2017年，我投过一个叫EOS的项目。
那时候它号称“区块链3.0”，主网上线前融资几十亿，币圈没人不买。我也跟着冲进去，想着这项目这么火，肯定能涨。结果主网上线后，生态没起来，币价跌了95%。
后来我复盘这事，发现一个问题：它有个机制叫“超级节点”，21个节点掌握着整个网络的出块权。节点是投票选出来的，票多的说了算。结果选出来的节点全是交易所和矿池，普通人根本插不上手。
ROBO的白皮书里，第八章写“Verification and Penalty Economics”，讲的是类似的事。
第8.1节写验证者要质押高额ROBO，干两件事：日常监控和争议裁决。
第8.2节写slash条件：如果机器人造假，30%到50%的质押金被罚没；如果验证者判错或者合谋，自己的质押金也会被slash。
第8.3节写了一个公式：g < p·(0.5B)。g是欺诈收益，p是被抓概率，B是质押金。意思是只要让欺诈的期望收益小于期望成本，作弊就不划算。
读第一遍的时候我觉得这套设计很严密。读第二遍的时候我想起EOS那21个节点，想起一个问题：如果验证者自己抱团作弊，怎么办？
先算一笔账。
假设你想当验证者。白皮书说质押要比普通机器人高得多。英文论坛里有人估算，最低门槛可能在5万美金等值的ROBO左右。
收益呢？按现在的网络活动量，一个月能拿到的奖励大概200-300美金。年化5%左右。
风险呢？万一判错一个案子，或者被误判为合谋，5万美金的质押金可能直接没了一半。
“干一年赚三千，错一次亏两万五。”有人在论坛里这么算，“这买卖怎么看都不划算。”
底下有人回复说：所以你得认真判，别犯错啊。
他回：认真判没问题，但万一对方伪造证据呢？万一其他验证者合谋陷害我呢？万一算法有bug误判呢？
这些问题，白皮书没写答案。
更致命的问题是：如果验证者集体作弊，怎么办？
假设51%的验证者串通起来，他们可以干三件事。
第一，包庇作恶的机器人。机器人造假，他们不罚，假装没看见。机器人赚了钱分给他们，双赢。
第二，陷害良民。找个老实的机器人运营商，伪造证据说他造假，然后投票通过slash，把他的质押金分了。
第三，改参数。虽然治理权不完全在验证者手里，但他们可以通过投票影响参数调整。控制足够多的票，就能让参数对自己越来越有利。
这些操作，第8.3节的公式算不出来。因为公式假设“人”是理性的、诚实的、按规矩办事的。但51%的人合谋的时候，“理性”就变成了“集体利益最大化”，而不是“遵守规则”。
白皮书第8.3节写的是“under the slashing parameters above, fraud is unprofitable”。前提是p足够高，高到让期望收益为负。但p是多少？谁来保证p足够高？
白皮书没写
比特币的信任，建立在“矿工”身上。矿工要买机器、交电费、竞争记账。作弊的成本太高，所以没人作弊。
以太坊的信任，建立在“节点”身上。节点要质押ETH，验证交易。作弊会被slash，所以没人作弊。
Solana的信任，建立在“验证者”身上。验证者要质押SOL，参与共识。作弊会被踢出网络，所以没人作弊。
EOS的信任，也建立在“节点”身上。但EOS的节点只有21个，太容易抱团。抱团之后，说什么是什么，普通人只能看着。
ROBO的验证者，会比EOS多吗？会够散吗？
不知道。白皮书没写验证者数量上限，也没写怎么防止抱团。只说“通过随机抽查和交叉验证”。具体怎么抽查、抽查频率多少、交叉验证的节点怎么选——这些细节都还在“Open Questions”里。
我认识一个做PoS节点的人，质押了几百万美金，跑了三年节点，没出过事。我问他怎么做到的，他说：不接私活，不贪小利，不合伙。
我说就这么简单？
他说就这么简单。但大多数人做不到。因为诱惑来的时候，你会想：就一次，没人知道。一次两次三次，最后就进去了。
他说他们圈子里有个词，叫“slash恐惧症”——就是那种质押金随时可能没了的焦虑感。有这焦虑的人，晚上睡不好；没这焦虑的人，早晚出事。
ROBO的验证者，会不会也得这种病？
不知道。但第8.2节那些slash比例——30%到50%——足够让人睡不好了。
2017年那个EOS教会我一件事：节点太多不好，节点太少更不好。
太多，效率低，吵不完。太少，容易抱团，抱团就作恶。
ROBO要找到那个平衡点。既要足够多，让人抱不起团；又要足够少，让效率跑得起来。这个平衡点在哪？白皮书没写。
可能得边跑边找。跑着跑着，人多了就分拆；跑着跑着，人少了就合并。调来调去，最后找到那个“对”的数。
但调的过程，就是试错的过程。试错的成本，用户担着。
参数调高了，质押门槛变高，小玩家进不来。参数调低了，欺诈变多，老实人吃亏。验证者多了，效率变慢；验证者少了，抱团风险变大。怎么调都是坑，只能边掉坑边爬出来
最后说说我的判断。
验证者合谋的风险，短期内不用担心。因为早期验证者大概率是基金会筛选的、有信誉的机构，不会为了那点收益砸自己招牌。而且早期网络规模小，合谋收益也不大。
但长期看，随着网络扩大、利益变多、参与者变杂，合谋风险会越来越大。到那时候，这套机制能不能扛住，取决于一件事：验证者的人数够不够多、够不够散。
第8.3节那个公式，p是被抓概率。p要足够高，高到让作弊不划算。但p不是天上掉下来的，是靠验证者互相监督撑起来的。验证者越多，互相监督越有效，p就越高。验证者越少，互相监督越难，p就越低。
所以验证者这事，本质上是个“鸡生蛋蛋生鸡”的问题：人多了才安全，但人多了每个人分到的奖励就少了，愿意来的人就少了。
这个矛盾，第8章的公式解不了。
2017年那个EOS教会我一件事：信任不是设计出来的，是长出来的。
设计得再严密，只要人不够多、不够散，就会抱团。抱团之后，什么设计都没用。
ROBO能不能长出足够的验证者，我不知道。但我知道，如果它长出来了，它就是第一个跑通这套机制的项目。
到那时候，验证者就不是“法官”，是“公民”。公民够多，系统才稳。