Rogue validator в Proof-of-Stake: что такое слэшинг и как недобросовестный валидатор наносит убытки делегаторам

Слэшинг — принудительное изъятие части застейканного залога валидатора за доказуемое нарушение протокола. Два основных нарушения: double signing (подпись двух конфликтующих блоков на одной высоте — признак атаки) и downtime (длительное отсутствие онлайн, снижающее надёжность сети). В Ethereum за double signing штраф может составить до 1/32 стейка плюс принудительный вывод из валидаторского набора. В Cosmos-сетях штраф за downtime обычно 0,01–0,1%, за double signing — до 5%. Риск: делегаторы разделяют штраф пропорционально своей доле — их токены сжигаются вместе с токенами валидатора.

Double signing происходит, когда один валидатор подписывает два разных блока на одной высоте цепочки. Основные причины: ошибка при миграции узла (валидатор запущен одновременно на двух серверах с одним ключом), технический сбой в ПО, намеренная атака. Большинство случаев — непреднамеренные ошибки при обслуживании инфраструктуры, а не злой умысел. Протокол не различает намерение: доказательство двойной подписи (slashing evidence) автоматически запускает штраф через смарт-контракт. Риск: даже технически компетентный валидатор может ошибиться при плановом обслуживании серверов.

Делегаторы теряют часть застейканных токенов пропорционально своей доле в валидаторе при слэшинге. В Cosmos-экосистеме механизм слэшинга распространяется на делегаторов автоматически. В Ethereum делегирование через liquid staking протоколы (Lido, Rocket Pool) защищает от прямого слэшинга — убыток покрывается из страхового фонда протокола до определённого лимита. Риск: при нативном стейкинге через ненадёжного валидатора делегатор не имеет защиты от слэшинга. Сумма потери зависит от типа нарушения и правил конкретной сети.

Downtime penalty — мягкий штраф за офлайн валидатора дольше допустимого порога. В большинстве сетей это 0,01–0,1% от стейка — незначительные потери плюс временная потеря права на вознаграждения. Double signing — жёсткий штраф за криминальное нарушение консенсуса: в Ethereum это принудительный вывод и потеря до 1 ETH и более; в Cosmos-сетях — до 5% стейка немедленно плюс tombstone (вечный запрет на участие в консенсусе этим ключом). Риск: tombstone означает, что ключ валидатора навсегда исключается — делегаторы должны немедленно переделегировать токены другому валидатору.

Частично. Lido, Rocket Pool и аналоги распределяют стейк между множеством валидаторов, что снижает концентрированный риск. Rocket Pool требует от операторов залога в ETH, создавая страховой буфер. Lido имеет страховой фонд для покрытия слэшинг-убытков. Однако ни один протокол не гарантирует полной защиты при массовом слэшинге. Риск смарт-контракта самого liquid staking протокола добавляется к слэшинг-риску. Риск: liquid staking токены (stETH, rETH) имеют риск депега при панике на рынке — даже при отсутствии слэшинга.

Потеря токенов при слэшинге квалифицируется как убыток от операций с имуществом. В РФ убытки от крипто-операций уменьшают налоговую базу при наличии документального подтверждения. Однако механизм учёта убытков от принудительного сжигания (slashing) в действующем налоговом законодательстве РФ прямо не урегулирован — рекомендуется консультация налогового специалиста.

Tombstone — постоянный запрет для конкретного валидаторского ключа на участие в консенсусе после double signing. Снять tombstone невозможно — ключ навсегда исключён из набора валидаторов. Оператор может создать нового валидатора с новым ключом, но репутация и делегации теряются. Делегаторам tombstone-валидатора необходимо немедленно переделегировать токены.