核心要点

Anduin 系统根据共享的支付历史对服务商进行排名。测试显示，操纵排名的成本大幅上升了约 23 倍。为了欺骗 813 名买家需要花费 8,259 美元，而欺骗其中一名买家仅需 291 美元。目前该系统仍处于实验阶段，且未涉及服务质量评估。

Anduin：将支付转化为价格门槛的实验性排名系统

在一篇发布于 11 月 13 日的研究文章中，Circle 介绍了 Anduin，这是一个实验性的排名系统。该系统通过考察买家已向其付款的服务商，以及这些付款人是否与当前买家的行为重叠，来为服务商评分。其设计目标狭窄且具体：迫使任何试图伪造服务商人气的人，必须向非自己拥有的企业投入资金。

制造虚假客户的成本几乎为零

“女巫攻击”（Sybil attack）是指一名操作者伪装成多个参与者。在代理市场中，这意味着创建多个买家钱包，并从每个钱包向自己的服务付款，从而使从未服务过真实客户的店铺看起来门庭若市。虽然链上转账是真实的，但资金并未离开操作者的控制范围；网络手续费是唯一实际消耗的成本。

随附的研究论文量化了这一低成本：在当前的基于使用量的指标下，将虚假服务商的声誉提升至市场平均水平仅需约 0.0027 美元。评论并非备用方案。在研究人员审查的 6,600 万笔支付中，少于 4,000 笔带有自愿的链上评级。

这些支付通过 x402 标准进行，该标准允许服务在 HTTP 402 响应中返回价格，并让软件在请求内部结算，无需账户或结账步骤。这使得代理到服务的购买成为可能，同时也使得伪造繁忙的 storefront 变得轻而易举。

Anduin 如何将支付转化为价格

研究人员将每位买家和每家服务商建模为图中的节点，将支付作为连接它们的链接，并根据支付金额、频率和时间进行加权。标准的推荐算法（协同过滤）通过分析这种图结构，寻找与你相似的买家并推荐他们购买的内容。但它无法区分真正的客户群与由卖家资助的钱包集群，两者在数据表现上都如同需求。

Anduin 以不同的方式解读同一张图。它从买家已经付款的服务商开始，将这些视为买家的信任锚点。假设一个代理经常向一家翻译服务付费。其他买家也向该翻译公司付费，其中一些人还向该代理从未使用过的数据提供商付费。数据提供商通过这条路径获得推荐，而推荐的强度受到流经该路径的真实资金的限制。

这种限制正是关键所在。攻击者控制的钱包之间的支付不会触及买家的信任提供商，因此对路径没有任何贡献。要制造连接，攻击者必须向一家不属于自己的翻译公司付款，且无法收回这笔资金。论文通过三种基于流量的评分变体对此进行了形式化证明，并为每种变体设定了攻击者支出的下限；Circle 强调的一种称为“放大流”（Amplified Flow）。随之而来的问题是，在真实数据中，这个下限究竟有多大。

欺骗所有人的成本为 8,259 美元，欺骗关键买家仅需 291 美元

研究人员选取了截至 6 月 21 日为期 90 天的 x402 支付窗口，发现了 813 名随后向此前未使用过的服务商付款的买家。每种方法都被要求提前为这些买家对服务商进行排名；如果买家最终选择的服务商排名第一，则计为命中。攻击测试随后询问，外部人员需要花费多少资金才能将新的服务商置于首位。

该研究的完整数据集包含 6,610 万笔支付，总价值约 610 万美元，涵盖 16 个网络，收集时间介于 3 月 23 日至 8 月 26 日之间。

来源：Circle Research, Anduin 论文。成本为建模的攻击者支出，包含网络费用，而非记录的实际损失。

查看第一行可以清楚地看到权衡取舍：Anduin 牺牲了 0.4 个百分点的预测准确率，使攻击成本提高了约 23 倍。查看第二列，情况则不那么乐观。同时为所有买家占据榜首需要数千美元，而为单个高价值买家占据榜首只需几百美元。对于不诚实的卖家来说，第二个数字才是关键，因为选择一个精心挑选的买家是更现实的目标。

291 美元是否能起到威慑作用，取决于该买家对攻击者的价值，而论文并未估算这一侧的收益。其数据仅是移动排名的成本，并未说明虚假服务商在达到目标后能提取多少收入。因此，威慑力是一个条件而非结果：当回报低于成本时，该方案有效，而 Circle 的数据尚无法展示这条界线在哪里。

价格约束的局限性

这一下限基于一个假设：支付给买家现有提供商的资金一去不复返。Circle 指出，合谋的服务商或悄悄退款给攻击者的服务商不在 Anduin 的保证范围内。如果上述例子中的翻译公司愿意截留部分款项并将剩余部分退回，攻击者的实际成本将缩减至手续费，排名的购买难度便与之前无异。Anduin 假设攻击者不控制买家已使用的任何提供商；在一个开放市场中，这是一个需要验证的条件，而非既定事实。

第二个漏洞在于“空图”。没有支付历史的买家没有信任锚点，因此没有路径可遵循，也无法进行排名。Circle 指出以经过筛选的白名单作为起点，而论文本身也指出，一旦服务数量超过人工审核的能力，注册表的扩展性较差。新提供商面临镜像问题：在网络中直到有买家向其付款之前，没有任何路径可以让它们出现在任何人的个性化排名中。

排名不等于评价

即使在假设范围内，实验衡量的内容也比“可信度”更为狭窄。当排名第一的服务商是买家随后付款的那家时，该方法就被评为正确。这是对排名是否与购买行为相匹配的测试，而买家 routinely 会为错误的数据、不可用的翻译和从未送达的报告付款。所有这些支付仍会被计为命中。

“以前付过款”不等于“独立审查”，且强劲的 Anduin 分数既不能验证服务商背后的身份，也不能验证其交付的结果。Coindoo 此前描述的“钱包流入与客户收入”之间的差距同样适用于此：链式记录精确的转账，但对其商业含义保持开放。

在实践中，这使得基于支付的声誉与其他两种控制措施并列，而非凌驾于其上。支出权限限制了代理可能支付的金额。像 Anduin 这样的排名缩小了其应关注的范围。检查交付结果是唯一能回答购买是否完成其工作的步骤，而一个更难被操纵的图并不能移除这一步骤。

如何将实验转化为保护机制

Circle 将 Anduin 标记为研究项目，而非发布的服务，改变这一现状的证据需要具体明确。部署需要展示在以下情况下排名如何保持稳定：提供商的推荐已被操纵、新买家如何度过白名单阶段、信任的提供商被发现存在合谋行为，以及高排名提供商是否交付了代理真正接受的工作成果。

8,259 美元这个数字很好地回答了一个问题：伪造人气需要多少成本。更艰难的问题始于人气变为真实之后。