緊急退出機制（Escape Hatch）

加密貨幣中的緊急退出機制是什麼？

緊急退出機制是一種備援機制，讓加密貨幣使用者、管理員或自動化系統在正常運作途徑無法使用或不安全時，復原資產或離開協議。此機制是為應對應用程式凍結、營運者無法使用、排序器審查交易、智能合約出現嚴重漏洞、治理失靈或服務長時間中斷等特殊狀況而設計。在智能合約中，緊急退出機制可能會在啟用緊急狀態或逾時後，允許使用者提領已存入的資產。在 Layer 2 系統中，緊急退出機制可能讓使用者證明資產所有權，並透過 Layer 1 合約提領資產，不必依賴一般 Layer 2 營運者。在錢包或託管安排中，此詞可能指透過備用金鑰、多重簽章、延遲交易或指定復原地址來復原資產的途徑。

Ethereum 的Layer 2 文件使用 escape hatch 一詞，描述一種可復原性：即使 Layer 2 系統故障，使用者仍可透過 Layer 1 合約提領資產。

這個詞並非指某一種通用的智能合約標準。其確切含義取決於相關協議、資產、授權模型、區塊鏈及故障情境。

加密貨幣協議為何需要緊急退出機制

加密貨幣應用程式可能長時間將資產存放在智能合約中。若一般提領功能仰賴故障的伺服器、無法使用的簽署者、失效的預言機、遭入侵的管理員或停止運作的排序器，使用者可能無法取回資產。不可變程式碼也可能使部署後的錯誤難以修正。緊急退出機制會在緊急狀況發生前預先建立復原途徑。此機制可確保使用者仍有方法離開系統，藉此維持活性。也可透過停止有漏洞的操作，同時讓使用者經由更安全的途徑提領，以保護資金。設計完善的機制可降低對團隊永遠有人提供支援之承諾的依賴。設計不良的機制可能變成強力後門，讓特權帳戶得以沒收或轉移使用者資產。因此，緊急退出機制的安全價值取決於誰能啟用、能執行哪些操作，以及使用者能否在鏈上驗證其規則。

緊急退出機制的常見意義

緊急退出機制可用來描述數種彼此相關、但各有不同的加密貨幣機制。緊急提領功能會在協議一般操作遭暫停時，讓使用者取回自己的資產。強制退出功能會在 Layer 2 營運者拒絕或無法處理要求時，讓使用者透過 Layer 1 橋接合約提領。逾時退款會在另一方未能於期限前完成操作時，退還遭鎖定的資金。復原金鑰可讓錢包持有人在遺失日常簽署金鑰後重新取得控制權。緊急升級可讓獲授權的治理方替換有漏洞的合約邏輯。關閉程序會有序結束協議，並依預先設定的規則分配剩餘資產。斷路器會在價格、餘額或交易量超出預期條件時，限制或暫停活動。這些機制都可能被稱為緊急退出機制，但各自具有不同的信任假設及安全影響。

智能合約緊急退出機制

智能合約緊急退出機制是指在協議處於異常狀態時可使用的一個或多個函式。合約可能會從正常運作切換至緊急、暫停、結算或僅允許提領的狀態。新增存款、借款、交易、鑄造或使用槓桿等高風險活動可能會遭停用。使用者仍可能獲准提領合約記錄為其所有的資產。合約應界定哪些餘額可提領，以及如何計算這些餘額。緊急途徑應避免依賴造成故障的同一個元件。例如，若預言機故障，而提領金額可在不使用預言機的情況下計算，預言機故障就不應阻止使用者提領資產。智能合約緊急退出機制無法解決所有情況，因為帳務錯誤或資產遭竊可能導致資金不足，無法全額提領。

Layer 2 緊急退出機制

Layer 2 緊急退出機制是在一般 Layer 2 處理失效時，透過底層結算層復原資產的方法。Layer 2 系統通常會使用營運者或排序器排列交易並提供快速確認。若營運者無法使用或審查特定使用者，通常的提領要求可能無法處理。完善的緊急退出機制會透過 Layer 1 橋接合約或結算合約提供替代途徑。使用者可直接向 Layer 1 提交交易、狀態證明、提領證明或強制納入請求。

Ethereum 的Rollup 可復原性指南說明，將交易資料發布至 Layer 1，可讓資產在 Layer 2 營運者消失時仍可復原。

當單一營運者能暫時控制交易排序時，緊急退出機制尤其重要。若沒有強制退出途徑，即使底層資產仍存在橋接合約中，使用者餘額仍可能遭到困住。

Layer 2 強制退出如何運作

強制退出通常始於使用者無法完成一般 Layer 2 提領。使用者取得證明帳戶餘額或所有權所需的狀態資訊。接著，使用者向 Layer 1 合約提交所需請求或證明。合約會依據已接受的 Layer 2 狀態承諾驗證證明。若證明與提領條件有效，合約便會授權相應的 Layer 1 資產撥付。部分系統會要求在提領完成前經過等待期或挑戰期。其他系統則使用有效性證明，讓合約以密碼學方式驗證已接受的狀態轉換。確切流程取決於 Layer 2 設計，也可能需要一般錢包介面未提供的專用軟體。若使用者在緊急狀況下無法取得必要資料或產生所需證明，理論上的緊急退出機制就不太實用。

資料可用性與緊急退出機制

資料可用性至關重要，因為使用者需要足夠資訊來重建餘額並證明提領有效。狀態承諾本身或許能顯示某種狀態存在，卻未必會揭露證明特定使用者倉位所需的資料。若必要交易與狀態資料能可靠地在 Layer 1 取得，獨立軟體就能重建 Layer 2 狀態。這使復原工作能在不依賴原營運者合作的情況下繼續進行。

Ethereum 強制退出指南提醒，若中心化排序器可阻止交易，且沒有 Layer 1 強制提領途徑，使用者就可能遭到困住。

將必要資料存放於其他位置的系統，可能會引入另一項可用性依賴。若外部資料來源消失，即使橋接合約仍有資金，使用者也可能無法建立有效退出證明。

緊急退出機制與一般提領的差異

一般提領屬於協議預期的日常運作流程。一般提領通常仰賴應用程式的標準合約、介面、營運者、帳務程序及訊息系統。緊急退出機制則是為異常情況設計的備援途徑。此途徑可能需要更長等待時間、額外證明、更高 Gas 費或不同的使用者介面。一般途徑可能結算較快，使用體驗也較簡單。緊急途徑則是在一般服務無法使用時，優先確保資產可復原。協議應說明這兩種途徑，讓使用者了解一般提領速度不一定能代表緊急復原所需時間。

緊急退出機制與暫停功能的差異

暫停功能會停止特定合約活動；緊急退出機制則提供離開系統的途徑。暫停可防止現有漏洞造成更多損失。若暫停功能阻止所有提領，也可能困住使用者，並使其依賴控制暫停功能的管理員。較安全的設計可能會暫停新增存款及高風險操作，同時保留有限的提領功能。應明確指出暫停權限的持有人，並透過完善的存取控制加以保護。協議也應界定如何解除暫停狀態，以及授權帳戶無法使用時該如何處理。只有暫停按鈕，卻沒有復原途徑，並不構成完整的緊急退出機制。

緊急退出機制與斷路器的差異

斷路器會在特定風險條件出現後，自動或手動限制活動。斷路器可能限制提領、停止借款、限制交易規模或停用特定市場。緊急退出機制則更著重於讓使用者或協議從故障中復原。這兩種機制可以搭配運作。斷路器可先停止不安全的活動，接著再由緊急提領流程協助使用者退出。門檻設定錯誤時，斷路器可能在一般市場波動期間啟動，或在真正發生緊急狀況時未能啟動。因此，應以真實事件及極端模擬情境測試自動化條件。

緊急退出機制與合約升級的差異

合約升級會變更應用程式使用的程式碼；緊急退出機制則可能讓使用者在應用程式尚未修復前先行提領。緊急升級可移除漏洞並恢復正常運作。但升級也會賦予控制升級機制的人重大權限。惡意或遭入侵的升級權限持有人，可能安裝轉移資金或修改提領規則的程式碼。若使用者不想信任提議的升級，緊急退出機制可提供替代途徑。設有時間延遲的升級可讓使用者檢視變更，並在升級生效前退出。

目前的智能合約存取控制指南說明，延遲執行可讓使用者有時間檢視維護操作，並在執行前離開系統。

使用者自主控制的緊急退出機制

使用者自主控制的緊急退出機制，讓每位使用者無須管理員核准即可取回符合條件的資產。此設計可降低對團隊、公司或治理組織持續提供服務的依賴。合約必須驗證呼叫者是否有權取得所要求的資產。證明可能依賴已儲存的餘額、密碼學承諾、簽章、Merkle 證明或已完成最終性的狀態資料。使用者不應能提領其他帳戶的餘額，也不應重複使用同一份證明。nonce、nullifier、提領紀錄或狀態更新可防止重複請領。若任何人都能提交交易，且結果僅取決於公開協議規則，使用者自主復原機制通常更為完善。

管理員控制的緊急退出機制

管理員控制的緊急退出機制會讓特權帳戶啟用緊急功能或轉移資產。若複雜事件需要判斷，這種方式可以快速應對。但它也可能帶來中心化沒收或審查風險。合約應將管理員權限限制在緊急狀況所需的最低範圍。例如，管理員或許可以暫停存款，但不能將使用者餘額轉至任意地址。可分別設定暫停、升級、提領協議自有資產及處理使用者請求的權限角色。權限變更及緊急操作應發出事件紀錄，讓監控系統能夠偵測。使用者應檢查實際鏈上權限，不應只依賴「管理員無法存取資金」之類的說法。

多重簽章緊急控制

多重簽章安排要求數個獲授權金鑰共同核准，才能執行緊急操作。這可降低單一金鑰遭竊後便能啟用緊急退出機制或轉移資產的風險。其安全效益取決於簽署者是否真正彼此獨立。若多把金鑰由同一人持有、存放在同一地點，或透過同一服務管理，就可能同時失效。簽章門檻應在緊急應變速度與防止串通或遭入侵之間取得平衡。系統應界定若過多簽署者遺失金鑰存取權，該如何處理。即使採用多重簽章設計，若簽署者未了解交易完整影響就核准惡意交易，仍可能遭受攻擊。

時間鎖與退出窗口

時間鎖會在敏感操作於鏈上公告後，延遲其執行時間。這段延遲可讓使用者、開發者、稽核人員及監控服務檢查提議的變更。不認同變更的使用者，可能可以在變更生效前提領。只有在提領仍可使用且有足夠時間完成時，退出窗口才有價值。若網路壅塞或大量使用者同時退出，過短的延遲可能失去作用。延遲過長則可能使緊急漏洞無法迅速修補。部分系統會為一般升級與緊急操作設置不同程序。緊急狀況下繞過時間鎖的權限，應視為重大特權並清楚揭露。

自動化緊急退出機制

自動化緊急退出機制會在符合預先設定的條件時啟動。可能的觸發條件包括錯過更新期限、營運者無法使用、挑戰期屆滿、價格資料源失效或帳務不平衡。自動啟動可降低對人工管理員是否察覺問題並採取行動的依賴。觸發條件必須能以合約可驗證的資料衡量。不可靠的預言機可能導致機制錯誤啟動，或阻止機制啟動。若啟動會帶來經濟利益，攻擊者也可能試圖操縱觸發條件。自動復原邏輯應界定事件結束後，系統如何恢復正常運作。

僅允許提領模式

僅允許提領模式會停用新的風險操作，同時允許使用者移出受支援的資產。系統可能會拒絕新增存款、貸款、交易、代幣發行或增加倉位。現有使用者可依照剩餘帳務規則降低曝險或提領。此模式可支援有序關閉，或爭取時間調查漏洞。協議必須決定如何處理未償還貸款、槓桿倉位、待處理交易、未結算費用，以及無法正常轉移的資產。若協議已資不抵債，僅允許提領的狀態並不能保證資產全數復原。使用者應了解提領是按比例、依請求順序，或按照其他分配規則處理。

以使用者請領為基礎的緊急提領

以使用者請領為基礎的設計會記錄每位使用者可請領的金額，並要求使用者另外提交提領交易。這可避免在單筆大型交易中向所有使用者轉移資產。也可避免某位收款者轉帳失敗，導致其他人的付款受阻。

Solidity 的提款模式指南建議在外部轉帳前更新使用者待領餘額。

合約應在呼叫收款者前將金額標記為已請領，以降低重入風險。使用者必須有足夠的區塊鏈原生幣，支付請領資產所需的交易手續費。若使用者無法使用一般應用程式介面，協議可能需要提供受支援的替代方式。

代幣處理風險

緊急退出機制必須處理每種受支援代幣的實際運作方式。部分代幣會收取轉帳費用、自動變動餘額、封鎖特定地址、暫停轉帳，或在合約呼叫時回傳特殊值。即使緊急退出邏輯正確，代幣發行方仍可能凍結託管合約或復原合約。Rebase 代幣可在沒有直接轉帳的情況下變動合約餘額。具有轉帳回呼功能的代幣可能在提領期間執行外部程式碼。合約應謹慎衡量資產，並避免假設每種代幣都採用簡單的固定餘額模式。緊急測試應涵蓋特殊代幣行為及轉帳失敗的情況。

重入與外部呼叫

若緊急提領函式在更新使用者記錄的請領金額前就轉移資產，便可能遭受重入攻擊。惡意收款合約可能在第一次轉帳期間再次呼叫提領函式。協議應在進行外部呼叫前更新內部帳務。也可使用重入防護機制，並限制提領函式的權限範圍。

Solidity 安全文件說明，外部呼叫可能將控制權交給另一個合約，因此必須謹慎處理。

緊急退出機制不應在試圖處理既有漏洞時，又引入新的漏洞。

價格預言機與緊急結算

借貸或衍生品協議可能需要資產價格，才能計算每位使用者的最終請領額。若價格預言機正是故障元件，採用其最新回報價格可能導致結算不公平或不安全。緊急退出機制可能採用延遲價格、獨立參考程序、治理核准的結算價格，或預先設定的備援規則。每種替代方式都會在操縱、延遲及裁量權方面帶來取捨。協議應在事件發生前定義緊急估值方式。損失已顯現後才修改規則，可能使某一群使用者受益，卻損害另一群使用者的權益。

資不抵債與按比例復原

緊急退出機制無法分配超出系統控制範圍的資產。若資產遭竊、遺失、凍結或用於彌補壞帳，協議可能已資不抵債。依先到先得方式處理提領，可能讓較早提領的使用者取得全額，而較晚的使用者一無所獲。按比例結算則可依照已記錄的請領金額分配剩餘資產。採用此方式可能需要先停止一般提領，再計算餘額。請領金額有爭議或資產價值變動，都可能使計算更加困難。使用者應區分「技術上可提領」與「保證全額償還」的緊急退出機制。

治理與緊急退出機制

治理機制可能負責決定何時啟動緊急模式、如何選定結算規則，以及何時恢復正常運作。代幣投票可擴大參與範圍，但在漏洞攻擊期間可能反應太慢。委派委員會或多重簽章團體的反應較快，但會形成更強的信任假設。治理攻擊者可能試圖為自身利益啟動緊急退出機制。借入或暫時取得投票權，也可能影響設計不良的緊急提案。重要治理變更可能需要法定投票門檻、投票延遲、執行時間鎖及明確的權限限制。緊急治理應與一般智能合約函式同樣嚴格地進行測試。

安全性與活性的取捨

安全性是指防止無效或未經授權的資產轉移。活性是指確保合法使用者最終能完成提領等操作。限制過多的緊急退出機制可能防止盜竊，卻讓資金無限期遭鎖定。限制過少的緊急退出機制可能方便快速提領，卻讓詐欺性請領有機可乘。完善的設計會透過證明、延遲、有限權限、監控及備援程序，平衡這些目標。合適的平衡取決於持有資產價值、協議複雜度、預期故障模式，以及使用者能否獨立產生證明。

測試緊急退出機制

在資金依賴緊急退出機制前，應先進行測試。開發者應模擬營運者故障、預言機故障、簽署者無法使用、合約暫停、網路壅塞、代幣轉帳失敗及部分資不抵債等情況。測試應確認未授權帳戶無法啟用機制，也無法提領其他使用者的資產。測試也應確認合法使用者無須隱藏的鏈下核准即可完成復原。大型系統可透過測試網或有限價值部署進行公開演練。即使復原軟體很少使用，也應持續維護。文件、證明產生工具、合約地址及交易指示應保存於多個位置。若一般開發及支援系統無法使用，未經測試的緊急機制可能恰好在最需要時失效。

使用者如何評估緊急退出機制

第一步是確認此機制旨在處理哪些確切故障情境。第二步是了解使用者能否自行啟用，或是否需要管理員核准。第三步是檢查哪些資產可提領，以及如何計算請領金額。第四步是確認此機制是否依賴排序器、預言機、網站、伺服器、簽署者團體或外部資料提供者。第五步是檢視時間鎖、等待期、證明要求、交易手續費及提領限額。第六步是在鏈上確認管理員、暫停、升級及資產轉移權限。第七步是確認是否有足夠資料及開放原始碼軟體，供使用者獨立復原。第八步是確認此機制是否經過稽核，並在實際故障演練中進行測試。第九步是了解協議資不抵債或合約資產不足時會如何處理。第十步是在緊急狀況導致一般介面無法使用前，先保存官方合約地址及復原指示。

緊急退出機制範例

假設使用者將代幣存入 Layer 2 橋接合約，並在較高速的執行網路上取得相應餘額。一般排序器會處理轉帳及提領要求。之後，排序器長時間停止處理交易。使用者無法透過一般介面提交提領，但交易資料及已接受的狀態承諾仍可在 Layer 1 取得。使用者執行獨立復原軟體，並建立證明其最新有效餘額的證明資料。使用者將證明提交給 Layer 1 橋接合約。合約驗證證明，並記錄退出要求。經過所需等待期或驗證期後，使用者便可請領相應的 Layer 1 代幣。最終撥付資產不需要營運者合作。這條復原途徑稱為緊急退出機制，因為當一般 Layer 2 路徑失效時，使用者仍可離開系統。

緊急退出機制常見錯誤

常見錯誤之一，是以為所有暫停功能都允許使用者提領。另一個錯誤是把由管理員控制的轉帳函式稱為無須許可的緊急退出機制。第三個錯誤是以為 Layer 2 退出不需要狀態資料或證明產生軟體。第四個錯誤是讓單一熱錢包擁有無限緊急權限。第五個錯誤是允許管理員繞過時間鎖，卻未明確揭露此權限。第六個錯誤是未以非標準代幣及惡意收款合約測試緊急退出機制。第七個錯誤是在協議資不抵債時採用先到先得的提領流程，卻未說明其影響。第八個錯誤是以為稽核可保證緊急機制在所有故障條件下正常運作。第九個錯誤是等到事件發生後才尋找正確的合約地址及操作指示。第十個錯誤是以為技術上能提領，就能在資產已遺失後保證全額復原。

常見問題

加密貨幣中的緊急退出機制是什麼意思？

緊急退出機制是一種備援機制，可在加密貨幣系統的一般運作途徑失效時，協助復原或提領資產。

緊急退出機制與緊急提領相同嗎？

緊急提領是緊急退出機制的一種類型；此詞也可指強制 Layer 2 退出、逾時退款、復原金鑰或緊急結算系統。

什麼是 Layer 2 緊急退出機制？

這是一種復原途徑，可在一般 Layer 2 營運者或排序器無法使用或審查交易時，讓使用者透過 Layer 1 合約提領。

資料可用性為何重要？

使用者需要足夠的狀態及交易資料，才能證明餘額並建立有效的復原提領。

暫停功能算是緊急退出機制嗎？

只有在暫停功能結合可靠方法，讓使用者復原或提領符合條件的資產時，才算是緊急退出機制。

緊急退出機制能防止所有損失嗎？

不能。若資產已遭竊、凍結、銷毀或因資不抵債而損失，此機制無法全額償還使用者。

誰可以啟用緊急退出機制？

啟用權可能由個別使用者、智能合約條件、治理組織、多重簽章團體、管理員，或上述方式的組合控制。

緊急退出機制可能成為後門嗎？

可能。權限過大或保護不當的機制，可能讓特權帳戶沒收資金、變更規則或繞過一般安全控制。

什麼是強制提領？

強制提領讓使用者可透過底層合約提交復原請求，不必依賴一般營運者將交易納入區塊。

緊急退出機制需要時間鎖嗎？

不一定，但時間鎖可讓使用者有機會檢視敏感變更，並在變更生效前退出。

使用者能透過一般錢包啟用 Layer 2 緊急退出機制嗎？

部分系統支援簡單交易，其他系統則需要專用證明、資料或復原軟體。

緊急退出機制能保證立即提領嗎？

不能。緊急復原可能需要挑戰期、排隊、產生證明、支付 Gas 費或人工結算步驟。

預言機可以控制緊急退出機制嗎？

預言機可以提供觸發條件或結算價值，但也會帶來資料不正確或無法取得而造成錯誤結果的風險。

協議資不抵債時會發生什麼事？

緊急退出機制只能分配剩餘資產，因此系統可能需要按比例結算或採取其他損失分配程序。

使用者如何驗證緊急退出機制？

使用者應檢查合約、啟用權限、提領邏輯、時間鎖、資料需求、證明工具、升級權限及獨立安全審查。

治理組織可以停用緊急退出機制嗎？

若合約可升級，治理組織可能可以變更或停用此機制，因此使用者必須檢查實際治理及升級權限。

稽核能證明緊急退出機制一定有效嗎？

不能。稽核可找出部分風險，但無法保證機制在所有技術、經濟或治理故障中都能正確運作。

什麼是僅允許提領模式？

僅允許提領模式會阻止新的風險操作，同時允許符合條件的使用者將資產移出協議。

緊急退出機制應使用多重簽章錢包嗎？

多重簽章安排可降低單一金鑰風險，但其效益取決於簽署者是否獨立、門檻設計、金鑰安全及權限是否透明受限。

緊急退出機制的主要目的為何？

主要目的是在加密貨幣系統無法安全或可靠地處理使用者退出時，保留可信的復原途徑。

結論

緊急退出機制是一種加密貨幣復原機制，旨在一般協議操作無法使用或不安全時保護使用者。形式可能包括緊急提領、強制 Layer 2 退出、逾時退款、復原金鑰、僅允許提領模式或緊急結算程序。完善的緊急退出機制可維持活性，同時避免單一特權帳戶對使用者資產擁有不受限制的控制權。Layer 2 緊急退出機制高度依賴可靠的資料可用性、有效的狀態承諾、可使用的證明工具及正常運作的 Layer 1 橋接合約。智能合約緊急退出機制需要安全的帳務、妥善的存取控制、安全的外部呼叫、重放防護，以及對特殊代幣行為的支援。時間鎖、多重簽章授權、權限角色分離、公開事件紀錄及有限的緊急權限，可降低特權控制所帶來的風險。若資產已遭竊，或協議資不抵債，緊急退出機制無法取代已損失的資產，也無法保證全額償還。使用者應確認誰能啟用此機制、可提領哪些資產、還有哪些依賴，以及是否不靠原營運者也能復原。開發者應在逼真的故障情境下測試緊急途徑，而非將其視為不會使用的備援程式碼。了解緊急退出機制，可協助加密貨幣使用者分辨真正無須許可的可復原性，與暫停按鈕、管理員承諾或緊急後門之間的差異。