💻 computer science

Probabilistic Atomic Swaps for Bitcoin and Friends

Dieses Papier stellt „probabilistische atomare Swaps" vor, ein neues kryptografisches Grundprinzip, das vertrauenslose cross-chain-Tauschgeschäfte um verifizierbare, unvoreingenommene probabilistische Ergebnisse (wie Lotterien) erweitert, indem es Adapter-Signaturen mit oblivious pseudorandom functions kombiniert, und dabei gleichzeitig den minimalen On-Chain-Footprint und die Privatsphäre herkömmlicher atomarer Swaps bewahrt.

Ursprüngliche Autoren: Paul Gerhart, Jay Taylor, Sri Aravinda Krishnan Thyagarajan

Veröffentlicht 2026-05-07

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Paul Gerhart, Jay Taylor, Sri Aravinda Krishnan Thyagarajan

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie möchten mit einem Fremden auf der anderen Seite der Welt ein Glücksspiel spielen, aber Sie vertrauen ihm nicht, und er vertraut Ihnen nicht. Sie möchten 1 US-Dollar darauf wetten, dass Sie eine geheime Zahl erraten können. Wenn Sie richtig raten, gewinnen Sie 100 US-Dollar. Wenn Sie falsch raten, verlieren Sie Ihren 1 US-Dollar.

In der realen Welt bräuchten Sie ein Casino oder einen Schiedsrichter, um das Geld zu verwahren und den Gewinner zu entscheiden. Aber in der Welt von Bitcoin und anderen Kryptowährungen gibt es keinen Schiedsrichter. Sie benötigen eine Möglichkeit, diese Wette abzuwickeln, ohne dass jemand betrügen, mit dem Geld abhauen oder die Gewinnchancen manipulieren kann.

Dieses Papier stellt ein neues digitales Werkzeug vor, das als „Probabilistischer Atomarer Swap" bezeichnet wird. Stellen Sie es sich als einen „magischen Automaten" vor, der perfekt für Glücksspiele auf der Blockchain funktioniert.

So funktioniert es, aufgeteilt in einfache Konzepte:

1. Das Problem mit aktuellen „Atomaren Swaps"

Derzeit ist bei einem Tausch von Krypto-Assets (wie Bitcoin gegen Litecoin) zwischen zwei Personen die Transaktion ganz oder gar nicht. Es ist wie ein Handel, bei dem Sie entweder den gewünschten Artikel erhalten oder nicht. Sie können nicht „eine 50-prozentige Chance auf einen Diamanten" gegen einen „garantierten Apfel" tauschen. Die aktuelle Technologie ist zu starr; sie handhabt nur 100-prozentige Sicherheit.

2. Die neue Lösung: Die „Blind-Raten"-Maschine

Die Autoren haben ein System entwickelt, bei dem eine Person (der Händler) einen Preis anbietet und die andere Person (der Spieler) eine kleine Gebühr für eine bestimmte Chance zahlt, diesen Preis zu gewinnen.

Das Setup: Der Händler hat eine geheime „Gewinnzahl", die in einer verschlossenen Box verborgen ist. Der Spieler hat eine „Ratzahl".
Der magische Trick: Der Spieler gibt seine Ratzahl in eine spezielle Maschine ein, die prüft, ob sie mit der geheimen Zahl des Händlers übereinstimmt.
- Entscheidend: Der Händler kann die Ratzahl des Spielers nicht sehen, bevor der Deal abgeschlossen ist.
- Entscheidend: Der Spieler kann die geheime Zahl des Händlers nicht sehen, bevor er bezahlt.
Das Ergebnis:
- Wenn die Ratzahl stimmt (was mit einer vorher vereinbarten Wahrscheinlichkeit geschieht, sagen wir 1 zu 1.000), entsperrt die Maschine den großen Preis für den Spieler.
- Wenn die Ratzahl falsch ist, erhält der Spieler nichts, aber der Händler behält seine kleine Gebühr.
- Der „Atomare" Teil: Wenn der Spieler versucht zu betrügen oder der Händler versucht, mit dem Geld abzuhauen, storniert das System den Deal automatisch, und jeder bekommt sein Geld zurück. Niemand verliert etwas, es sei denn, das Spiel wird fair gespielt.

3. Wie sie es geschafft haben (Das „Geheimrezept")

Um dies ohne Schiedsrichter zu ermöglichen, kombinierten die Autoren zwei fortschrittliche kryptografische Werkzeuge:

Oblivious Pseudorandom Functions (OPRFs): Stellen Sie sich eine Blackbox vor. Sie geben eine Zahl ein, und sie liefert ein Ergebnis basierend auf einem geheimen Schlüssel, den der Händler besitzt. Der Händler sieht Ihre Zahl nie, und Sie sehen seinen Schlüssel nie. Sie erhalten nur das Ergebnis, wenn Sie bezahlen. Dies stellt sicher, dass der Händler nicht in Ihre Ratzahl spähen kann, um zu entscheiden, ob er Sie gewinnen lässt.
Adaptor-Signaturen: Denken Sie an diese als „digitale Schlüssel, die andere Schlüssel entsperren". Der Händler sperrt den Preis in einer Box ein, die nur geöffnet werden kann, wenn der Spieler einen spezifischen Schlüssel bereitstellt. Allerdings erhält der Spieler diesen Schlüssel erst, nachdem er den Händler bezahlt hat. Wenn der Spieler bezahlt, muss der Händler den Schlüssel zur Freigabe des Preises offenlegen (oder das System zwingt ihn dazu).

4. Warum dies eine große Sache ist

Kein Betrug: Keine Seite kann das Spiel manipulieren. Der Händler kann die Gewinnchancen nicht ändern, nachdem er die Wette gesehen hat, und der Spieler kann keinen erzwungenen Gewinn erzwingen.
Privatsphäre: Für die Außenwelt (die Blockchain) sieht diese Transaktion exakt wie eine normale, langweilige Geldüberweisung aus. Sie schreit nicht „LOTTERIE!". Dies schützt die Privatsphäre der Nutzer.
Geringe Kosten: Es erfordert keinen komplexen, teuren Computercode auf der Blockchain. Es nutzt Standardfunktionen, die Bitcoin und Litecoin bereits haben.
Realwelt-Test: Die Autoren haben dies tatsächlich gebaut und auf den Testnetzen von Bitcoin und Litecoin getestet (Übungsversionen der echten Netzwerke). Sie bewiesen, dass es im echten Leben funktioniert, wobei es nur wenige Sekunden dauert und sehr geringe Gebühren kostet.

5. Was können Sie damit tun?

Das Papier nennt speziell zwei Hauptanwendungen:

Wetten/Lotterien: Sie können kleine Beträge für eine Chance auf eine größere Belohnung wetten (wie ein digitales Lotterielos), ohne ein Casino.
Probabilistischer Handel: Wenn Sie eine seltene, schwer zu verkaufende Münze haben, bevorzugen Sie möglicherweise, sie gegen eine kleine Chance auf eine beliebte Münze (wie Bitcoin) zu tauschen, anstatt gegen einen garantierten, aber schrecklichen Wechselkurs.

Was es NICHT ist

Das Papier sagt sehr sorgfältig, was dies nicht ist:

Es ist keine Möglichkeit, beiden Seiten eine Chance auf Gewinn oder Verlust zu geben. Nur eine Seite (der Spieler) hat ein probabilistisches Ergebnis; der Händler erhält immer die kleine Gebühr.
Es ist kein Zauberstab für jede Art von Vertrag. Es ist speziell für „Ich zahle Ihnen eine kleine Gebühr für eine Chance, einen großen Preis zu gewinnen" konzipiert.

Kurz gesagt haben die Autoren einen vertrauenslosen, fairen und privaten digitalen Casino-Chip gebaut, der auf Bitcoin funktioniert und es Menschen ermöglicht, auf Basis von Chancen zu spielen oder zu handeln, ohne einen Mittelsmann zu benötigen, der das Geld verwahrt.

Technische Zusammenfassung: Probabilistische Atomare Swaps für Bitcoin und Freunde

1. Problemstellung

Atomare Swaps sind ein fundamentales kryptografisches Grundprinzip, das vertrauenslose, chain-übergreifende Tauschvorgänge digitaler Vermögenswerte mit einer „Alles-oder-Nichts"-Garantie ermöglicht: Entweder erhalten beide Parteien ihre vereinbarten Vermögenswerte, oder keine von beiden. Obwohl diese Technologie leistungsstark ist, schließt ihre deterministische Natur Tauschvorgänge aus, bei denen das beabsichtigte Ergebnis probabilistisch ist. Bestehende Lösungen für probabilistische Tauschvorgänge (z. B. Lotterien, Wetten oder zufällige Zuteilungen) auf Blockchains weisen erhebliche Einschränkungen auf:

Komplexität und Kosten: Sie erfordern oft komplexe Smart Contracts oder intricate Skript-Ebenen-Mechanismen, was zu größeren Transaktionsgrößen, höheren Gebühren und einer verringerten Portierbarkeit auf Chains mit begrenzter Skript-Unterstützung (wie Bitcoin) führt.
Privatsphäre und Fungibilität: Komplexe Skripte machen On-Chain-Verhalten unterscheidbar, was die Privatsphäre und Fungibilität schwächt.
Einschränkungen der Teilnahme: Viele bestehende Lotterieprotokolle erfordern eine feste, bekannte Menge an Teilnehmern, was sie für offene, erlaubnisfreie Umgebungen ungeeignet macht.
Anfälligkeit für Verzerrungen: Frühere Ansätze verhindern oft nicht, dass eine Partei das Ergebnis vorhersagt und selektiv abbricht, falls das Ergebnis ungünstig ist, wodurch die effektive Wahrscheinlichkeit verzerrt wird.

Die Kernherausforderung besteht darin, atomare Swaps auf einen probabilistischen Kontext zu erweitern – in dem eine Partei für eine feste, öffentlich spezifizierte Chance zahlt, eine größere Belohnung zu erhalten –, ohne den minimalen On-Chain-Fußabdruck bestehender atomarer Swap-Protokolle zu verändern oder vertrauenswürdige Zwischenhändler einzuführen.

2. Methodik und Protokollentwurf

Die Autoren führen probabilistische atomare Swaps ein, ein neues kryptografisches Grundprinzip, das einen fairen Tausch mit einer vorgeschriebenen Ergebnisverteilung realisiert. Das Protokoll umfasst zwei Parteien: einen Dealer (D) und eine Partei (P). P überträgt einen festen Betrag (z. B. 1 Coin) im Austausch für eine Wahrscheinlichkeit $p$ , eine größere Belohnung ( $\nu$ Coins) von D zu erhalten. Falls das probabilistische Ereignis nicht eintritt, erhält P nichts, und D behält die Zahlung.

Kryptografische Grundbausteine

Die Konstruktion stützt sich auf drei Hauptkomponenten, die alle mit Standard-Bitcoin-ähnlichen Skripten (digitale Signaturen und Zeitlocks) kompatibel sind:

Adaptorsignaturen: Werden verwendet, um die Atomicität sicherzustellen. Sie ermöglichen es, eine Vorschritt-Signatur nur dann in eine vollständige Signatur anzupassen, wenn ein bestimmtes Zeugnis (Geheimnis) bekannt ist. Dies bindet die Offenlegung von Geheimnissen an den Abschluss von On-Chain-Transaktionen.
Oblivious Pseudorandom Functions (OPRFs): Werden verwendet, um das probabilistische Ergebnis zu kodieren. Der Dealer fungiert als OPRF-Server, der einen geheimen Schlüssel $sk_D$ hält. Die Partei hält eine Eingabe (ein „Raten" $y_{gss}$ ). Die OPRF ermöglicht es der Partei, die Auswertung $OPRF(sk_D, y_{gss})$ zu erhalten, ohne dass der Dealer das Raten erfährt, und ohne dass die Partei den Schlüssel erfährt.
Zero-Knowledge-Beweise (NIZKs): Werden verwendet, um die Wohlgeformtheit der Protokollaussagen zu beweisen und sicherzustellen, dass der Dealer die Wahrscheinlichkeitsverteilung nicht manipulieren kann.

Protokollablauf

Das Protokoll ist in vier Phasen unterteilt:

Setup & Finanzierung:
- Der Dealer wählt einen Zielwert $y_{tgt}$ aus einem Bereich der Größe $m$ (wobei $p = 1/m$ ) aus.
- Der Dealer berechnet ein „Gewinnzeugnis" $y_{win} = OPRF.Eval(sk_D, y_{tgt})$ und konstruiert eine Aussage $Y_{win} = g^{y_{win}}$ .
- Der Dealer stellt der Partei $Y_{win}$ und einen NIZK-Beweis der Wohlgeformtheit zur Verfügung.
- Beide Parteien sperren ihre Mittel in zeitgesteuerte Skripte ein, die von einem temporären Schlüsselpaar kontrolliert werden (generiert über ein 2-Parteien-DKG-Protokoll).
Anspruch des Dealers (OPRF-Auswertung als Service):
- Die Partei wählt ein Raten $y_{gss}$ aus und sendet eine geblendete OPRF-Anfrage an den Dealer.
- Der Dealer wertet die OPRF aus, verschlüsselt das Ergebnis unter einem ephemeren Schlüssel $Z$ und stellt den Chiffretext zusammen mit einem NIZK-Beweis der Korrektheit bereit.
- Entscheidend ist, dass der Dealer die Zahlungstransaktion der Partei auch mit $Z$ als Adaptoraussage vor-signiert.
- Der Dealer passt diese Vorschritt-Signatur unter Verwendung des Entschlüsselungsschlüssels $z$ (das Zeugnis für $Z$ ) an und sendet die Transaktion aus, um die Zahlung der Partei zu beanspruchen.
- Atomicität: Die Partei kann $z$ aus der On-Chain-Signatur erst nachdem der Dealer bezahlt wurde, extrahieren. $z$ wird benötigt, um die OPRF-Antwort zu entschlüsseln.
Anspruch der Partei:
- Die Partei extrahiert $z$ , entschlüsselt die OPRF-Antwort und berechnet das Kandidatenzeugnis $y'_{win}$ .
- Wenn $y'_{win}$ mit dem Gewinnzeugnis übereinstimmt (d. h. $y_{gss} = y_{tgt}$ ), passt die Partei die Vorschritt-Signatur des Dealers an, um die Belohnung zu beanspruchen.
- Wenn das Raten falsch ist, erfährt die Partei nichts Nützliches für die Anpassung.
Timeout/Rückerstattung:
- Wenn der Dealer innerhalb eines Timeouts keine Zahlung beansprucht, erstattet die Partei ihre gesperrten Mittel zurück.
- Wenn die Partei innerhalb eines Timeouts keine Belohnung beansprucht, erstattet der Dealer seine gesperrten Mittel zurück.

Wohlgeformtheitsbeweise

Ein kritischer technischer Beitrag besteht darin zu beweisen, dass $Y_{win}$ einer gültigen OPRF-Auswertung für einen Wert innerhalb des korrekten Bereichs entspricht, ohne das Ziel zu offenbaren. Die Autoren schlagen zwei Instanziierungen vor:

Bulletproofs: Verwendet R1CS-Beschränkungen, um die Struktur des 2HashDH-OPRF zu beweisen. Es bietet eine konstante Beweisgröße und Verifizierungszeit, erfordert jedoch die Instanziierung von Random Oracles.
Cut-and-Choose: Eine Technik, bei der der Dealer mehrere Instanzen bereitstellt und die Partei eine zufällige Teilmenge verifiziert. Die Autoren modifizieren die OPRF, um das Öffnen von Instanzen zu ermöglichen, ohne den Zielwert preiszugeben, und stellen sicher, dass die Gewinnwahrscheinlichkeit auch dann genau $1/m$ bleibt, wenn der Dealer betrügt. Dieser Ansatz ist für hohe Gewinnwahrscheinlichkeiten effizienter ( $p \ge 1/2^{12}$ ).

3. Hauptbeiträge

Neues Grundprinzip: Einführung probabilistischer atomarer Swaps, formal definiert über eine ideale Funktionalität, die deterministische atomare Swaps auf probabilistische Ergebnisse verallgemeinert.
Minimaler On-Chain-Fußabdruck: Das Protokoll erfordert nur Standard-Bitcoin-Skripte (Signaturen und Zeitlocks). Es benötigt keine komplexen Smart Contracts oder neue Opcodes, was eine sofortige Bereitstellung auf Bitcoin, Litecoin und anderen Chains, die atomare Swaps unterstützen, ermöglicht.
OPRF-Auswertung für Zahlungen: Die Autoren entwickeln einen neuartigen Mechanismus für den atomaren Tausch von OPRF-Auswertungen, der an Zahlungen gebunden ist. Dies stellt sicher, dass der Dealer bezahlt wird, bevor die Partei das Ergebnis erfährt, und verhindert so Verzerrungen. Dieses Werkzeug wird als von eigenständigem Interesse für Anwendungen wie zahlungsgesteuerte Ratenbegrenzung hervorgehoben.
Formale Sicherheit: Das Protokoll wird im simulationsbasierten Modell gegen statische Korruptionen als sicher bewiesen und erfüllt die Eigenschaften probabilistischer Atomicität (Fairness, keine Verzerrung und Atomicität).
Praktische Implementierung: Eine vollständige Implementierung in Rust, getestet auf Bitcoin- und Litecoin-Testnets, sowie eine Variante für das Lightning Network (unter Verwendung von HTLCs und Off-Chain-Link-Beweisen).

4. Ergebnisse und Benchmarks

Testnet-Bereitstellung: Die Autoren führten erfolgreich chain-übergreifende probabilistische Swaps zwischen den Bitcoin- und Litecoin-Testnets aus. Ein vollständiger Gewinn-Swap umfasste genau vier Standard-Taproot-Transaktionen.
Transaktionsgröße: Jede Transaktion betrug ungefähr 575 Weight Units (WU).
Leistung:
- Bulletproofs: Beweiszeit $\approx 5,6$ s, Verifizierung $\approx 0,35$ s, Beweisgröße $\approx 2,8$ KB (konstant unabhängig von der Wahrscheinlichkeit).
- Cut-and-Choose: Die Beweiszeit ist für kleine $\ell$ schneller (z. B. $0,27 $s für$ \ell=10$), skaliert jedoch exponentiell mit der Bereichsgröße. Für $\ell=16$ dauert der Beweis $\approx 16$ s mit einem 16MB-Beweis.
- Lightning-Prototyp: Eine HTLC-basierte Variante wurde implementiert, mit einer gesamten Online-Ausführungszeit von etwa 1,30s für drei Runden (einschließlich Vorverarbeitung).
Kosten: Die Gebühren waren mit Standard-atomaren Swaps vergleichbar (z. B. 1550 Sat für eine 616WU-Finanzierungstransaktion auf dem Bitcoin-Testnet).

5. Bedeutung und Behauptungen

Die Arbeit behauptet, dass probabilistische atomare Swaps eine fundamentale Einschränkung klassischer atomarer Swaps lösen, indem sie vertrauenslose, dezentrale Tauschvorgänge mit zufälligen Ergebnissen ermöglichen. Die Bedeutung liegt in:

Ermöglichung neuer Anwendungsfälle: Verwirklichung der Vision von „OP_RAND" auf Bitcoin, was Wetten, Lotterien und probabilistische chain-übergreifende Trades ohne vertrauenswürdige Häuser ermöglicht.
Erhaltung von Privatsphäre und Fungibilität: Durch die Vermeidung komplexer Skripte ist der On-Chain-Fußabdruck des Protokolls von gewöhnlichen atomaren Swaps nicht unterscheidbar, wodurch die Privatsphäre und Fungibilität der Vermögenswerte erhalten bleiben.
Zugänglichkeit: Die Abhängigkeit von minimaler Skript-Unterstützung macht das Protokoll auf einer breiten Palette bestehender Blockchains und Layer-2-Netzwerke (wie dem Lightning Network, sobald PTLCs aktiv sind oder über HTLC-Varianten) bereitstellbar.
Sicherheit: Das Protokoll bietet rigorose kryptografische Garantien, dass das Ergebnis unverzerrt ist und der beworbenen Wahrscheinlichkeit folgt, selbst in Gegenwart böswilliger Akteure, ohne dass eine vertrauenswürdige dritte Partei erforderlich ist.

Die Autoren weisen ausdrücklich darauf hin, dass ihr Protokoll zwar asymmetrische probabilistische Swaps unterstützt (eine Partei zahlt für eine Chance), zweiseitige probabilistische Swaps (bei denen beide Parteien probabilistische Ergebnisse haben) auf minimalen Blockchains aufgrund inhärenter Asymmetrien in sequenziellen Entscheidungsprozessen wahrscheinlich unmöglich sind, eine Einschränkung, die sie diskutieren, aber nicht zu überwinden versuchen.