Résumé technique : Fusion de blockchains Bitcoin à travail de preuve avec types de hachage multiples

1. Énoncé du problème

Le protocole Bitcoin, tout en sécurisant plus d'un billion de dollars de valeur, fait face à des risques de sécurité importants associés à une attaque des 51 %. La motivation principale de ce travail est d'augmenter le seuil de sécurité du protocole Bitcoin afin d'atténuer le risque de telles attaques catastrophiques. Les méthodes actuelles pour accroître la sécurité, telles que l'augmentation de la puissance de minage honnête via des circuits spécialisés SHA-256, introduisent des vulnérabilités :

• Centralisation : La dépendance aux circuits spécialisés concentre le pouvoir entre les mains des agents ayant le meilleur accès à ceux-ci.
• Portes dérobées matérielles (Backdoors) : Un nombre limité de fabricants d'ASIC crée un point de défaillance unique ; si celui-ci est compromis, le protocole devient vulnérable même si la majorité des mineurs sont honnêtes.
• Avancées quantiques et algorithmiques : Les adversaires peuvent obtenir des avantages asymétriques grâce à des améliorations algorithmiques ou du matériel spécialisé (par exemple, l'algorithme de Grover pour l'accélération quantique) ciblant un type de hachage unique.

Les auteurs proposent le Bitcoin Fusionné (Merged Bitcoin), un protocole qui permet à des blocs liés par différents types de hachage de former une chaîne unique. L'objectif est d'augmenter le coût d'une attaque, de réduire les risques de centralisation et d'atténuer les vulnérabilités spécifiques aux types de hachage uniques.

2. Méthodologie et cadre théorique

Le modèle de ressources aléatoires multiples

L'article modélise les nœuds (honnêtes et malveillants) comme possédant des quantités variables de ressources de hachage pour $n$ types de hachage différents. Ces ressources paramètrent un processus d'arrivée de Poisson.

• Taux de blocs (Blockrates) : Le modèle définit des taux de blocs honnêtes ($h_i$) et des taux de blocs malveillants ($b_i$) pour chaque type de hachage $i$, mesurés en blocs par seconde.
• Système de score : Chaque type de bloc $i$ se voit assigner une constante de score $c_i$. La règle de choix de la fourche (fork choice rule) sélectionne la chaîne ayant le score total le plus élevé ($\sum c_i N_i$, où $N_i$ est le nombre de blocs de type $i$).
• Modèle de réseau : L'analyse opère sous un modèle de réseau à délai $\Delta$-borné, où la latence du réseau est limitée par $\Delta$.

Motivation informationnelle et impossibilité

Les auteurs étudient initialement si la sécurité peut être conditionnée par un « ET » de plusieurs seuils de 51 % (c'est-à-dire que le protocole est sécurisé à moins qu'un adversaire ne contrôle >50 % de chaque type de hachage simultanément).

• L'hypothèse du « Grand ET » (Big-And) : Les auteurs explorent si une probabilité d'erreur décroissante exponentiellement sur le plan de la théorie de l'information peut être obtenue si l'insécurité nécessite qu'un adversaire domine tous les types de hachage.
• Résultat d'impossibilité (Théorème 10) : L'article prouve que pour tout protocole distribué sans permission satisfaisant des propriétés spécifiques (propriété de chaîne, équivalence de l'adversaire et capacité de rétention de l'adversaire), la région de sécurité « Grand ET » est impossible. Si un protocole est sécurisé sous une configuration $(h, b)$, il ne peut pas être sécurisé sous la configuration inversée $(b, h)$. Cela implique qu'un protocole ne peut pas être sécurisé dès lors qu'un seul type de hachage possède moins de 50 % de puissance adversaire ; l'insécurité peut survenir même si l'adversaire contrôle moins de 50 % de certains types de hachage, à condition qu'il en contrôle suffisamment d'autres.

Analyse de la région de sécurité

Malgré l'impossibilité de la région idéale « Grand ET », l'article dérive des limites fermées pour la région de sécurité de Bitcoin Fusionné.

• Condition de sécurité : Le Bitcoin Fusionné est sécurisé si le taux de croissance du score de l'adversaire ($\lambda_a = \sum c_i b_i$) est strictement inférieur au taux de croissance du score honnête ($\lambda_h$) sous des conditions de délai complet.
• Dérivation des bornes :
  • Borne inférieure (Lemme 13/17) : Dérivée d'un « Processus de suppression d'intervalle Delta », qui supprime les blocs arrivant dans un intervalle $\Delta$ d'un bloc « garanti ». Cela fournit une estimation conservatrice du taux de croissance du score honnête.
  • Borne supérieure (Lemme 15/19) : Dérivée d'un « Processus d'augmentation de petit bloc », qui augmente artificiellement le score des petits blocs si un bloc plus grand arrive dans un intervalle $\Delta$. Cela fournit une limite supérieure sur le taux de croissance du score honnête.
• Cas de délai nul : Lorsque $\Delta = 0$, la région de sécurité se simplifie en $\sum c_i b_i < \sum c_i h_i$.

3. Contributions clés et résultats

1. Formalisation du Bitcoin Fusionné

L'article introduit un protocole où les blocs de différents types de hachage forment une seule chaîne, régie par une règle de choix de fourche basée sur le score. Il fournit des bornes fermées supérieures et inférieures sur la région de sécurité dans le modèle à délai $\Delta$-borné.

2. Optimisation du coût d'attaque

Dans un modèle économique de coût linéaire par hachage, l'article prouve que le Bitcoin Fusionné peut maximiser le coût d'une attaque.

• Théorème 23 : En choisissant de manière appropriée les constantes de score $c_i$ de sorte que le coût par unité de score soit égal pour tous les types de hachage ($p_i/c_i$ est constant), le coût minimum pour attaquer le Bitcoin Fusionné est égal à la somme des coûts pour attaquer chaque protocole individuel séparément ($p_1 h_1 + p_2 h_2$). Il est prouvé que c'est le coût d'attaque optimal pour tout protocole de consensus multi-hachage sous ces contraintes.

3. Mécanisme d'ajustement de la difficulté

Pour éviter que le protocole ne s'effondre en un seul type de hachage en raison des avancées technologiques ou des asymétries de coût, les auteurs proposent un ajustement de difficulté par fraction minimale.

• Si la fraction de blocs produits par un type de hachage spécifique tombe en dessous d'un seuil, sa difficulté relative est ajustée progressivement à la baisse. Cela garantit que les mineurs reviendront sur le marché pour ce type de hachage lorsqu'il deviendra rentable, maintenant ainsi un mélange diversifié de types de hachage.

4. Comparaison avec Minotaur

L'article distingue le Bitcoin Fusionné du protocole Minotaur (un système fusionné Proof-of-Work/Proof-of-Stake).

• Interruption de chaîne (Chain Outage) : Minotaur peut subir une interruption de chaîne permanente si aucun bloc n'est produit dans un intervalle de récence ; le Bitcoin Fusionné ne le subit pas.
• Attaques de prise de contrôle (Takeover Attacks) : Minotaur est vulnérable à une attaque de prise de contrôle où un adversaire peut éventuellement contrôler la chaîne avec une probabilité de 1 s'il contrôle une quelconque puissance de minage, en raison de l'intervalle de récence fini. Le Bitcoin Fusionné maintient une fraction non nulle de blocs honnêtes avec une probabilité de 1.
• Attaques prospectives : Minotaur est vulnérable aux attaques prospectives où un adversaire sait à l'avance qu'il produira une chaîne latérale à score élevé (permettant des doubles dépenses ciblées). Le Bitcoin Fusionné, s'appuyant sur les temps d'arrivée de Poisson pour la découverte de blocs, empêche les adversaires de savoir à l'avance s'ils produiront un bloc, atténuant ainsi ce vecteur d'attaque.

5. Robustesse aux avantages asymétriques

L'article soutient que le Bitcoin Fusionné offre un remède partiel aux avantages asymétriques, tels que les attaques quantiques (algorithme de Grover) ou les portes dérobées matérielles.

• Résistance quantique/portes dérobées : Si un adversaire gagne un avantage dans un type de hachage (par exemple, via un circuit quantique spécialisé), il doit simultanément posséder des circuits spécialisés pour tous les types de hachage pour dominer la chaîne. Cela augmente la complexité et le coût d'une attaque réussie de manière exponentielle avec le nombre de types de hachage ($n$), en supposant l'indépendance des probabilités d'attaque.

4. Signification et affirmations

L'article affirme que le Bitcoin Fusionné offre une méthode rigoureuse pour augmenter le seuil de sécurité des protocoles de type Bitcoin sans dépendre du résultat d'impossibilité du « Grand ET ». Sa signification réside dans :

• Maximisation du coût d'attaque : Prouver que le protocole peut être ajusté pour que le coût d'attaque soit égal à la somme des coûts d'attaque des chaînes individuelles, ce qui est le maximum théorique pour les protocoles multi-hachage.
• Décentralisation : Permettre aux ordinateurs personnels (qui peuvent être efficaces pour des hachages non-SHA-256 comme Ethash) de participer de manière viable, réduisant la dépendance aux ASICs spécialisés.
• Agrégation de confiance : Permettre à des parties ayant des hypothèses de confiance différentes (par exemple, un maximaliste Bitcoin et un maximaliste Ethereum) de s'accorder sur un registre unique, car la sécurité de la chaîne fusionnée est dérivée de la puissance honnête agrégée de tous les types.
• Bornes théoriques : Fournir les premières bornes fermées pour la région de sécurité d'un protocole Proof-of-Work multi-hachage dans un réseau à délai borné.

Les auteurs reconnaissent que bien que la région de sécurité « Grand ET » soit impossible pour les protocoles sans permission, le protocole proposé atteint une diminution exponentielle comparable de la probabilité d'erreur contre les adversaires à puissance limitée (par exemple, ceux limités par les risques de portes dérobées matérielles) et maximise avec succès le coût économique d'une attaque. Des travaux futurs sont identifiés pour analyser la règle de confirmation $k$ et explorer des protocoles qui pourraient atteindre la région « Grand ET » si les capacités de rétention de l'adversaire sont restreintes.