Economic Security of VDF-Based Randomness Beacons: Models, Thresholds, and Design Guidelines

1. Problématique

Les balises de hasard (randomness beacons) sont des primitives fondamentales pour les systèmes distribués et les blockchains, utilisées pour sélectionner des validateurs, échantillonner des comités ou piloter des loteries. Les Fonctions de Délai Vérifiables (VDF) sont de plus en plus proposées pour construire ces balises, car elles garantissent qu'un résultat ne peut être calculé qu'après un temps séquentiel prédéfini, même avec du matériel parallèle.

Cependant, l'analyse de sécurité existante se concentre presque exclusivement sur la sécurité cryptographique (résistance algorithmique face à un adversaire polynomial). Elle néglige un aspect crucial : les attaquants réels sont des agents rationnels motivés par le profit économique.

• Le vide théorique : Une VDF peut être cryptographiquement sûre (aucun algorithme ne peut la calculer plus vite), mais économiquement vulnérable si un attaquant peut acheter du matériel plus rapide (ASIC, FPGA) et si le gain potentiel (ex: MEV - Maximal Extractable Value) dépasse le coût de l'attaque.
• La question centrale : Comment déterminer les paramètres de délai ($T$) d'une VDF pour qu'il soit économiquement irrationnel pour un attaquant de tenter de la manipuler ou de la calculer prématurément ?

2. Méthodologie

Les auteurs proposent un cadre formel intégrant la théorie des jeux, le contrôle stochastique et l'analyse cryptographique.

A. Modèle de l'Adversaire Rationnel

L'adversaire est modélisé comme un agent cherchant à maximiser son profit espéré. Le modèle prend en compte :

• Avantage de vitesse ($\delta$) : Le rapport entre la vitesse de l'adversaire (matériel spécialisé) et celle des participants honnêtes.
• Coût opérationnel ($c$) : Le coût par unité de temps pour louer ou faire tourner le matériel d'attaque (cloud, électricité, amortissement).
• Récompense stochastique ($V$) : La valeur économique obtenue en influençant le hasard (MEV, avantages de validation, paris). Cette récompense est modélisée comme une variable aléatoire.

B. Formulation comme Problème d'Arrêt Optimal

La décision d'attaquer est formulée comme un problème d'arrêt optimal (optimal-stopping problem) :

• L'adversaire observe l'évolution de la récompense potentielle au fil du temps.
• Il doit décider à quel moment arrêter l'attaque (soit en complétant le calcul pour obtenir la récompense, soit en abandonnant si le coût dépasse le gain espéré).
• L'objectif est de trouver la stratégie qui maximise le profit espéré : $E[\text{Profit}] = E[V] - \text{Coût}$.

C. Analyse Théorique et Extensions

Les auteurs dérivent des conditions nécessaires et suffisantes pour la sécurité économique :

1. Structure de seuil : Ils prouvent que la stratégie optimale de l'adversaire suit une structure de seuil monotone (attaquer si la récompense dépasse un certain seuil par rapport au coût).
2. Extensions aux attaques complexes :
   • Grinding (Hachage intensif) : L'adversaire teste plusieurs graines pour trouver une issue favorable. Cela augmente la récompense effective maximale ($V_{max}$).
   • Abandon sélectif (Selective Abort) : L'adversaire rejette les résultats défavorables et relance l'attaque, augmentant le coût mais aussi le gain espéré.
   • Jeux multi-adversaires : Analyse des équilibres de Nash lorsque plusieurs agents rationnels se concurrencent pour la même récompense.

3. Contributions Clés

1. Modélisation de la sécurité économique : Première définition formelle de la sécurité économique pour les balises VDF, reliant les paramètres cryptographiques aux incitations économiques.
2. Conditions de seuil analytiques : Dérivation de conditions précises liant le délai $T$ au rapport coût/récompense. La condition de base pour un round unique est :
   $$T \geq \frac{\delta}{c} \cdot E[V]$$
   Où $T$ est le délai, $\delta$ l'avantage de vitesse, $c$ le coût unitaire et $E[V]$ la récompense espérée.
3. Analyse des attaques avancées : Démonstration que les attaques par "grinding" et "abandon sélectif" augmentent considérablement la récompense effective, nécessitant des délais beaucoup plus longs pour maintenir la sécurité.
4. Études de cas réalistes : Utilisation de données réelles (prix du cloud, benchmarks FPGA/ASIC, données MEV d'Ethereum) pour évaluer la sécurité de paramètres proposés dans la littérature.
5. Guidelines et ESDP : Introduction du concept de Paramètres de Délai Économiquement Sûrs (ESDP - Economically Secure Delay Parameters) pour guider les concepteurs de protocoles.

4. Résultats Principaux

Les études de cas révèlent des écarts alarmants entre les paramètres cryptographiques courants et les exigences de sécurité économique :

• Insécurité des délais courts : De nombreuses propositions de balises VDF avec des délais de l'ordre de quelques secondes (2 à 5 secondes) sont économiquement non sécurisées dès que les opportunités de MEV dépassent quelques dizaines de dollars.
• Ordre de grandeur requis : Pour des récompenses MEV typiques (ex: 50 $) et des coûts de cloud réalistes, le délai sécurisé doit être de l'ordre de plusieurs minutes (ex: ~10 minutes pour un MEV de 10 $, ~100 minutes pour 100 $).
• Cas Ethereum : Pour un slot de 12 secondes avec un MEV médian de 50 $, le délai requis pour la sécurité économique serait d'environ 3,1 jours avec le matériel actuel, ce qui est impraticable sans mécanismes de protection supplémentaires (comme des mempools chiffrés).
• Impact du Grinding : La capacité à tester plusieurs graines (grinding) amplifie la récompense espérée, forçant une augmentation non linéaire du délai de sécurité.
• Coalitions : La formation de coalitions entre attaquants réduit le coût par individu, rendant les attaques plus rentables et exigeant des délais encore plus stricts.

5. Signification et Implications

Ce travail change fondamentalement la manière dont les protocoles de hasard doivent être conçus :

• Au-delà de la cryptographie : La sécurité cryptographique seule est insuffisante. Un protocole doit être conçu en tenant compte de l'environnement économique réel (coûts du matériel, volatilité des récompenses).
• Outil de conception (ESDP) : L'introduction des ESDP permet aux ingénieurs de spécifier des paramètres de délai non pas arbitrairement, mais en fonction de contraintes économiques quantifiables.
• Compromis Latence/Sécurité : L'article met en lumière le compromis inévitable entre la sécurité économique (qui exige des délais longs) et la vivacité/latence du système (qui exige des délais courts). Les concepteurs doivent soit limiter les récompenses potentielles (ex: plafonner les mises), soit accepter des latences plus élevées, soit intégrer des mécanismes de protection contre le MEV.
• Appel à l'action : Les auteurs recommandent une réévaluation périodique des paramètres de délai à mesure que les coûts du matériel et les opportunités de profit évoluent.

En conclusion, l'article établit que pour qu'une balise de hasard basée sur VDF soit réellement sécurisée dans des systèmes décentralisés réels, ses paramètres doivent être calibrés pour rendre toute déviation rationnelle non rentable, et non seulement algorithmiquement difficile.