Resumen Técnico: Intercambios Atómicos Probabilísticos para Bitcoin y Afines

1. Declaración del Problema

Los intercambios atómicos son un primitivo criptográfico fundamental que permite el intercambio sin confianza de activos digitales entre cadenas, con una garantía de "todo o nada": o ambas partes reciben sus activos acordados, o ninguna lo hace. Aunque son potentes, esta naturaleza determinista excluye los intercambios donde el resultado previsto es probabilístico. Las soluciones existentes para intercambios probabilísticos (por ejemplo, loterías, apuestas o asignación aleatorizada) en blockchains enfrentan limitaciones significativas:

• Complejidad y Costo: A menudo requieren contratos inteligentes complejos o mecanismos intrincados a nivel de script, lo que conduce a tamaños de transacción más grandes, tarifas más altas y una portabilidad reducida a cadenas con soporte de scripting limitado (como Bitcoin).
• Privacidad y Fungibilidad: Los scripts complejos hacen que el comportamiento en la cadena sea distinguible, debilitando la privacidad y la fungibilidad.
• Restricciones de Participación: Muchos protocolos de lotería existentes requieren un conjunto fijo y conocido de participantes, lo que los hace inadecuados para entornos abiertos y sin permiso.
• Vulnerabilidad al Sesgo: Los enfoques anteriores a menudo no logran evitar que una parte prediga el resultado y aborte selectivamente si el resultado es desfavorable, sesgando así la probabilidad efectiva.

El desafío central es extender los intercambios atómicos a un entorno probabilístico, donde una parte paga por una oportunidad fija y públicamente especificada de recibir una recompensa mayor, sin modificar la huella mínima en la cadena de los protocolos de intercambio atómico existentes ni introducir intermediarios de confianza.

2. Metodología y Diseño del Protocolo

Los autores introducen los intercambios atómicos probabilísticos, un nuevo primitivo criptográfico que realiza un intercambio justo con una distribución de resultados prescrita. El protocolo involucra a dos partes: un Vendedor (D) y una Parte (P). P transfiere una cantidad fija (por ejemplo, 1 moneda) a cambio de una probabilidad $p$ de recibir una recompensa mayor ($\nu$ monedas) de D. Si el evento probabilístico no ocurre, P no recibe nada y D retiene el pago.

Bloques de Construcción Criptográficos Principales

La construcción se basa en tres componentes principales, todos compatibles con scripts estándar tipo Bitcoin (firmas digitales y bloqueos temporales):

1. Firmas Adaptadoras: Se utilizan para garantizar la atomicidad. Permiten adaptar una pre-firma a una firma completa solo si se conoce un testigo específico (secreto). Esto vincula la revelación de secretos a la finalización de las transacciones en la cadena.
2. Funciones Pseudoaleatorias Oblivious (OPRF): Se utilizan para codificar el resultado probabilístico. El Vendedor actúa como un servidor OPRF que posee una clave secreta $sk_D$. La Parte posee una entrada (una "adivinanza" $y_{gss}$). La OPRF permite que la Parte obtenga la evaluación $OPRF(sk_D, y_{gss})$ sin que el Vendedor conozca la adivinanza, y sin que la Parte conozca la clave.
3. Pruebas de Conocimiento Cero (NIZK): Se utilizan para probar la buena formación de las declaraciones del protocolo, asegurando que el Vendedor no pueda manipular la distribución de probabilidad.

Flujo del Protocolo

El protocolo se divide en cuatro fases:

1. Configuración y Financiación:

   • El Vendedor muestrea un valor objetivo $y_{tgt}$ desde un dominio de tamaño $m$ (donde $p = 1/m$).
   • El Vendedor calcula un "testigo ganador" $y_{win} = OPRF.Eval(sk_D, y_{tgt})$ y construye una declaración $Y_{win} = g^{y_{win}}$.
   • El Vendedor proporciona $Y_{win}$ y una prueba NIZK de buena formación a la Parte.
   • Ambas partes bloquean sus fondos en scripts con bloqueo temporal controlados por un par de claves temporal (generado mediante un protocolo DKG de 2 partes).

2. Reclamación del Vendedor (Evaluación OPRF como Servicio):

   • La Parte selecciona una adivinanza $y_{gss}$ y envía una solicitud OPRF cegada al Vendedor.
   • El Vendedor evalúa la OPRF, cifra el resultado bajo una clave efímera $Z$, y proporciona el texto cifrado junto con una prueba NIZK de corrección.
   • Crucialmente, el Vendedor también pre-firma la transacción de pago de la Parte utilizando $Z$ como declaración adaptadora.
   • El Vendedor adapta esta pre-firma utilizando la clave de descifrado $z$ (el testigo para $Z$) y transmite la transacción para reclamar el pago de la Parte.
   • Atomicidad: La Parte solo puede extraer $z$ de la firma en la cadena después de que el Vendedor haya sido pagado. $z$ es necesario para descifrar la respuesta de la OPRF.

3. Reclamación de la Parte:

   • La Parte extrae $z$, descifra la respuesta de la OPRF y calcula el testigo candidato $y'_{win}$.
   • Si $y'_{win}$ coincide con el testigo ganador (es decir, $y_{gss} = y_{tgt}$), la Parte adapta la pre-firma del Vendedor para reclamar la recompensa.
   • Si la adivinanza es incorrecta, la Parte no aprende nada útil para la adaptación.

4. Tiempo de Espera/Reembolso:

   • Si el Vendedor no logra reclamar el pago dentro de un tiempo de espera, la Parte reembolsa sus fondos bloqueados.
   • Si la Parte no logra reclamar la recompensa dentro de un tiempo de espera, el Vendedor reembolsa sus fondos bloqueados.

Pruebas de Buena Formación

Una contribución técnica crítica es probar que $Y_{win}$ corresponde a una evaluación OPRF válida sobre un valor dentro del dominio correcto, sin revelar el objetivo. Los autores proponen dos instanciaciones:

• Bulletproofs: Utiliza restricciones R1CS para probar la estructura de la OPRF 2HashDH. Ofrece un tamaño de prueba y tiempo de verificación constantes, pero requiere la instanciación de oráculos aleatorios.
• Corte y Elección: Una técnica donde el Vendedor proporciona múltiples instancias y la Parte verifica un subconjunto aleatorio. Los autores modifican la OPRF para permitir abrir instancias sin revelar el valor objetivo, asegurando que la probabilidad de ganar permanezca exactamente $1/m$ incluso si el Vendedor hace trampa. Este enfoque es más eficiente para altas probabilidades de ganar ($p \ge 1/2^{12}$).

3. Contribuciones Clave

• Nuevo Primitivo: Introducción de intercambios atómicos probabilísticos, definidos formalmente mediante una funcionalidad ideal que generaliza los intercambios atómicos deterministas a resultados probabilísticos.
• Huella Mínima en la Cadena: El protocolo requiere solo scripts estándar de Bitcoin (firmas y bloqueos temporales). No requiere contratos inteligentes complejos ni nuevos opcodes, lo que lo hace inmediatamente desplegable en Bitcoin, Litecoin y otras cadenas que soportan intercambios atómicos.
• Evaluación OPRF para Pagos: Los autores desarrollan un mecanismo novedoso para el intercambio atómico de evaluaciones OPRF vinculadas a pagos. Esto asegura que el Vendedor sea pagado antes de que la Parte conozca el resultado, evitando el sesgo. Esta herramienta se señala como de interés independiente para aplicaciones como limitación de velocidad impulsada por pagos.
• Seguridad Formal: El protocolo se demuestra seguro en el modelo basado en simulación contra corrupciones estáticas, satisfaciendo las propiedades de atomicidad probabilística (justicia, sin sesgo y atomicidad).
• Implementación Práctica: Una implementación completa en Rust, probada en las redes de prueba de Bitcoin y Litecoin, y una variante para la Red Lightning (usando HTLCs y pruebas de enlace fuera de la cadena).

4. Resultados y Puntos de Referencia

• Despliegue en Red de Prueba: Los autores ejecutaron con éxito intercambios probabilísticos entre cadenas cruzadas entre las redes de prueba de Bitcoin y Litecoin. Un intercambio ganador completo involucró exactamente cuatro transacciones Taproot estándar.
• Tamaño de Transacción: Cada transacción fue de aproximadamente 575 Unidades de Peso (WU).
• Rendimiento:
  • Bulletproofs: Tiempo de prueba $\approx 5.6$s, verificación $\approx 0.35$s, tamaño de prueba $\approx 2.8$KB (constante independientemente de la probabilidad).
  • Corte y Elección: El tiempo de prueba es más rápido para pequeños $\ell$ (por ejemplo, $0.27$s para $\ell=10$) pero escala exponencialmente con el tamaño del dominio. Para $\ell=16$, la prueba toma $\approx 16$s con una prueba de 16MB.
  • Prototipo de Lightning: Se implementó una variante basada en HTLC, con un tiempo total de ejecución en línea de aproximadamente 1.30s para tres rondas (incluyendo precomputación).
• Costo: Las tarifas fueron comparables a los intercambios atómicos estándar (por ejemplo, 1550 sat para una transacción de financiación de 616WU en la red de prueba de Bitcoin).

5. Significado y Afirmaciones

El artículo afirma que los intercambios atómicos probabilísticos resuelven una limitación fundamental de los intercambios atómicos clásicos al permitir intercambios descentralizados y sin confianza con resultados aleatorizados. El significado radica en:

• Habilitar Nuevos Casos de Uso: Hacer realidad la visión de "OP_RAND" en Bitcoin, permitiendo apuestas, loterías y operaciones entre cadenas probabilísticas sin casas de confianza.
• Preservar la Privacidad y la Fungibilidad: Al evitar scripts complejos, la huella en la cadena del protocolo es indistinguible de los intercambios atómicos ordinarios, preservando la privacidad y la fungibilidad de los activos.
• Accesibilidad: La dependencia de un soporte mínimo de scripts hace que el protocolo sea desplegable en una amplia gama de blockchains existentes y redes de Capa 2 (como la Red Lightning, una vez que PTLCs estén activos o mediante variantes HTLC).
• Seguridad: El protocolo proporciona garantías criptográficas rigurosas de que el resultado es imparcial y sigue la probabilidad anunciada, incluso en presencia de actores maliciosos, sin requerir un tercero de confianza.

Los autores notan explícitamente que, aunque su protocolo soporta intercambios probabilísticos asimétricos (una parte paga por una oportunidad), los intercambios probabilísticos bidireccionales (donde ambas partes tienen resultados probabilísticos) son probablemente imposibles en blockchains mínimas debido a asimetrías inherentes en la toma de decisiones secuencial, una limitación que discuten pero no intentan superar.