💻 computer science

Resilient Alerting Protocols for Blockchains

Questo articolo formalizza il problema dell'allerta ("alerting problem") criptoeconomico per le blockchain, dimostrando che i partecipanti razionali possono essere incentivati a resistere agli attacchi di corruzione attraverso tre distinti protocolli che raggiungono una resistenza alla corruzione quadratica asintoticamente ottimale, offrendo al contempo diversi compromessi tra assunzioni di rete, overhead di archiviazione e tempi di esecuzione.

Autori originali: Marwa Mouallem, Lorenz Breidenbach, Ittay Eyal, Ari Juels

Pubblicato 2026-07-15

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Marwa Mouallem, Lorenz Breidenbach, Ittay Eyal, Ari Juels

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate un mondo in cui il denaro digitale e i contratti vivono su un enorme registro pubblico immutabile chiamato blockchain. Pensatelo come un diario condiviso super sicuro, che tutti possono leggere ma che nessuno può cancellare. All'interno di questo diario vivono gli "smart contract": piccoli robot automatici che detengono miliardi di dollari di valore. Questi robot sono incredibilmente intelligenti, ma hanno un punto cieco: non possono vedere cosa accade al di fuori delle loro mura digitali. Per risolvere questo problema, si affidano a un team di messaggeri simili a esseri umani chiamati "alerter". Questi messaggeri osservano il mondo reale per eventi come crolli del mercato azionario o risultati elettorali e urlano un avvertimento ai robot se qualcosa va storto. Se i robot non ricevono l'avvertimento in tempo, potrebbero commettere un errore terribile, perdendo i soldi di tutti. La grande domanda è: cosa succede se un malintenzionato cerca di corrompere i messaggeri affinché restino in silenzio? Questo articolo approfondisce la matematica della corruzione, chiedendosi quanto denaro dovrebbe spendere un cattivo per mettere a tacere un intero team e impedire che un avvertimento venga mai udito.

Gli autori di questo articolo, Marwa Mouallem, Lorenz Breidenbach, Ittay Eyal e Ari Juels, affrontano un problema spaventoso: in molti sistemi attuali, è sorprendentemente economico per un malintenzionato corrompere tutti i messaggeri per imporre il silenzio. Se ci sono 100 messaggeri, un cattivo potrebbe dover pagare solo 100 piccole mazzette per fermare l'allarme. I ricercatori si sono resi conto che questa è una grande debolezza. Si sono posti l'obiettivo di progettare un nuovo insieme di regole — un gioco, in fondo — dove mettere a tacere il team diventa astronomicamente costoso.

Hanno scoperto un "tetto" matematico su quanto sia difficile corrompere un team. Hanno dimostrato che, indipendentemente da quanto siano ingegnose le regole, se il team ha $n$ membri, il costo per corromperli tutti non può essere superiore a un importo "quadratico", il che significa che cresce come $n$ al quadrato (o $n \times n$ ). Per un team di 100 persone, è 10.000 volte più difficile da corrompere rispetto al vecchio metodo! Il documento mostra che, mentre i sistemi semplici offrono solo una difesa "lineare" (dove il costo cresce come $n$ ), è possibile costruire sistemi che raggiungono questo limite di $n^2$ .

Per dimostrare ciò, il team ha inventato tre diversi modi per gestire il gioco, ognuno con il proprio sapore e i propri compromessi.

Per prima cosa, hanno immaginato un protocollo "Lockstep" (a sincronia). Immaginate un gruppo di amici in cerchio, tutti con le mani alzate esattamente nello stesso secondo. In questo mondo, il tempo è perfetto e prevedibile. Tutti decidono se urlare un avvertimento o restare in silenzio nello stesso identico momento, senza sapere cosa stiano facendo gli altri. Poiché agiscono simultaneamente, un malintenzionato non può aspettare di vedere chi è debole e pagare prima quelle persone. Questo metodo è super veloce (accade in un battito di ciglia) ma richiede una regola molto rigida, quasi magica, secondo cui il messaggio di tutti deve arrivare esattamente nello stesso momento.

In secondo luogo, hanno creato un protocollo di "Hardware Fidato" per quando il tempo non è perfetto. Immaginate che i messaggeri indossino degli smartwatch speciali e indistruttibili. Scrivono la loro decisione (urlare o restare in silenzio) nell'orologio e la chiudono in una cassaforte digitale. L'orologio è programmato in modo che la chiave per aprire la cassaforte appaia solo dopo che sono passati un numero specifico di blocchi temporali sulla blockchain. Questo impedisce al cattivo di sbirciare le decisioni in anticipo. È un po' più complesso e richiede che tutti utilizzino questo hardware speciale, ma funziona anche se la connessione internet è un po' lenta o disordinata.

Terzo, hanno progettato un protocollo "Sequenziale", che è come un gioco della "patata bollente" o una staffetta. Inveve di agire tutti insieme, i messaggeri si alternano. La prima persona in fila decide, poi la seconda, e così via. Se la prima persona urla, il gioco si ferma immediatamente e gli altri non devono nemmeno decidere. Questo è ottimo perché risparmia molto spazio di archiviazione digitale (la blockchain non deve registrare la decisione di tutti se il primo risolve la questione). Tuttavia, richiede più tempo per finire, specialmente se le prime persone decidono di restare in silenzio.

La grande scoperta del documento è che tutti e tre questi metodi sono "asintoticamente ottimali". Questo è un modo complicato per dire che raggiungono tutti quel perfetto limite di difesa $n^2$ . Che si scelga il veloce ma rigido Lockstep, l'hardware-centrico metodo Fidato o la lenta ma efficiente corsa Sequenziale, si può rendere la corruzione così costosa che un malintenzionato semplicemente non può permettersela. Gli autori non si sono limitati a indovinare; hanno usato la teoria dei giochi (la matematica della strategia) per dimostrare che, in questi scenari, un cattivo razionale perderebbe denaro cercando di corrompere tutti, quindi rinuncerebbe.

In breve, questo articolo prende una vulnerabilità spaventosa nel nostro mondo finanziario digitale e ci mostra esattamente come costruire uno scudo che renda la corruzione un gioco perdente. Dimostra che, con le giuste regole, possiamo proteggere miliardi di dollari rendendo il prezzo del silenzio troppo alto per chiunque possa pagarlo.

Riepilogo Tecnico: Protocolli di Alerting Resilienti per le Blockchain

1. Definizione del Problema

Gli smart contract sulle blockchain proteggono oltre 170 miliardi di dollari di valore e dipendono sempre più da avvisi tempestivi riguardanti eventi esterni (ad es. variazioni del prezzo degli asset, risultati di computazioni off-chain). I meccanismi di alerting esistenti sono vulnerabili ad attacchi di soppressione basati su tangenti (bribery-based suppression attacks), in cui un avversario paga i partecipanti affinché rimangano in silenzio. Il lavoro precedente ha analizzato gli incentivi per l'invio di avvisi, ma non ha modellato l'economia della loro soppressione.

La sfida centrale è il Problema dell'Alerting (Alerting Problem): progettare protocolli che incentivino $n$ nodi razionali a inviare avvisi tempestivi anche quando un avversario offre tangenti per deviare dal comportamento atteso. L'obiettivo è massimizzare la resistenza ai tangenti (bribery resistance) — ovvero l'importo totale che un avversario deve pagare per impedire con successo la pubblicazione di qualsiasi avviso on-chain.

2. Metodologia e Modello

Gli autori formalizzano il problema come un gioco criptoeconomico che coinvolge:

Partecipanti: Un insieme di $n$ nodi razionali, un operatore del protocollo e un avversario razionale.
Meccanismi: I nodi mettono in staking dei token come collaterale. Uno smart contract ($AlertingContract$) applica una penalità $\lambda$ per i nodi che non inviano l'avviso quando le condizioni sono soddisfatte. L'operatore finanzia il contratto con un budget costante $c$ .
Avversario: Può offrire tangenti privati $\beta_i$ ai nodi per impedire loro di inviare l'avviso. L'avversario ottiene un profitto $G$ se non viene pubblicato alcun avviso.
Assunzioni: Lo studio considera protocolli in cui lo stake/penalità per nodo è costante (indipendente da $n$ ) e il budget dell'operatore è costante.

Il documento analizza tre distinti design di protocollo per determinare i loro esiti di equilibrio e la resistenza ai tangenti:

Protocollo a Penalità Bruciata (Burned-Penalty Protocol): Un baseline in cui i nodi che non inviano l'avviso subiscono lo slashing, e la penalità viene bruciata (non ridistribuita).
Gioco di Alerting Simultaneo (Simultaneous Alerting Game): Un gioco teorico in cui tutti i nodi agiscono simultaneamente senza osservare le azioni degli altri.
Protocollo di Alerting Sequenziale (Sequential Alerting Protocol): Un meccanismo in cui i nodi agiscono in un ordine specifico, osservando le azioni precedenti.

3. Contributi Chiave e Risultati

A. Limite Superiore Teorico sulla Resistenza ai Tangenti

Il documento stabilisce un limite fondamentale per la resistenza ai tangenti per qualsiasi protocollo di alerting $(c, \lambda)$ .

Risultato: La massima resistenza ai tangenti è $\Theta(n^2)$ .
Ragionamento: In qualsiasi protocollo con penalità costanti, la ricompensa massima che un nodo che invia l'avviso può ricevere è limitata dalla somma delle penalità di tutti gli altri $n-1$ nodi più il budget dell'operatore ( $\lambda(n-1) + c$ ). Per corrompere tutti i $n$ nodi affinché rimangano in silenzio, l'avversario deve offrire a ciascun nodo poco più di questa potenziale ricompensa massima. Pertanto, il costo totale è circa $n \times \lambda n = \Theta(n^2)$ .
Fallimento del Baseline: Un protocollo diretto (ad es. dividere una ricompensa fissa $c$ tra chi invia l'avviso) raggiunge solo una resistenza di $\Theta(n)$ , rendendo economicamente fattibile per un avversario sopprimere gli avvisi su larga scala.

B. Il Gioco di Alerting Simultaneo

Gli autori progettano un gioco in cui i nodi scelgono le azioni simultaneamente dopo aver osservato le offerte di tangenti.

Analisi dell'Equilibrio:
- Se il tangente $\beta_i \ge \lambda(n-1)$ , "NoAlert" è una strategia dominante.
- Se il tangente $\beta_i \le \lambda$ , "Alert" è una strategia dominante.
- Nell'intervallo intermedio ( $\lambda < \beta_i < \lambda(n-1)$ ), non esiste un equilibrio di Nash puro simmetrico.
Risultato di Strategia Mista: In qualsiasi equilibrio di strategia mista in questo intervallo, l'utilità attesa dell'avversario è non positiva se il suo guadagno $G < \lambda n(n-1)$ .
Conclusione: Il gioco simultaneo raggiunge una resistenza ai tangenti di $\Theta(n^2)$ , eguagliando asintoticamente il limite teorico.

C. Implementazioni del Protocollo

Il documento presenta tre protocolli che implementano questi meccanismi con diversi trade-off:

1. Protocollo di Alerting Lockstep

Assunzione: Sincronia di rete rigorosa (le transazioni vengono appese esattamente $\Delta_{write}$ step dopo l'invio).
Meccanismo: I nodi inviano avvisi in un singolo step temporale. Il contratto verifica l'inclusione in un blocco specifico.
Performance: Finalità a tempo costante.
Overhead: Richiede fino a $n$ transazioni (storage lineare) se è necessario un avviso; 0 altrimenti.
Resistenza: Raggiunge $\Theta(n^2)$ .

2. Protocollo di Alerting Basato su TEE

Assunzione: Sincronia con ritardo massimo standard + Ambienti di Esecuzione Fidati (TEE).
Meccanismo: Utilizza uno schema Commit-Reveal. I nodi si impegnano nelle azioni usando i TEE che impongono una primitiva di Proof of Publication (PoP). Ciò assicura che i nodi non possano rivelare la propria azione (o colludere per rivelarla anticipatamente) finché non sono passati un numero specifico di blocchi, impedendo la fuga di informazioni durante la fase decisionale.
Performance: Finalità a tempo costante.
Overhead: Richiede $2n$ transazioni (storage lineare).
Resistenza: Raggiunge $\Theta(n^2)$ .

3. Protocollo di Alerting Sequenziale

Assunzione: Non richiede sincronia rigorosa o TEE.
Meccanismo: Ai nodi vengono assegnati slot temporali distinti. Un nodo può inviare l'avviso solo nel proprio slot dopo aver osservato le azioni di tutti i nodi precedenti. Se un nodo invia l'avviso, il protocollo termina.
Struttura delle Ricompense: Il primo nodo che invia l'avviso riceve le penalità cumulative di tutti i nodi negli slot precedenti che non hanno inviato l'avviso.
Performance: Il tempo di esecuzione worst-case è $O(n)$ (tempo lineare).
Overhead: Storage costante ( $O(1)$ ). Richiede 0 transazioni se non è necessario un avviso, e 1 transazione se viene inviato un avviso.
Resistenza: Raggiunge $\Theta(n^2)$ (specificamente $\lambda n(n-1)/2$ ), che è la metà del limite del gioco simultaneo ma comunque asintoticamente ottimale.

4. Significato e Rivendicazioni

Il documento sostiene di essere il primo a:

Formalizzare il problema dell'alerting come un gioco criptoeconomico che coinvolge un avversario che offre tangenti.
Dimostrare che la massima resistenza ai tangenti ottenibile per tali protocolli è quadratica ( $\Theta(n^2)$ ).
Progettare un gioco simultaneo che raggiunge asintoticamente questo limite.
Specificare tre istanze pratiche (Lockstep, basata su TEE e Sequenziale) che offrono diversi trade-off tra latenza, storage on-chain e assunzioni di fiducia, mantenendo al contempo una resistenza ai tangenti asintoticamente ottimale.

Gli autori sottolineano che i sistemi esistenti (ad es. rollup ottimistici, reti di oracoli) spesso si affidano a meccanismi a costo lineare che sono vulnerabili ai tangenti. Il loro lavoro fornisce uno spazio di progettazione ricco per costruire sistemi di alerting economicamente sicuri in grado di resistere a tentativi di corruzione su larga scala.

5. Limitazioni e Ambito

L'analisi si basa su attori razionali e specifiche assunzioni di teoria dei giochi (ad es. avversari PPT, assunzioni crittografiche standard).
Il protocollo basato su TEE dipende dalla sicurezza dell'hardware fidato e dall'assunzione che la blockchain non possa essere foraggiata (forked) da un singolo nodo o avversario dopo un checkpoint.
Il documento si concentra su modelli astratti e non valuta protocolli specifici già implementati o fornisce parametri di sistema specifici per un deployment immediato.
Il protocollo sequenziale scambia la complessità temporale ( $O(n)$ ) per l'efficienza dello storage, il che potrebbe essere un vincolo per applicazioni sensibili alla latenza.