Watchtower

什么是 Watchtower？

Watchtower 是一种监控服务，用于在用户的 Lightning 节点离线或无法响应时，帮助保护 Bitcoin Lightning Network 支付通道。

它监视 Bitcoin 区块链上的可疑通道关闭交易；如果发现旧的、已撤销的通道状态，就会广播惩罚交易或正义交易。

Bitcoin Optech 解释说，Watchtower 会监控可能导致用户损失资金的区块链交易，并可通过发送惩罚交易或恢复交易作出响应。

在 Lightning Network 中，两名用户可以开设支付通道并进行多笔链下支付，而不必立即将每笔支付记录到 Bitcoin 链上。

这提高了速度和可扩展性，但也带来一项重要的安全要求。

每个通道参与者都必须能够检测对方是否试图使用有利于攻击者的旧余额状态关闭通道。

Watchtower 通过保持在线并监控此类违约行为来解决这一问题。

对新手而言，最简单的定义是：Watchtower 是 Lightning 通道的安全助手，当你的节点离线时它会监视 Bitcoin；若有人试图使用过期通道状态作弊，它会作出响应。

为什么 Watchtower 很重要

Watchtower 很重要，因为 Lightning Network 通道依赖于及时响应争议。

如果双方通道伙伴都诚实，通道可正常关闭，双方都会收到正确余额。

如果一方不诚实，可能试图广播旧的承诺交易，从而获得比当前状态允许的更多资金。

Lightning 协议通过撤销和惩罚机制惩罚这种行为。

不过，诚实用户必须在时间锁到期前发现违约并作出响应。

Lightning Labs 的Watchtowers 指南说明，遭遇违约的对等节点需要定期在线，并在仲裁时间到期前监控区块链交易。

这一要求对普通用户可能很困难。

笔记本电脑可能关机。

移动节点可能失去连接。

家庭节点可能断电。

服务器可能崩溃。

用户可能在旅行或无法响应。

Watchtower 通过将监控委托给另一台机器或服务来降低这种风险。

它对运行 Lightning 节点但无法始终保持在线和同步的用户尤其重要。

Lightning Network 中的 Watchtower

在 Lightning Network 中，Watchtower 专注于通道违约保护。

当对手方广播已撤销的承诺交易时，就会发生通道违约。

承诺交易代表 Lightning 通道在 Bitcoin 区块链上的一种可能结算方式。

每次通道余额发生变化时，先前状态都会被撤销，并由较新的状态取代。

旧状态不应再被使用。

如果有人广播旧状态，另一方可以使用撤销数据惩罚该违约行为。

官方BOLT 3 交易规范说明，当已撤销承诺交易被发布时，延迟输出如何为惩罚交易创造机会。

Watchtower 旨在检测已撤销的承诺交易并发布适当响应。

它无需为用户路由支付。

它无需控制用户的钱包。

它的任务范围有限，但非常重要。

它监控区块链，并在出现特定风险时作出响应。

Watchtower 如何运作

Watchtower 通过受其保护的 Lightning 节点预先准备的加密违约数据运作。

当通道更新时，客户端节点会创建可在旧状态后来被广播时使用的信息。

客户端会向 Watchtower 发送加密数据和定位器，以帮助 Watchtower 识别未来的违约。

Watchtower 存储这些数据，同时持续监控 Bitcoin 区块链。

如果对手方后来广播已撤销的承诺交易，交易 ID 会让 Watchtower 识别该违约。

相同的违约信息可以解锁客户端此前交给 Watchtower 的加密正义交易。

随后，Watchtower 会将正义交易广播至 Bitcoin 网络。

Lightning Labs 在其Watchtower 机制概述中解释，Watchtower 会存储加密撤销交易，且只有在相关违约出现在链上时才能解密。

这种设计比直接向 Watchtower 提供完整通道数据更能保护隐私。

Watchtower 可以查找可能的违约交易，但通常无需了解每个通道余额或每笔正常支付。

什么是正义交易？

正义交易是用于惩罚广播已撤销承诺状态的不诚实 Lightning 通道参与者的交易。

它也称为惩罚交易或违约补救交易。

其目的是夺回不诚实一方试图通过使用过期通道状态获取的资金。

LND Watchtower 文档描述了 Watchtower 如何向其他 Watchtower 备份加密的违约补救交易，也称为正义交易。

正义交易不是普通支付。

它是一笔防御性交易。

它仅在有人试图作弊或意外发布已撤销状态时使用。

正义交易的可能性使作弊变得不理性，因为攻击者可能损失其通道余额。

这种惩罚设计是当前 Lightning 通道模型的核心安全假设之一。

当诚实用户离线时，Watchtower 可使正义交易在实践中可行。

Watchtower 与 Lightning 节点的区别

Lightning 节点是一种软件，可开设通道、发送和接收支付、路由支付、管理流动性、跟踪通道状态并与 Bitcoin 区块链交互。

Watchtower 是一种专门的监控角色，用于保护 Lightning 节点免受通道违约影响。

Lightning 节点有时可以运行自己的 Watchtower 服务器。

Lightning 节点也可以作为 Watchtower 客户端连接到另一座 Watchtower。

Lightning Labs 的LND Watchtower 配置指南说明，LND 可运行 Watchtower 服务器和客户端功能，但两者都需明确启用。

这意味着 Watchtower 并不能替代 Lightning 节点。

它是支持 Lightning 节点的防御服务。

用户仍需要由节点或钱包正确管理通道。

当节点离线或无法在违约窗口内行动时，Watchtower 仅帮助作出响应。

Watchtower 与区块链浏览器的区别

Watchtower 不等于区块链浏览器。

区块链浏览器让用户搜索区块链交易、地址、区块、手续费，以及支持时的智能合约数据。

Watchtower 则主动监控区块链中的特定风险，并可在需要时广播响应交易。

区块链浏览器主要是查看工具。

Watchtower 是防御性自动化工具。

用户可以手动使用区块链浏览器检查通道是否关闭。

但若用户离线、睡眠、旅行或不知道发生违约，手动检查并不足够。

Watchtower 的存在是因为 Lightning 安全需要及时行动。

它旨在时间锁窗口内自动行动。

这使 Watchtower 更接近安全基础设施，而非分析仪表盘。

Watchtower 与托管服务的区别

Watchtower 不是托管服务。

它无需持有用户的 Bitcoin。

它无需用户的助记词。

它无需用户用于普通钱包支出的私钥。

Bitcoin Optech 表示，Watchtower 不受托管理其监控的资金，其职责是监控区块链并广播交易。

这一区别非常重要。

合法的 Watchtower 不应要求提供恢复短语。

合法的 Watchtower 不应要求提供私钥。

合法的 Watchtower 不应要求完整托管通道资金。

Watchtower 可能收到加密数据，只有在出现违约交易时这些数据才有用。

这使 Watchtower 能在不控制用户资金的情况下保护用户。

为什么 Lightning 通道需要 Watchtower

Lightning 通道需要监控，因为任一通道参与者都可以通过发布承诺交易单方面关闭通道。

这很有用，因为即使另一方消失，用户也可以收回资金。

但这也意味着攻击者可能试图发布旧承诺交易。

Lightning 协议通过使旧状态的发布行为变得危险来应对这一问题。

通道更新时，双方会交换使先前状态无效的撤销信息。

若已撤销状态被发布，诚实方可通过撤销秘密按惩罚路径领取资金。

Lightning Labs 指南解释，每次新的通道更新都会通过交换惩罚秘密使先前承诺交易失效。

难点在于时间。

诚实方必须在攻击者的延迟输出可花费前发现不当关闭。

Watchtower 有助于满足这一时效要求。

承诺交易

承诺交易是一笔预签名交易，代表 Lightning 通道中当前的余额分配。

双方各自拥有当前承诺交易的一个版本。

若通道无法合作关闭，参与者可在 Bitcoin 上发布其最新承诺交易。

每次通道更新后，较旧的承诺交易都会被撤销。

发布已撤销的承诺交易即构成通道违约。

Lightning BOLT 3 规范描述了承诺交易输出和惩罚路径：当撤销密钥可用时，对手方可以立即花费某些输出。

Watchtower 的存在是因为承诺交易在实现链下支付的同时，仍要求通过区块链层面执行争议处理。

它们监控旧承诺交易是否出现在链上。

如果出现，Watchtower 会帮助诚实方执行正确惩罚。

通道违约

通道违约是指试图使用已撤销或过期状态关闭 Lightning 通道。

若攻击者故意试图领取超出其应得金额的资金，这种行为可能是恶意的。

如果节点运营者错误地从旧备份恢复并发布过时通道数据，也可能是意外行为。

Core Lightning 文档在其Watchtower 文档中说明，当 Lightning 节点离线时，对手方可能试图用过期状态（也称为已撤销承诺）强制关闭通道。

Watchtower 无需知道违约为何发生。

它只需识别已撤销状态已出现。

检测到违约后，它可以代表客户端发布惩罚交易。

这可保护客户端免受恶意行为和某些意外故障影响。

时间锁与违约窗口

必须在时间锁到期前对违约作出响应。

Lightning 承诺交易包含延迟输出，使诚实方有时间惩罚已撤销关闭。

BOLT 3 说明，返还给承诺交易所有者的输出必须延迟一定数量的区块，以便执行惩罚交易。

这种延迟通常称为 to-self delay。

延迟长度会影响安全性和可用性。

较长延迟可为违约检测和响应提供更多时间。

较短延迟可让用户在单方面关闭后更快获得资金。

Watchtower 很有用，因为它减少了用户自身节点在整个延迟窗口内保持在线的需求。

但它仍必须足够可靠，才能及时发现违约并广播正义交易。

若 Watchtower 在违约窗口内离线，就无法保护通道。

加密 Blob 设计

现代 Watchtower 设计通常使用加密 Blob 来保护用户隐私。

客户端向 Watchtower 提供的是加密的违约补救数据，而不是完整的可读通道信息。

Watchtower 可以存储加密 Blob 和定位器。

若未发生违约，Watchtower 不应能够读取受保护交易。

若发生违约，违约交易会提供解密并发布补救交易所需的信息。

LND Watchtower 文档指出，Watchtower 存储固定大小的加密 Blob，且只有在已撤销承诺状态被广播后才能解密并发布正义交易。

这种设计限制了 Watchtower 可获知的信息。

它可能知道客户端更新通道的频率。

它可能知道何时发生违约。

它不应需要预先了解全部余额、支付或通道细节。

隐私注意事项

Watchtower 可提升安全性，但也可能带来隐私方面的考量。

Watchtower 可能知道某个客户端存在。

它可能根据客户端发送数据的频率了解大致更新频率。

如果其解密并广播正义交易，可能知道发生了违约。

若客户端不使用隐私工具直接连接，Watchtower 可能获知网络层信息。

LND 文档指出，客户端与 Watchtower 之间的通信使用临时密钥对加密和认证，可减少通过长期标识符进行跟踪。

这并不意味着隐私完美无缺。

节点运营者应仔细考虑使用哪些 Watchtower、如何连接，以及是否希望使用保护隐私的网络路由。

在独立基础设施上运行私有 Watchtower 可减少部分第三方隐私暴露。

使用多个 Watchtower 可提高可用性，但也可能使元数据分散到更多服务中。

隐私与可靠性需要取得平衡。

利他型 Watchtower

利他型 Watchtower 是不从收回的通道资金中获得奖励、但仍保护客户端的 Watchtower。

LND Watchtower 系统在历史上强调私有利他型 Watchtower。

LND 配置指南指出，其中讨论的 Watchtower 是利他型的，不会因服务节点而获得报酬或其他激励。

利他型 Watchtower 适用于自托管设置。

用户可以在独立机器、网络或地点运行 Watchtower，以保护自己的 Lightning 节点。

朋友或社区成员也可以相互监控，前提是他们信任服务的可靠性。

其弱点在于激励。

若 Watchtower 未获得奖励，可能缺乏持续在线、存储数据和可靠响应的经济动力。

这也是 Watchtower 激励设计仍是重要研究和实现议题的原因。

奖励型 Watchtower

奖励型 Watchtower 是可因成功保护客户端而获得报酬的 Watchtower。

Bitcoin Optech 指出，Lightning 违约补救交易可以设计为：当需要其服务时，Watchtower 获得部分受保护资金。

奖励设计可改善激励，因为 Watchtower 有理由提供可靠服务。

不过，奖励设计也会增加复杂性。

协议必须决定如何支付奖励。

必须避免赋予 Watchtower 过多控制权。

必须保护隐私。

必须防止滥用或虚假主张。

必须让客户端和 Watchtower 双方在经济上都值得参与。

奖励系统可以支持 Watchtower 服务市场，但必须谨慎设计，以避免产生新的信任假设。

私有 Watchtower

私有 Watchtower 由运行受保护 Lightning 节点的同一用户或组织运营。

其主要目标是冗余。

如果主 Lightning 节点离线，独立的 Watchtower 可能仍在线并监控 Bitcoin 区块链。

Lightning Labs 建议，Watchtower 理想情况下应与其保护的节点运行在不同的机器、网络和地点。

这有助于防范家庭网络中断、断电、硬件故障或本地网络问题等常见故障。

私有 Watchtower 比公共第三方服务给予用户更多控制权和更好的隐私。

但它也要求更高的运维技能。

用户必须保持 Watchtower 在线。

用户必须维护软件更新。

用户必须确保存储和连接可靠。

私有 Watchtower 只有在发生问题时比主节点更可用才有价值。

第三方 Watchtower

第三方 Watchtower 由其他个人、公司或服务提供商运营。

Core Lightning 文档将 Watchtower 描述为第三方服务：当节点离线时，它可保护节点免受违约影响。

第三方 Watchtower 对不希望维护额外基础设施的用户可能很有用。

如果由专业机构运营，它们也可能提供更高的在线率。

但用户必须评估可靠性、隐私、成本、可用性、实现兼容性和服务条款。

第三方 Watchtower 不应要求托管资金。

它不应要求助记词。

它不应要求钱包私钥。

用户还应警惕声称保护 Lightning 资金但要求提供敏感凭证的虚假 Watchtower 服务。

最佳的第三方 Watchtower 设计应提供监控，而不是成为受信任的托管方。

Watchtower 客户端和服务器

Watchtower 系统通常包括客户端和服务器。

客户端是希望获得保护的 Lightning 节点。

服务器是监控区块链并存储加密违约数据的 Watchtower。

在 LND 中，用户可通过配置分别启用 Watchtower 服务器和 Watchtower 客户端功能。

Lightning Labs 文档解释，两个节点可以互为 Watchtower，即同时以服务器和客户端模式运行。

这种相互设置可能适用于希望获得冗余的小型社区或节点运营者。

但相互监控仅在任一节点离线时另一节点确实在线且可靠的情况下才有效。

如果两台机器因相同原因失效，Watchtower 关系就没有价值。

良好的设置会隔离硬件、网络、地点和故障域。

LND Watchtower

LND 包含 Watchtower 功能，但必须主动启用。

官方LND Watchtower 设置文档说明如何通过 Watchtower 设置启用服务器模式，以及通过 Watchtower 客户端设置启用客户端模式。

LND Watchtower 很重要，因为 LND 是主要 Lightning 节点实现之一。

LND 文档将私有利他型 Watchtower 描述为第二道防线，用于在客户端节点离线或无法响应时应对违约场景。

运行 LND 的用户应了解 Watchtower 客户端支持是否处于活动状态。

他们还应了解自己是在运行 Watchtower 服务器，还是连接到其他 Watchtower。

配置错误可能造成虚假的安全感。

用户应验证 Watchtower 可访问、已同步且实际正在接收备份数据。

Watchtower 设置不仅仅是勾选一个选项。

它是 Lightning 节点运营安全的一部分。

Core Lightning Watchtower

Core Lightning 也通过插件和兼容的外部 Watchtower 系统支持与 Watchtower 相关的工作流程。

Core Lightning Watchtower 文档说明，Watchtower 可通过监控区块链并代表用户转发惩罚交易来保护节点免受违约影响。

Core Lightning 文档还提及可与符合 BOLT13 的 Watchtower 配合使用的 Watchtower 客户端插件。

这表明 Watchtower 支持不仅是 LND 的议题。

它是更广泛的 Lightning 基础设施议题。

不同 Lightning 实现处理 Watchtower 支持的方式可能不同。

节点运营者应遵循自身实现的文档。

在不了解兼容性的情况下，不应复制其他实现的设置。

Lightning 是多实现生态系统，因此实现特定的细节很重要。

BOLT13 与 Watchtower 标准

BOLT13 是与 Lightning Watchtower 通信相关的提议或社区开发规范领域。

BOLT13 Watchtower 草案描述了高级模型：客户端在每次新的通道更新时，向 Watchtower 发送加密惩罚交易和交易定位器。

Watchtower 标准旨在提高客户端与 Tower 之间的互操作性。

互操作性很重要，因为用户可能希望从多个 Watchtower 服务中进行选择。

Lightning 实现也可能希望在无需自定义一次性集成的情况下支持外部 Watchtower 系统。

不过，用户应了解 Lightning 规范和 Watchtower 实现仍在演进。

并非每个 Watchtower 都支持所有功能。

并非每个节点实现都支持相同的 Watchtower 工作流程。

并非每项提议标准都是最终标准或普遍标准。

对节点运营者而言，最安全的方法是使用与所运行软件版本对应的最新文档。

The Eye of Satoshi

The Eye of Satoshi 是一个开源 Lightning Watchtower 项目。

官方rust-teos 代码库将 The Eye of Satoshi 描述为一个符合 BOLT13 且使用 Rust 编写的 Lightning Watchtower。

它经常出现在有关第三方 Watchtower 基础设施的讨论中。

该项目展示了 Watchtower 如何构建为独立系统，而不只是内置在节点实现中。

开源 Watchtower 项目很重要，因为它们让开发者能够检查设计、测试互操作性并贡献改进。

但用户仍应评估部署、在线率、运营者声誉、隐私、兼容性和维护情况。

开源代码并不自动意味着 Watchtower 服务可靠。

Watchtower 必须实际运行、可访问、已同步，并能在发生违约时广播交易。

安全性取决于软件质量和运维可靠性。

Watchtower 可靠性

Watchtower 必须足够可靠，才能监控区块链并在违约窗口内行动。

若 Watchtower 漏掉违约，客户端仍可能损失资金。

可靠性取决于在线率、Bitcoin 节点访问、网络连接、存储、手续费处理、软件维护和正确配置。

Watchtower 应能够快速检测相关交易。

它应能够以足够手续费广播正义交易。

它应在客户端离线期间保持在线。

在受保护节点相同机器上运行 Watchtower 的用处较小，因为两者可能同时失效。

在独立基础设施上运行可提高容错能力。

使用多个 Watchtower 可能提高冗余性。

不过，更多 Watchtower 也意味着更多运维管理和潜在的元数据暴露。

Watchtower 手续费与经济模型

Watchtower 的经济模型很重要，因为监控存在成本。

Watchtower 可能需要存储、带宽、节点基础设施、维护、在线率、监控和交易手续费管理。

利他型 Watchtower 可以免费提供服务，但免费服务未必能永远扩展。

付费 Watchtower 可能根据设计收取订阅费、每通道费用或基于成功的奖励。

奖励型 Watchtower 可能仅在其成功应对违约时获得付款。

这在一定程度上使激励保持一致，但当违约罕见时，可能无法补偿 Watchtower 的日常监控。

订阅模式可以补偿日常监控，但会带来计费和信任方面的考量。

Watchtower 经济模型必须平衡用户成本、Tower 可靠性、隐私、激励和去中心化。

如果 Watchtower 服务过于中心化，用户可能依赖少数运营者。

如果激励过少，可靠服务可能难以维持。

Watchtower 的局限性

Watchtower 很有用，但并不完美。

如果从未收到所需违约数据，Watchtower 无法保护资金。

若 Watchtower 在违约窗口内离线，就无法响应。

Watchtower 无法防范所有 Lightning 风险。

它旨在应对已撤销状态违约，而非所有可能的路由故障、流动性问题、手续费飙升或用户失误。

Watchtower 无法解决助记词丢失问题。

Watchtower 无法从无关诈骗中追回资金。

Watchtower 无法保证用户节点配置正确。

某些 Watchtower 实现可能不覆盖每种输出类型或每项高级通道功能。

LND Watchtower 文档指出，其 Watchtower 系统对备份哪些输出存在实现特定的限制。

节点运营者应了解 Watchtower 能保护什么，以及不能保护什么。

Watchtower 与移动 Lightning

Watchtower 对移动 Lightning 用户尤其相关。

移动设备并非始终在线。

它们可能耗尽电量。

它们可能失去网络连接。

它们可能受操作系统后台限制影响。

它们可能无法持续维护完整的区块链监控。

这使移动 Lightning 通道安全性比基于服务器的节点运营更具挑战。

一些移动钱包采用不同设计来减轻用户的监控负担。

一些依赖服务提供商、通道管理服务或备份系统。

一些可能在后台使用类似 Watchtower 的保护。

用户应仔细阅读钱包文档，因为并非所有 Lightning 钱包都采用相同的托管、通道或 Watchtower 模型。

移动 Lightning 钱包可能很方便，但其安全假设可能不同于自行管理的节点。

Watchtower 与自托管

Watchtower 可通过帮助用户保持资金控制权，同时降低持续在线监控需求，来支持自托管。

自托管 Lightning 用户通常控制自己的密钥和通道。

这赋予用户更多控制权，但也带来责任。

用户必须保护密钥、维护备份、监控通道、管理流动性并保持软件更新。

Watchtower 可承担其中一部分责任。

它监控已撤销通道关闭，并在需要时广播防御性交易。

它不能替代良好的密钥安全。

它不能替代适用时的静态通道备份。

它不能替代谨慎的节点运营。

它只是更大自托管安全模型中的一层。

当用户理解每一层，而不是依靠一个工具解决所有问题时，自托管会更强大。

Watchtower 与通道备份

Watchtower 和通道备份解决的问题不同。

Watchtower 监控区块链上的已撤销承诺交易。

通道备份可根据钱包或节点设计，在设备故障或数据丢失后帮助用户恢复通道信息。

错误恢复旧通道状态可能很危险，因为这可能导致节点发布过时承诺数据。

这可能意外造成通道违约。

Watchtower 可能防范对手方违约，但不能完全替代正确备份。

运行 Lightning 节点的用户应了解其实现的备份模型。

他们应避免在不了解风险的情况下复制旧数据目录。

他们应遵循官方恢复流程。

Watchtower 保护和备份安全应视为互补措施。

二者都是负责任 Lightning 节点管理的一部分。

Lightning 之外的 Watchtower

Watchtower 概念可应用于 Lightning 之外。

Bitcoin Optech 指出，“Watchtower”一词也被用于监控 Vault 解锁交易的软件；若用户策略被违反，该软件可阻止未经授权的完成操作。

更广泛地说，Watchtower 可以指监控危险交易并自动作出响应的区块链监控服务。

在支付通道中，Watchtower 监控旧通道状态。

在 Vault 系统中，它可能监控可疑提现或解锁事件。

在智能合约安全中，类似监控系统可能关注异常协议行为、治理攻击、预言机异常或管理员密钥活动。

具体含义取决于协议。

在大多数加密货币术语表语境中，Watchtower 主要指 Lightning Network 安全机制。

不过，更广泛的理念很简单。

Watchtower 监控公开区块链活动，并在出现特定风险时触发防御性响应。

使用 Watchtower 的安全风险

Watchtower 可降低某些风险，但也会带来自身的风险考量。

虚假 Watchtower 服务可能试图窃取凭证。

运营不善的 Watchtower 可能漏掉违约。

中心化 Watchtower 提供商可能引发隐私问题。

配置错误的 Watchtower 客户端可能无法上传违约数据。

Watchtower 可能因网络或 Tor 配置问题而无法访问。

Tower 可能出现存储问题，导致无法保留数据。

正义交易在网络拥堵时可能需要充分的手续费处理。

用户可能误以为自己受到保护，而服务实际上未启用。

这些风险并不意味着 Watchtower 不好。

它们表明 Watchtower 设置必须经过验证。

节点运营者应测试配置、监控日志、确认 Tower 会话，并及时查阅实现文档。

Watchtower 隐私风险

Watchtower 的隐私风险主要来自元数据。

Tower 可能知道客户端何时连接。

它可能知道加密 Blob 的上传频率。

如果其作出响应，可能知道发生了通道违约。

若未使用隐私路由，它可能看到 IP 地址等网络层数据。

它可能根据客户端行为推断运维模式。

加密 Blob 设计可减少余额和交易细节暴露，但不能消除所有元数据。

重视隐私的用户可能更倾向于私有 Watchtower、Tor 连接、多个 Tower 或谨慎选择服务提供商。

但增加 Watchtower 也可能将元数据分散到更多地方。

没有完美答案。

Watchtower 隐私是在保护、冗余、便利和信息泄露之间取得平衡。

如何选择 Watchtower

用户首先应确认自己使用哪种 Lightning 实现。

不同实现可能支持不同的 Watchtower 工作流程。

用户应检查 Watchtower 是否与其节点兼容。

用户应检查 Tower 是否活跃、可访问且得到维护。

用户应检查它是利他型、付费型、私有型还是第三方。

用户应检查它是否支持所使用的通道功能。

用户应检查在需要时能否通过保护隐私的网络进行通信。

若为第三方 Tower，用户应检查运营者是否具有良好的可靠性记录。

用户应避免任何要求提供助记词或私钥的服务。

若管理有意义规模的 Lightning 流动性，用户应考虑在独立基础设施上运行私有 Tower。

合适的 Watchtower 选择取决于风险水平、技术能力、隐私需求和在线率要求。

Watchtower 用户最佳实践

用户应保持 Lightning 节点软件更新。

用户应仅按照自身实现的官方文档启用 Watchtower 客户端功能。

用户应验证 Watchtower 会话处于活动状态。

用户应为私有 Tower 使用可靠基础设施。

用户应避免仅在受保护节点相同设备上运行 Watchtower。

在可接受隐私取舍的情况下，用户可考虑使用多个 Watchtower 来实现冗余。

用户应将钱包助记词和私钥保护与 Watchtower 设置分开处理。

用户应监控日志和警报，以发现 Tower 连接失败。

用户应了解其 Lightning 实现的备份和恢复流程。

用户绝不应假设 Watchtower 可以防范所有 Lightning 或钱包风险。

Watchtower 是一道安全层，而不是完整的安全方案。

Watchtower 的优势

Watchtower 的第一项优势是离线保护。

当用户的 Lightning 节点离线时，它可帮助保护通道资金。

第二项优势是减轻运维负担。

若 Watchtower 保护已启用，用户无需始终亲自监控每个区块。

第三项优势是威慑。

如果攻击者知道 Watchtower 可能响应，就不太可能广播已撤销状态。

第四项优势是支持自托管。

Watchtower 可帮助用户在不依赖托管方的情况下保持资金控制权。

第五项优势是冗余。

独立基础设施上的私有 Watchtower 可防范本地故障。

第六项优势是兼顾隐私的监控。

加密 Blob 设计可限制 Watchtower 在违约发生前获知的信息。

第七项优势是生态系统安全。

可靠的 Watchtower 可使无法持续在线的用户使用 Lightning 通道时更安全。

Watchtower 的风险与局限性

第一项局限性是可用性。

在违约窗口内离线的 Watchtower 无法提供帮助。

第二项局限性是配置。

若客户端未正确连接，Watchtower 可能没有所需违约数据。

第三项局限性是实现覆盖范围。

一些 Watchtower 系统可能不支持每项通道功能或每种输出类型。

第四项局限性是隐私元数据。

Watchtower 可能获知连接模式或更新频率。

第五项局限性是手续费压力。

在高手续费环境下广播正义交易可能是重要的运维问题。

第六项局限性是对可靠性的信任。

尽管 Watchtower 不应控制资金，用户仍依赖它完成监控职责。

第七项局限性是适用范围。

Watchtower 仅防范特定通道违约场景，而非所有 Lightning、钱包或诈骗风险。

关于 Watchtower 的常见误解

一种误解是 Watchtower 持有用户资金。

设计正确的 Lightning Watchtower 无需托管用户资金。

另一种误解是 Watchtower 需要用户助记词。

合法 Watchtower 绝不应需要助记词或私钥。

第三种误解是 Watchtower 可以防止所有 Lightning 损失。

它主要在用户离线时防范已撤销通道状态违约。

第四种误解是 Watchtower 使备份不再必要。

备份和 Watchtower 解决的是不同问题。

第五种误解是所有 Watchtower 都相同。

不同实现、协议、服务和配置可能具有不同功能和局限。

第六种误解是使用一座 Watchtower 就能保证安全。

Watchtower 必须在线、可访问、兼容并正确配置才能发挥作用。

简单理解 Watchtower

Watchtower 就像 Lightning 通道的保安。

当你的 Lightning 节点可能离线时，它会监控 Bitcoin 区块链。

如果你的通道伙伴试图使用旧状态关闭通道，Watchtower 可以发布正义交易。

这笔正义交易会惩罚不当关闭，并帮助保护你的资金。

Watchtower 不应需要你的助记词。

Watchtower 不应持有你的币。

它只需要加密的违约数据和监控区块链的能力。

它适用于无法始终保持节点在线的自托管 Lightning 用户。

对新手而言，核心规则很简单。

Watchtower 可帮助保护 Lightning 通道免受旧状态作弊，但必须正确配置，且绝不应被视为节点安全的完整替代方案。

常见问题

加密货币中的 Watchtower 是什么？

Watchtower 是一种监控服务，通过监视 Bitcoin 区块链上的已撤销通道关闭交易来帮助保护 Lightning Network 通道。

Watchtower 的作用是什么？

它存储加密违约数据、监控区块链、检测可能的通道违约，并在需要时广播正义交易。

为什么 Lightning Network 需要 Watchtower？

Lightning 通道需要及时应对违约，Watchtower 可在用户自身节点离线或无法响应时帮助保护用户。

Watchtower 会持有我的 Bitcoin 吗？

不会。设计正确的 Lightning Watchtower 不持有用户资金，也不应需要托管。

Watchtower 需要我的助记词吗？

不需要。合法 Watchtower 绝不应要求提供助记词、私钥或钱包恢复短语。

什么是通道违约？

当 Lightning 通道参与者广播旧的、已撤销的承诺交易时，就会发生通道违约。

什么是正义交易？

正义交易是一笔回应已撤销通道状态并帮助惩罚违约方的惩罚交易。

Watchtower 能防止所有 Lightning 损失吗？

不能。Watchtower 主要防范已撤销状态违约，不能防范所有钱包、流动性、路由、备份或诈骗风险。

什么是利他型 Watchtower？

利他型 Watchtower 提供监控服务，但不会从收回的通道资金中获得奖励。

什么是奖励型 Watchtower？

奖励型 Watchtower 是一种设计：Tower 在成功响应违约后可能获得报酬。

我可以运行自己的 Watchtower 吗？

可以。一些 Lightning 实现允许用户在独立基础设施上运行私有 Watchtower。

Watchtower 应与我的节点运行在同一台机器上吗？

通常最好在独立机器、网络或地点运行私有 Watchtower，以便主节点发生故障时它仍能保持在线。

我可以使用多个 Watchtower 吗？

可以。使用多个 Watchtower 可提高冗余性，但也可能带来更多运维和隐私取舍。

Watchtower 会了解哪些信息？

采用加密 Blob 设计时，Watchtower 不应看到完整通道余额或正常支付细节，但可能获知更新频率和违约事件等元数据。

使用 Watchtower 的主要风险是什么？

主要风险是在违约窗口内依赖离线、配置错误、不兼容或不可靠的 Watchtower。

Watchtower 与区块链浏览器相同吗？

不同。区块链浏览器主要是查看工具，而 Watchtower 会主动监控违约并可广播防御性交易。

Watchtower 仅用于 Lightning 吗？

该术语最常用于 Lightning Network 安全，但类似的监控理念也可用于 Vault 和其他区块链防御系统。

如何知道我的 Watchtower 是否正常工作？

用户应遵循其 Lightning 实现的官方文档，检查活跃 Tower 会话、监控日志，并确认客户端正在正确上传违约数据。

结论

Watchtower 是 Bitcoin Lightning Network 的重要安全工具。

当 Lightning 节点离线、断开连接或无法自行监控 Bitcoin 区块链时，它可帮助保护支付通道资金。

其主要任务是在违约窗口关闭前检测已撤销通道状态并广播正义交易。

这使无法始终保持自身节点在线的用户使用 Lightning 时更安全。

设计正确的 Watchtower 不需要托管用户资金。

它不需要助记词。

它不需要钱包私钥。

它通过存储加密的违约补救数据运作，并且仅在链上出现匹配违约时使用这些数据。

Watchtower 可以是私有、第三方、利他型、奖励型、内置于 Lightning 节点软件，或通过外部 Watchtower 系统实现。

它们很有用，但并非万能。

它们必须在线、正确配置、与客户端兼容，并能够及时广播交易。

它们也不能替代良好备份、钱包安全、节点维护、流动性管理或诈骗防范意识。

Watchtower 的更广泛理念在 Lightning 之外也很重要，因为许多加密系统都需要自动监控和防御性响应。

简单来说，Watchtower 是区块链安全监控者。

对 Lightning 用户而言，它清晰说明了自托管如何在不放弃资金控制权的前提下，通过专门的安全基础设施得到改善。