💻 computer science

Resilient Alerting Protocols for Blockchains

Dieses Paper formalisiert das kryptowirtschaftliche „Alerting-Problem“ für Blockchains und zeigt auf, dass rationale Teilnehmer durch drei unterschiedliche Protokolle dazu motiviert werden können, Bestechungsangriffen zu widerstehen, welche eine asymptotisch optimale quadratische Bestechungsresistenz erreichen und dabei verschiedene Kompromisse zwischen Netzwerkannahmen, Speicher-Overhead und Ausführungszeit bieten.

Ursprüngliche Autoren: Marwa Mouallem, Lorenz Breidenbach, Ittay Eyal, Ari Juels

Veröffentlicht 2026-07-15

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Marwa Mouallem, Lorenz Breidenbach, Ittay Eyal, Ari Juels

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine Welt vor, in der digitales Geld und Verträge auf einem riesigen, unveränderlichen öffentlichen Kontobuch namens Blockchain leben. Denken Sie an ein supergesichertes, gemeinsames Tagebuch, das jeder lesen, aber niemand löschen kann. In diesem Tagebuch leben „Smart Contracts“ – winzige, automatische Roboter, die Milliarden von Dollar an Wert halten. Diese Roboter sind unglaublich intelligent, haben aber einen blinden Fleck: Sie können nicht sehen, was außerhalb ihrer digitalen Mauern passiert. Um dies zu beheben, verlassen sie sich auf ein Team von menschlich wirkenden Boten namens „Alerter“. Diese Boten beobachten die reale Welt nach Ereignissen wie Börsenabstürzen oder Wahlergebnissen und rufen eine Warnung an die Roboter, wenn etwas schiefgeht. Wenn die Roboter die Warnung nicht rechtzeitig erhalten, könnten sie einen schrecklichen Fehler begehen und das Geld aller verlieren. Die große Frage ist: Was passiert, wenn ein Bösewicht versucht, die Boten zu bestechen, damit sie schweigen? Dieses Paper taucht in die Mathematik der Bestechung ein und fragt, wie viel Geld ein Schurke ausgeben müsste, um ein ganzes Team von Boten zum Schweigen zu bringen und zu verhindern, dass eine Warnung jemals gehört wird.

Die Autoren dieses Papers, Marwa Mouellem, Lorenz Breidenbach, Ittay Eyal und Ari Juels, packen ein beängstigendes Problem an: In vielen aktuellen Systemen ist es überraschend günstig für einen Bösewicht, alle Boten zur Stille zu bestechen. Wenn es 100 Boten gibt, muss ein Schurke vielleicht nur 100 kleine Bestechungsgelder zahlen, um den Alarm zu stoppen. Die Forscher erkannten, dass dies eine riesige Schwachstelle ist. Sie setzten sich zum Ziel, ein neues Regelwerk zu entwerfen – eigentlich ein Spiel –, bei dem das Verstummen des Teams astronomisch teuer wird.

Sie entdeckten eine mathematische „Obergrenze“ dafür, wie schwer es ist, ein Team zu bestechen. Sie bewiesen, dass die Kosten, um ein Team zu bestechen, egal wie clever die Regeln sind, niemals mehr als ein „quadratischer“ Betrag sein können, was bedeutet, dass sie wie $n$ zum Quadrat (oder $n \times n$ ) wachsen. Für ein Team von 100 Personen ist das 10.000 Mal schwieriger zu bestechen als auf die alte Weise! Das Paper zeigt, dass einfache Systeme nur eine „lineare“ Verteidigung bieten (wo die Kosten wie $n$ wachsen), man aber tatsächlich Systeme bauen kann, die diese $n^2$ -Obergrenze erreichen.

Um dies zu beweisen, erfanden das Team drei verschiedene Arten, das Spiel zu führen, jede mit ihrem eigenen Charakter und ihren eigenen Kompromissen.

Zuerst stellten sie sich ein „Lockstep“-Protokoll vor. Stellen Sie sich eine Gruppe von Freunden vor, die in einem Kreis steht und alle im exakt gleichen Moment die Hände heben. In dieser Welt ist die Zeit perfekt und vorhersehbar. Alle entscheiden, ob sie eine Warnung ausrufen oder schweigen, im exakt gleichen Moment, ohne zu wissen, was die anderen tun. Da sie gleichzeitig handeln, kann ein Bösewicht nicht abwarten, wer schwach ist, und diese Person zuerst bestechen. Diese Methode ist super schnell (sie geschieht in einem Augenblick), erfordert aber eine sehr strikte, fast magische Regel, dass alle Nachrichten zur exakt gleichen Zeit ankommen.

Zweitens entwickelten sie ein „Trusted Hardware“-Protokoll für den Fall, dass die Zeit nicht perfekt ist. Stellen Sie sich vor, die Boten tragen spezielle, unzerbrechliche Smartwatches. Sie schreiben ihre Entscheidung (schreien oder schweigen) in die Uhr und schließen sie in einen digitalen Tresor ein. Die Uhr ist so programmiert, dass der Schlüssel zum Öffnen des Tresors erst erscheint, nachdem eine bestimmte Anzahl von Blöcken der Zeit auf der Blockchain vergangen ist. Dies verhindert, dass der Bösewicht frühzeitig in die Entscheidungen hineinspioniert. Es ist etwas komplexer und erfordert, dass alle diese spezielle Hardware verwenden, aber es funktioniert selbst dann, wenn das Internet etwas langsam oder chaotisch ist.

Drittens entwarfen sie ein „Sequential“-Protokoll, das wie ein Spiel „Heißer Kartoffel“ oder ein Staffellauf ist. Anstatt alle gleichzeitig zu handeln, sind die Boten nacheinander an der Reihe. Die erste Person in der Schlange entscheidet, dann die zweite, und so weiter. Wenn die erste Person schreit, stoppt das Spiel sofort, und die restlichen Personen müssen gar nicht erst entscheiden. Dies ist großartig, weil es viel digitalen Speicherplatz spart (die Blockchain muss nicht die Entscheidung aller aufzeichnen, wenn die erste Person das Problem bereits gelöst hat). Es dauert jedoch länger, um fertig zu werden, besonders wenn die ersten paar Leute beschließen, zu schweigen.

Die große Erkenntnis des Papers ist, dass alle drei Methoden „asymptotisch optimal“ sind. Das ist eine schicke Art zu sagen, dass sie alle die perfekte $n^2$ -Verteidigungsgrenze erreichen. Ob Sie sich für den schnellen, aber starren Lockstep, die hardwareintensive Trusted-Methode oder den langsamen, aber effizienten Sequential-Lauf entscheiden – Sie können es so teuer machen, das Team zu bestechen, dass ein Bösewicht es sich schlichtweg nicht leisten kann. Die Autoren haben das nicht nur geraten; sie haben die Spieltheorie (die Mathematik der Strategie) genutzt, um zu beweisen, dass ein rational handelnder Bösewicht in diesen Szenarien Geld verlieren würde, wenn er versuchen würde, alle zu bestechen, sodass er einfach aufgibt.

Kurz gesagt: Dieses Paper nimmt eine beängstigende Schwachstelle in unserer digitalen Finanzwelt und zeigt uns genau, wie wir einen Schild bauen können, der Bestechung zu einem Verlustgeschäft macht. Es beweist, dass wir mit den richtigen Regeln Milliarden von Dollar schützen können, indem wir den Preis des Schweigens zu hoch für jeden zahlbar machen.

Technisches Resümee: Resiliente Alarmierungsprotokolle für Blockchains

1. Problemstellung

Smart Contracts auf Blockchains sichern über 170 Milliarden US-Dollar an Werten und verlassen sich zunehmend auf zeitnahe Alarme bezüglich externer Ereignisse (z. B. Änderungen der Asset-Preise, Ergebnisse externer Berechnungen). Bestehende Alarmierungsmechanismen sind anfällig für bestechungsbasierte Unterdrückungsangriffe, bei denen ein Angreifer Teilnehmer dafür bezahlt, zu schweigen. Vorherige Arbeiten haben Anreize für das Auslösen von Alarmen analysiert, jedoch nicht die Ökonomie ihrer Unterdrückung modelliert.

Die zentrale Herausforderung ist das Alarmierungsproblem: Protokolle zu entwerfen, die $n$ rationale Knoten dazu anregen, zeitnahe Alarme auszulösen, selbst wenn ein Angreifer Bestechungsgelder anbietet, um von der Abweichung abzuweichen. Das Ziel ist es, die Bestechungsresistenz zu maximieren – den Gesamtbetrag, den ein Angreifer zahlen muss, um erfolgreich die Veröffentlichung eines Alarms auf der Chain zu verhindern.

2. Methodik und Modell

Die Autoren formalisieren das Problem als ein kryptökonomisches Spiel bestehend aus:

Teilnehmern: Eine Menge von $n$ rationalen Knoten, ein Protokollbetreiber und ein rationaler Angreifer.
Mechanismen: Knoten hinterlegen Token als Sicherheit. Ein Smart Contract ($AlertingContract$) erzwingt eine Strafe $\lambda$ für Knoten, die versäumen zu alarmieren, wenn die Bedingungen erfüllt sind. Der Betreiber finanziert den Vertrag mit einem konstanten Budget $c$ .
Angreifer: Kann private Bestechungsgelder $\beta_i$ an Knoten anbieten, um diese am Alarmieren zu hindern. Der Angreifer erzielt einen Gewinn $G$ , falls kein Alarm veröffentlicht wird.
Annahmen: Die Studie betrachtet Protokolle, bei denen der Einsatz/die Strafe pro Knoten konstant ist (unabhängig von $n$ ) und das Betreiberbudget konstant bleibt.

Das Paper analysiert drei verschiedene Protokolldesigns, um deren Gleichgewichtsergebnisse und Bestechungsresistenz zu bestimmen:

Burned-Penalty Protocol: Ein Basisszenario, bei dem Nicht-Alarmierende abgestraft werden und die Strafe verbrannt wird (nicht umverteilt).
Simultaneous Alerting Game: Ein theoretisches Spiel, bei dem alle Knoten gleichzeitig agieren, ohne die Aktionen anderer zu beobachten.
Sequential Alerting Protocol: Ein Mechanismus, bei dem Knoten in einer bestimmten Reihenfolge agieren und vorangegangene Aktionen beobachten.

3. Zentrale Beiträge und Ergebnisse

A. Theoretische obere Schranke der Bestechungsresistenz

Das Paper etabliert eine fundamentale Grenze für die Bestechungsresistenz für jedes $(c, \lambda)$ -Alarmierungsprotokoll.

Ergebnis: Die maximale Bestechungsresistenz beträgt $\Theta(n^2)$ .
Begründung: In jedem Protokoll mit konstanten Strafen ist die maximale Belohnung, die ein alarmierender Knoten erhalten kann, begrenzt durch die Summe der Strafen aller anderen $n-1$ Knoten plus das Budget des Betreibers ( $\lambda(n-1) + c$ ). Um alle $n$ Knoten zu bestechen, damit diese schweigen, muss der Angreifer jedem Knoten etwas mehr als diese maximale potenzielle Belohnung anbieten. Somit liegen die Gesamtkosten bei etwa $n \times \lambda n = \Theta(n^2)$ .
Versagen des Basisszenarios: Ein einfaches Protokoll (z. B. die Aufteilung einer festen Belohnung $c$ unter die Alarmierenden) erreicht nur eine Resistenz von $\Theta(n)$ , was es einem Angreifer ermöglicht, Alarme in großem Maßstab wirtschaftlich effizient zu unterdrücken.

B. Das simultane Alarmierungsspiel

Die Autoren entwerfen ein Spiel, bei dem Knoten gleichzeitig entscheiden, nachdem sie Bestechungsangebote beobachtet haben.

Gleichgewichtsanalyse:
- Wenn die Bestechung $\beta_i \ge \lambda(n-1)$ ist, ist "NoAlert" eine dominante Strategie.
- Wenn die Bestechung $\beta_i \le \lambda$ ist, ist "Alert" eine dominante Strategie.
- Im mittleren Bereich ( $\lambda < \beta_i < \lambda(n-1)$ ) existiert kein symmetrisches reines-Strategie-Nash-Gleichgewicht.
Mixed-Strategy-Ergebnis: In jedem Mixed-Strategy-Gleichgewicht innerhalb dieses Bereichs ist der erwartete Nutzen des Angreifers nicht-positiv, wenn sein Gewinn $G < \lambda n(n-1)$ ist.
Fazit: Das simultane Spiel erreicht eine Bestechungsresistenz von $\Theta(n^2)$ und entspricht damit asymptotisch der theoretischen oberen Schranke.

C. Protokoll-Implementierungen

Das Paper präsentiert drei Protokoll-Implementierungen mit unterschiedlichen Trade-offs:

1. Lockstep Alerting Protocol

Annahme: Strenge Netzwerk-Synchronität (Transaktionen werden exakt $\Delta_{write}$ Schritte nach dem Senden angehängt).
Mechanismus: Knoten senden Alarme in einem einzigen Zeitschritt. Der Vertrag verifiziert die Inklusion in einem spezifischen Block.
Performance: Konstante Finalität.
Overhead: Erfordert bis zu $n$ Transaktionen (lineare Speicherung), falls ein Alarm benötigt wird; andernfalls 0.
Resistenz: Erreicht $\Theta(n^2)$ .

2. TEE-basiertes Alarmierungsprotokoll

Annahme: Standardmäßige Bounded-Delay-Synchronität + Trusted Execution Environments (TEEs).
Mechanismus: Verwendet ein Commit-Reveal-Schema. Knoten verpflichten sich zu Aktionen mittels TEEs, welche ein Proof of Publication (PoP)-Primitiv erzwingen. Dies stellt sicher, dass Knoten ihre Aktion nicht offenbaren (oder nicht kolludieren, um sie frühzeitig offenzulegen), bevor eine bestimmte Anzahl an Blöcken vergangen ist, wodurch ein Informationsabfluss während der Entscheidungsphase verhindert wird.
Performance: Konstante Finalität.
Overhead: Erfordert $2n$ Transaktionen (lineare Speicherung).
Resistenz: Erreicht $\Theta(n^2)$ .

3. Sequentielles Alarmierungsprotokoll

Annahme: Keine strikte Synchronität oder TEEs erforderlich.
Mechanismus: Knoten werden festen Zeitslots zugewiesen. Ein Knoten kann nur in seinem Slot alarmieren, nachdem er die Aktionen aller vorangegangenen Knoten beobachtet hat. Wenn ein Knoten alarmiert, terminiert das Protokoll.
Belohnungsstruktur: Der erste alarmierende Knoten erhält die kumulierten Strafen aller Knoten in den vorangegangenen Slots, die nicht alarmiert haben.
Performance: Die Worst-Case-Ausführungszeit ist $O(n)$ (lineare Zeit).
Overhead: Konstante Speicherung ( $O(1)$ ). Erfordert 0 Transaktionen, falls kein Alarm benötigt wird, und 1 Transaktion, falls ein Alarm ausgelöst wird.
Resistenz: Erreicht $\Theta(n^2)$ (spezifisch $\lambda n(n-1)/2$ ), was die Hälfte der Schranke des simultanen Spiels ist, aber dennoch asymptotisch optimal bleibt.

4. Bedeutung und Ansprüche

Das Paper beansprucht, die Ersten zu sein, die:

Das Alarmierungsproblem als kryptökonomisches Spiel unter Einbeziehung eines bestechbaren Angreifers formalisiert haben.
Bewiesen haben, dass die maximal erreichbare Bestechungsresistenz für solche Protokolle quadratisch ( $\Theta(n^2)$ ) ist.
Ein simultanes Spiel entworfen haben, das diese Schranke asymptotisch erreicht.
Drei praktische Instanziierungen (Lockstep, TEE-basiert und Sequentiell) spezifiziert haben, die unterschiedliche Trade-offs zwischen Latenz, On-Chain-Speicher und Vertrauensannahmen bieten und dabei eine asymptotisch optimale Bestechungsresistenz beibehalten.

Die Autoren betonen, dass bestehende Systeme (z. B. Optimistic Rollups, Oracle-Netzwerke) oft auf Mechanismen mit linearen Kosten beruhen, die anfällig für Bestechung sind. Ihre Arbeit bietet einen reichhaltigen Designraum für den Aufbau ökonomisch sicherer Alarmierungssysteme, die groß angelegten Bestechungsversuchen standhalten können.

5. Limitationen und Umfang

Die Analyse stützt sich auf rationale Akteure und spezifische spieltheoretische Annahmen (z. B. PPT-Angreifer, Standard-Kryptographie-Annahmen).
Das TEE-basierte Protokoll setzt die Sicherheit vertrauenswürdiger Hardware voraus sowie die Annahme, dass die Blockchain nach einem Checkpoint nicht von einem einzelnen Knoten oder Angreifer geforkt werden kann.
Das Paper konzentriert sich auf abstrakte Modelle und führt keine Evaluierung spezifischer eingesetzter Protokolle oder systemspezifischer Parameter für den sofortigen Einsatz durch.
Das sequentielle Protokoll tauscht Zeitkomplexität ( $O(n)$ ) gegen Speichereffizienz ein, was eine Einschränkung für latenzkritische Anwendungen sein kann.