Riepilogo Tecnico: Scambi Atomici Probabilistici per Bitcoin e Affini

1. Enunciato del Problema

Gli scambi atomici sono un primitivo crittografico fondamentale che abilita lo scambio trustless e cross-chain di asset digitali con una garanzia "tutto-o-niente": o entrambe le parti ricevono i loro asset concordati, o nessuna delle due lo fa. Sebbene potenti, questa natura deterministica preclude scambi in cui l'esito previsto è probabilistico. Le soluzioni esistenti per scambi probabilistici (ad esempio, lotterie, scommesse o allocazioni randomizzate) su blockchain affrontano limitazioni significative:

• Complessità e Costo: Spesso richiedono contratti intelligenti complessi o meccanismi intricati a livello di script, portando a dimensioni di transazione maggiori, commissioni più elevate e ridotta portabilità verso catene con supporto limitato agli script (come Bitcoin).
• Privacy e Fungibilità: Script complessi rendono il comportamento on-chain distinguibile, indebolendo privacy e fungibilità.
• Vincoli di Partecipazione: Molti protocolli di lotteria esistenti richiedono un insieme fisso e noto di partecipanti, rendendoli inadatti ad ambienti aperti e senza permessi.
• Vulnerabilità al Bias: Gli approcci precedenti spesso non riescono a impedire a una parte di prevedere l'esito e di abortire selettivamente se il risultato è sfavorevole, distorcendo così la probabilità effettiva.

La sfida principale è estendere gli scambi atomici a un contesto probabilistico, in cui una parte paga per una possibilità fissa e pubblicamente specificata di ricevere una ricompensa maggiore, senza modificare l'impronta on-chain minima dei protocolli di scambio atomico esistenti o introdurre intermediari fidati.

2. Metodologia e Progettazione del Protocollo

Gli autori introducono gli scambi atomici probabilistici, un nuovo primitivo crittografico che realizza uno scambio equo con una distribuzione di esito prescritta. Il protocollo coinvolge due parti: un Dealer (D) e una Parte (P). P trasferisce una quantità fissa (ad esempio, 1 moneta) in cambio di una probabilità $p$ di ricevere una ricompensa maggiore ($\nu$ monete) da D. Se l'evento probabilistico non si verifica, P non riceve nulla e D trattiene il pagamento.

Blocchi Costruttivi Crittografici Fondamentali

La costruzione si basa su tre componenti principali, tutte compatibili con script standard simili a Bitcoin (firme digitali e timelock):

1. Firme Adattatore: Utilizzate per garantire l'atomicità. Consentono di adattare una pre-firma a una firma completa solo se è noto un specifico testimone (segreto). Questo vincola la rivelazione dei segreti al completamento delle transazioni on-chain.
2. Funzioni Pseudo-Casuali Oblivious (OPRF): Utilizzate per codificare l'esito probabilistico. Il Dealer agisce come server OPRF detenendo una chiave segreta $sk_D$. La Parte detiene un input (una "scommessa" $y_{gss}$). L'OPRF permette alla Parte di ottenere la valutazione $OPRF(sk_D, y_{gss})$ senza che il Dealer apprenda la scommessa e senza che la Parte apprenda la chiave.
3. Prove a Conoscenza Zero (NIZK): Utilizzate per dimostrare la correttezza formale delle affermazioni del protocollo, assicurando che il Dealer non possa manipolare la distribuzione di probabilità.

Flusso del Protocollo

Il protocollo è suddiviso in quattro fasi:

1. Configurazione e Finanziamento:

   • Il Dealer campiona un valore target $y_{tgt}$ da un dominio di dimensione $m$ (dove $p = 1/m$).
   • Il Dealer calcola un "testimone vincente" $y_{win} = OPRF.Eval(sk_D, y_{tgt})$ e costruisce un'affermazione $Y_{win} = g^{y_{win}}$.
   • Il Dealer fornisce $Y_{win}$ e una prova NIZK di correttezza formale alla Parte.
   • Entrambe le parti bloccano i loro fondi in script bloccati nel tempo controllati da una coppia di chiavi temporanea (generata tramite un protocollo DKG a 2 parti).

2. Reclamo Dealer (Valutazione OPRF come Servizio):

   • La Parte seleziona una scommessa $y_{gss}$ e invia una richiesta OPRF oscurata al Dealer.
   • Il Dealer valuta l'OPRF, crittografa il risultato sotto una chiave effimera $Z$, e fornisce il testo cifrato insieme a una prova NIZK di correttezza.
   • Crucialmente, il Dealer pre-firma anche la transazione di pagamento della Parte utilizzando $Z$ come affermazione adattatore.
   • Il Dealer adatta questa pre-firma utilizzando la chiave di decrittazione $z$ (il testimone per $Z$) e trasmette la transazione per reclamare il pagamento della Parte.
   • Atomicità: La Parte può estrarre $z$ dalla firma on-chain solo dopo che il Dealer è stato pagato. $z$ è necessario per decrittografare la risposta OPRF.

3. Reclamo Parte:

   • La Parte estrae $z$, decrittografa la risposta OPRF e calcola il testimone candidato $y'_{win}$.
   • Se $y'_{win}$ corrisponde al testimone vincente (cioè $y_{gss} = y_{tgt}$), la Parte adatta la pre-firma del Dealer per reclamare la ricompensa.
   • Se la scommessa è errata, la Parte non apprende nulla di utile per l'adattamento.

4. Scadenza/Rimborso:

   • Se il Dealer non riesce a reclamare il pagamento entro un timeout, la Parte rimborsa i fondi bloccati.
   • Se la Parte non riesce a reclamare la ricompensa entro un timeout, il Dealer rimborsa i fondi bloccati.

Prove di Correttezza Formale

Un contributo tecnico critico è dimostrare che $Y_{win}$ corrisponde a una valutazione OPRF valida su un valore all'interno del dominio corretto, senza rivelare il target. Gli autori propongono due istanziazioni:

• Bulletproofs: Utilizza vincoli R1CS per dimostrare la struttura dell'OPRF 2HashDH. Offre dimensioni di prova e tempi di verifica costanti, ma richiede l'istanziazione di oracoli casuali.
• Taglia-e-Scegli: Una tecnica in cui il Dealer fornisce più istanze e la Parte verifica un sottoinsieme casuale. Gli autori modificano l'OPRF per permettere l'apertura delle istanze senza rivelare il valore target, assicurando che la probabilità di vincita rimanga esattamente $1/m$ anche se il Dealer barare. Questo approccio è più efficiente per alte probabilità di vincita ($p \ge 1/2^{12}$).

3. Contributi Chiave

• Nuovo Primitivo: Introduzione degli scambi atomici probabilistici, definiti formalmente tramite una funzionalità ideale che generalizza gli scambi atomici deterministici a esiti probabilistici.
• Impronta On-Chain Minima: Il protocollo richiede solo script Bitcoin standard (firme e timelock). Non richiede contratti intelligenti complessi o nuovi opcode, rendendolo immediatamente deployabile su Bitcoin, Litecoin e altre catene che supportano scambi atomici.
• Valutazione OPRF per Pagamenti: Gli autori sviluppano un meccanismo innovativo per lo scambio atomico di valutazioni OPRF vincolate ai pagamenti. Questo assicura che il Dealer venga pagato prima che la Parte apprenda l'esito, prevenendo il bias. Questo strumento è notato come avente interesse indipendente per applicazioni come il limitazione del tasso guidata dai pagamenti.
• Sicurezza Formale: Il protocollo è dimostrato sicuro nel modello basato sulla simulazione contro corruzioni statiche, soddisfacendo le proprietà di atomicità probabilistica (equità, assenza di bias e atomicità).
• Implementazione Pratica: Un'implementazione completa in Rust, testata sulle testnet di Bitcoin e Litecoin, e una variante per la Lightning Network (utilizzando HTLC e prove di collegamento off-chain).

4. Risultati e Benchmark

• Deploy su Testnet: Gli autori hanno eseguito con successo scambi probabilistici cross-chain tra le testnet di Bitcoin e Litecoin. Uno scambio vincente completo ha coinvolto esattamente quattro transazioni Taproot standard.
• Dimensione Transazione: Ogni transazione era di circa 575 Unità di Peso (WU).
• Prestazioni:
  • Bulletproofs: Tempo di generazione prova $\approx 5.6$s, verifica $\approx 0.35$s, dimensione prova $\approx 2.8$KB (costante indipendentemente dalla probabilità).
  • Taglia-e-Scegli: Il tempo di generazione prova è più veloce per piccoli $\ell$ (ad esempio, $0.27$s per $\ell=10$) ma scala esponenzialmente con la dimensione del dominio. Per $\ell=16$, la generazione richiede $\approx 16$s con una prova da 16MB.
  • Prototipo Lightning: È stata implementata una variante basata su HTLC, con un tempo totale di esecuzione online di circa 1.30s per tre round (inclusa la pre-computazione).
• Costo: Le commissioni sono state comparabili agli scambi atomici standard (ad esempio, 1550 sat per una transazione di finanziamento da 616WU sulla testnet di Bitcoin).

5. Significato e Affermazioni

Il documento afferma che gli scambi atomici probabilistici risolvono una limitazione fondamentale degli scambi atomici classici abilitando scambi trustless e decentralizzati con esiti randomizzati. Il significato risiede in:

• Abilitazione di Nuovi Casi d'Uso: Realizzare la visione di "OP_RAND" su Bitcoin, permettendo scommesse, lotterie e scambi cross-chain probabilistici senza case fidate.
• Preservazione di Privacy e Fungibilità: Evitando script complessi, l'impronta on-chain del protocollo è indistinguibile dagli scambi atomici ordinari, preservando la privacy e la fungibilità degli asset.
• Accessibilità: La dipendenza da un supporto minimo agli script rende il protocollo deployabile su un'ampia gamma di blockchain esistenti e reti Layer-2 (come la Lightning Network, una volta attivi i PTLC o tramite varianti HTLC).
• Sicurezza: Il protocollo fornisce garanzie crittografiche rigorose che l'esito è privo di bias e segue la probabilità pubblicizzata, anche in presenza di attori malintenzionati, senza richiedere una terza parte fidata.

Gli autori notano esplicitamente che, sebbene il loro protocollo supporti scambi probabilistici asimmetrici (una parte paga per una possibilità), scambi probabilistici a due vie (in cui entrambe le parti hanno esiti probabilistici) sono probabilmente impossibili su blockchain minimali a causa di asimmetrie intrinseche nel processo decisionale sequenziale, una limitazione che discutono ma non tentano di superare.