，每笔交易执行完后会产生一个收据，记录相关信息，最终也会被组织成收据树，这两棵树均为 MPT。
交易树和收据树也可以提供根哈希值。同时 ETH 也提供了比较复杂的查询操作，如查询 10 天内和某个智能合约有交易的账户等。为了降低这类查询操作的代价，ETH 使用了 Bloom Filter ，它可以让矿工在沿着区块链查找交易等信息时快速地排除不可能包含所需信息区块。

Bloom Filter

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

ETH 的出块时间大概只有十几秒，如此短的出块时间如果照搬 BTC 的共识机制就会造成大量的分叉，分散全网算力，降低系统的安全性。因此 ETH 采用了新的 GHOST 协议，可以很好地适应十几秒地出块时间，保证系统的安全性，同时也在一定程度上平衡了收益，使得大型矿池相对于 BTC 不再那么占便宜。
使用基于 GHOST 的协议主要出于两个目的：

• 维护系统安全性
• 平衡收益

维护系统安全性

出块时间只有十几秒，由于 Flooding 的时候没有考虑底层拓扑，如此短的时间一个区块难以广播给全网，容易造成大量分叉，如果继续使用 BTC 的共识协议，极其容易分散算力，降低系统安全性。

平衡收益

以下图所示情况为例说明

我们假设 A、C 两个 Block 时个人矿工所挖出的，B 是大型矿池挖出的 Block。假设三个 Block 同时挖出。

1. 显然大型矿池的所在的链最有可能成为最合法链，也就是 B 所在的链。
2. 同时其它矿工出于不想浪费算力的目的，通常会选择跟在大型矿池的后面继续挖矿，而不是跟在个人区块后面。
3. 理想情况下如果一个矿工占有 n% 的算力，那么他的收益也应该是所有矿工收益的 n%。
4. 现在 B 所在的链成为最长合法链的概率会超过 n%。
5. 因为个体矿工愿意跟随大型矿池进行挖矿。
6. 那么大型矿池的期望收益就会超过 n%。
7. 我们不希望这种情况出现。

上图这种情况下，ETH 规定，D 在发布的时候可以将 A、C 作为 Uncle Block 包含进 D 中，那么 A 和 C 的其所有者会获得 7/8 的出块奖励。一个区块中最多只能包含两个 Uncle Block。

对于上图这种情况，能被包含进 J 的 Uncle Block 只能是 A 和 C。而 E、G、F、H 不能作为 Uncle Block，否则这会降低矿工合并分支的积极性。

Uncle Block 最多往前追溯七代，收益每隔一代减少 1/8，七代之前的区块不允许作为 Uncle Block。

这么做就可以在一定程度上平衡了收益，也能鼓励分叉尽快进行合并。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• 外部账户（Externally Owned Accounts）
• 合约账户（Smart Contract Accounts）

BTC 采用基于交易的模型，一个账户有多少币没有显式记录，如果想要知道只能顺着区块链去查 UTXO 才能知道。

ETH 采用基于账户的模型，就像现实中的银行账户一样，一个账户有多少币是显式记录在区块链上的，每次支付的时候就检测余额并修改余额即可，无需关注币的来源。

为什么 ETH 会使用这种模式呢？因为 ETH 要支持智能合约（Smart Contract），这就要求参与者的身份要比较稳定，否则很难知道合约的参与者究竟是哪个账户

外部账户（Externally Owned Accounts）

外部账账户内记录的下列内容：

• balance：余额
• nonce：不同于 BTC，这里则表示该账户发起过多少笔交易。

账户的信息都会记录到一种名为「状态树」的数据结构中，每次交易都会更新状态树的对应节点。

重放攻击（Replay Attack）

基于账户的模式天然地对双花攻击（Double Spending Attack）有防范作用，但是容易成为重放攻击的目标。

重放攻击就是将一个已经上链的交易重新放送一次，由于这笔交易具有被攻击账户的签名，所以全节点会认为其是有效的，所以会导致一笔交易重复执行。对此 ETH 通过`nonce`字段来防范，这个字段记录了该账户发起过多少笔交易，每笔交易都要记录当前的`nonce`值，这样就可以有效防范重放攻击了。因为当一笔交易被重放时，其`nonce`值会比账户中记录的`nonce`值小，由此可以判断该账户没有发起过这笔交易。

合约账户（Smart Contract Accounts）

合约账户记录下列内容：

• Code：即合约代码
• Storage：相关数据

合约内的代码可以被其它用户所调用，也可以被其它合约调用，用以完成合约的功能。创建合约的时候会返回一个地址，根据这个地址即可调用合约代码。
智能合约代码一般使用 Solidity 语言编写，运行在 EVM（Ethereum Virtual Machine）上，且代码一旦上链，则极难更改。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• ASIC Resistance
• GHOST 协议
• 基于账户的交易模式（Account-based ledger）
• 权益证明（Proof Of Stake）
• 智能合约（Smart Contract）

ASIC Resistance

BTC 起初的设计目的包括让通用计算机加入到挖矿过程，但是目前 BTC 的挖矿主要是由 ASIC 矿机完成的，使用通用计算机挖矿几乎是无利可图的。

而 ETH 希望避免这种情况，其设计了 Member hard mining puzzle，因为 ASIC 矿机的访存效率不一定有通用计算机高，如果 Mining puzzle 对内存的要求较高，则可以很好地对抗 ASIC 矿机。

GHOST 协议

ETH 的出块时间大概只有十几秒，如此短的出块时间如果照搬 BTC 的共识机制就会造成大量的分叉，分散全网算力，降低系统的安全性。因此 ETH 采用了新的 GHOST 协议，可以很好地适应十几秒地出块时间，保证系统的安全性。

基于账户的交易模式（Account-based ledger）

BTC 中一个矿工有多少币是没有显式记录的，想要知道余额只能去查 UTXO，而 ETH 是基于账户的交易模式，自己有多少币很容易就知道了。所有账户的信息存储在全节点的状态树，当某个账户发起交易时，全节点会检查账户信息以确定交易的合法性。当然这种模式的优点不止一个，当然有了新的缺点，笔者将会在其它文章中说明。

权益证明（Proof Of Stake）

BTC 采用的是 Proof Of Work，即「工作量证明」，而 ETH 则计划逐步转为 Proof Of Stake，即「权益证明」，这也是 ETH 对抗 ASIC 矿机的一种方式。权益证明简单来说就是持有的币越多，在系统中的话语权越大。详细情况笔者将会在其它文章中说明。

智能合约（Smart Contract）

智能合约是存储在区块链上的一段代码，可以被调用。
BTC 的脚本语言只能实现一些简单的操作。而 ETH 常常用于书写智能合约的语言 Solidity 是图灵完备的，这代表其可以又有十分强大的功能。
智能合约作为去中心化的合约，其合约的有效性是靠 ETH 系统的安全性保证的。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课