💻 computer science

The Consensus Number of Untraceable Cryptocurrencies

Questo articolo analizza i costi di sincronizzazione dell'untraceability del mittente nelle criptovalute formalizzando due design — oggetti di trasferimento di asset untraceable lineari (LUAT) e a stato costante (CUAT) — e determinando che mentre il LUAT raggiunge un basso numero di consenso di 2 a scapito di una crescita dello storage, il CUAT offre uno stato costante ma incorre in numeri di consenso illimitati o quadratici e manca di starvation-freedom a seconda della forza della garanzia di untraceability.

Autori originali: Christian Cachin, David Lehnherr, Juan Villacis, François-Xavier Wicht

Pubblicato 2026-07-24

📖 7 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Christian Cachin, David Lehnherr, Juan Villacis, François-Xavier Wicht

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il Grande Furto Digitale: Nascondersi in Pieno Sole

Immaginate di essere in una stanza affollata dove tutti sussurrano segreti. Nel mondo digitale delle criptovalute, questa stanza è il "ledger", un enorme quaderno pubblico che registra chi ha inviato denaro a chi. Di solito, questo quaderno è come una parete di vetro: si può vedere esattamente chi ha pagato chi, anche se non si conoscono i loro veri nomi. Ma cosa succederebbe se voleste effettuare un pagamento senza che nessuno sappia quale persona tra la folla abbia effettivamente consegnato i contanti? Questa è la sfida dell' "impossibilità di tracciare il mittente" (sender untraceability).

Per risolvere questo problema, i crittografi usano un trucco chiamato "insieme di mascheramento" (masking set). Immaginate di essere voi a pagare, ma di trovarvi in un gruppo di dieci amici. Tutti voi sollevate delle buste dall'aspetto identico. Per un osservatore esterno, sembra che uno qualsiasi dei dieci amici potrebbe aver pagato, ma non possono dire quale. Il documento che stiamo esplorando scava a fondo nei meccanismi di questi gruppi. Pone una domanda molto specifica, quasi filosofica: se vogliamo nascondere il mittente all'interno di un gruppo, quell'atto di nascondersi cambia il modo in cui il gruppo funziona? Nello specifico, rende più difficile per il gruppo concordare su cosa accadrà dopo? Gli autori stanno esaminando il "numero di consenso", un modo elegante per misurare quanta coordinazione è necessaria per portare a termine le cose. Pensatelo come a un "metro del traffico": un numero basso significa che le auto possono sfrecciare l'una accanto all'altra facilmente; un numero alto significa che devono fermarsi, aspettare e discutere su chi debba passare per primo.

I due modi per nascondersi: Il "Tenere Tutto" contro lo "Scambiare Tutto"

Il documento confronta due diverse strategie per gestire questi gruppi di amici (insiemi di mascheramento) per nascondere il mittente. Chiamiamole la Strategia Lineare e la Strategia Costante.

La Strategia Lineare (LUAT): La Lista degli Ospiti in Crescita Continua
Immaginate una festa dove, ogni volta che qualcuno paga, non si limita a nascondersi in un gruppo, ma lascia anche un appunto permanente sul muro dicendo: "Qualcuno di questo gruppo ha pagato!". La festa non cancella mai questi appunti. La lista dei "potenziali pagatori" (allow-set) continua a crescere, e la lista delle "persone che hanno già pagato" (deny-set) continua a crescere anch'essa.

La Buona Notizia: Questo metodo è sorprendentemente tranquillo. Anche se la lista diventa enorme, il "metro del traffico" rimane molto basso. Gli autori dimostrano che, indipendentemente da quanto sia grande il gruppo di amici, il sistema ha bisogno di coordinarsi solo per 2 persone alla volta. È come una pista da ballo dove tutti possono muoversi liberamente; anche se urtate qualcuno, non c'è bisogno di fermare l'intera festa per capire chi si è mosso per primo.
Il Rovescio della Medaglia: Il muro della festa viene coperto di post-it per sempre. Lo spazio di archiviazione necessario per ricordare tutti quelli che potrebbero aver pagato cresce linearmente con ogni transazione. È come cercare di ricordare ogni singola persona che è passata attraverso una porta, anche se se n'è andata anni fa.

La Strategia Costante (CUAT): La Rerandomizzazione Magica
Ora, immaginate una festa diversa. Quando qualcuno paga, non si limita a lasciare un appunto. Invece, l'intero gruppo di amici cambia istantaneamente vestiti, nomi e identità. Il vecchio gruppo svanisce e appare un gruppo completamente nuovo. Questo mantiene costante il numero totale di persone nella stanza, così il "muro" non si sporca mai. Questo è il metodo utilizzato da sistemi come Quisquis.

Il Rovescio della Medaglia: È qui che le cose diventano caotiche. Poiché l'intero gruppo cambia, se due persone provano a pagare contemporaneamente e i loro gruppi si sovrappongono (anche solo per una persona in comune), si scontrano tra loro. Non possono entrambi avere successo.
Il Risultato: Il "metro del traffico" esplode. Gli autori hanno scoperto che la coordinazione necessaria qui cresce in modo quadratico rispetto alla dimensione del gruppo. Se il vostro gruppo ha 10 persone, la coordinazione necessaria è circa 100. Se ne avete 100, ne servono 10.000! È come un gioco delle sedie musicali in cui, se due gruppi condividono anche solo una sedia, l'intero gioco deve fermarsi e ricominciare per capire chi si siede dove.

Il Compromesso tra Privacy e Progresso

Il punto cruciale del documento è una scoperta fondamentale. Potete avere la privacy, ma dovete pagarla in una di queste due valute: Archiviazione o Sincronizzazione.

Pagare in Archiviazione (Strategia Lineare): Conservate la cronologia per sempre. Il sistema rimane veloce e facile da coordinare (numero di consenso di 2), ma il vostro disco rigido si riempie.
Pagare in Sincronizzazione (Strategia Costante): Mantenete la cronologia piccola e pulita. Ma per farlo, costringete il sistema a coordinarsi massicciamente. Più persone cercate di nascondere, più difficile sarà far concordare tutti sull'ordine degli eventi.

Gli autori hanno esaminato anche una modalità di "super-privacy" chiamata Strong Untraceability (Inseguibilità Forte). Questo è come avere un detective che osserva l'intera cronologia della festa, non solo un momento specifico. Hanno notato che se volete nascondere perfettamente il mittente su una lunga storia, i gruppi di amici devono essere disposti secondo un modello matematico molto specifico (come una griglia perfetta o un piano proiettivo). Se non li disponete perfettamente, il detective può indovinare chi ha pagato vedendo chi compare in troppi gruppi. Quando forzate questa disposizione perfetta, il "metro del traffico" raggiunge un tetto specifico e molto alto basato sulla dimensione del gruppo.

Il Problema della Fame: Lo Scheduler Malvagio

Infine, il documento affronta un lato oscuro della Strategia Costante: la Starvation (Fame/Inedia).
Immaginate un bullo alla festa (uno "scheduler avversario") che controlla la musica. Nella Strategia Lineare, se siete pronti a pagare, potrete sempre pagare prima o poi, anche se il bullo cerca di fermarvi. Nella Strategia Costante, poiché l'intero gruppo cambia, il bullo può continuare a premere il tasto "reset" sul vostro specifico gruppo.
Gli autori hanno dimostrato che nella Strategia Costante, un bullo può far pagare una persona per sempre mentre costringe un'altra persona ad aspettare per sempre, anche se la persona in attesa ha denaro ed è pronta a procedere. La persona in attesa continua a provare, ma ogni volta che ci prova, il bullo resetta il gruppo proprio prima che possa finire. Questo è un "attacco Denial of Service" che è matematicamente impossibile da prevenire se il sistema è progettato per mantenere lo stato ridotto.

Conclusione

Questo documento non dice semplicemente "uno è meglio dell'altro". Esso mappa il costo esatto delle vostre scelte.

Se volete un sistema che non finisca mai lo spazio e sia equo per tutti, dovete accettare che la lista delle transazioni passate crescerà per sempre (Lineare).
Se volete un sistema che rimanga piccolo e ordinato, dovete accettare che diventerà incredibilmente lento e complicato da coordinare man mano che aggiungete persone, e che potrebbe permettere a un bullo di affamare alcuni utenti (Costante).

Gli autori hanno dimostrato questi limiti con certezza matematica. Hanno mostrato che non potete avere il meglio di entrambi i mondi: non potete avere una cronologia piccola, ordinata e al contempo un sistema veloce, equo e facile da coordinare. L'universo delle criptovalute esige un prezzo per la privacy, e questo documento vi dice esattamente quanto dovete pagare.

Sintesi Tecnica: Il Numero di Consenso delle Criptovalute Untraceable

Enunciato del Problema
Le criptovalute mirano a fornire l'untraceability (non tracciabilità) del mittente, nascondendo il conto specifico che finanzia una transazione all'interno di un insieme di account candidati noto come "masking set". Sebbene le definizioni crittografiche della privacy siano ben consolidate, i costi di sincronizzazione e le garanzie di progresso di tali meccanismi rimangono sottoposti a un'analisi insufficiente. Il documento affronta una scelta fondamentale nel design del trasferimento di asset untraceable: se mantenere gli account spesi in un registro in crescita (stato lineare) o invalidare e sostituire l'intero masking set al momento del trasferimento (stato costante). Gli autori indagano come questa scelta influenzi il potere di sincronizzazione del sistema, specificamente il suo numero di consenso, e la sua capacità di garantire l'equità (starvation-freedom).

Metodologia
Gli autori formalizzano due design distinti come oggetti in memoria condivisa parametrizzati dalla dimensione del masking set $\lambda$ :

Trasferimento di Asset Untraceable Lineare (LUAT): Modella sistemi come Zcash e Monero. Un trasferimento consuma un account da un masking set e aggiunge un nullifier a un deny-set, mentre l'allow-set cresce. Il masking set funge da set di esche (decoys); i set sovrapposti non presentano conflitti.
Trasferimento di Asset Untraceable Costante (CUAT): Modella sistemi come Quisquis. Un trasferimento consuma e sostituisce atomicamente ogni account nel suo masking set con nuove rappresentazioni. Di conseguenza, due trasferimenti con masking set intersecanti non possono entrambi avere successo; la sovrapposenza costituisce un conflitto.

L'analisi utilizza la gerarchia del consenso [Her91], determinando il numero di consenso (il numero massimo di processi per i quali è possibile risolvere il consenso wait-free) per questi oggetti. Lo studio distingue tra due nozioni di untraceability:

Weak Untraceability (Debole): Protegge una transazione in isolamento.
Strong Untraceability (Forte): Protegge contro un avversario che osserva la storia completa delle transazioni, richiedendo che due account che condividono un masking set appaiano nello stesso numero di masking set (uniform incidence).

Gli autori utilizzano grafi di conflitto per modellare i vincoli di sincronizzazione, dove i vertici rappresentano i masking set e gli archi rappresentano i conflitti (account condivisi). Analizzano sia protocolli a un round (sottomissione di una singola transazione) che protocolli a più round (adattamento iterativo).

Contributi Chiave e Risultati

1. LUAT: Bassa Sincronizzazione, Alta Memorizzazione

Numero di Consenso: Il numero di consenso di un oggetto LUAT non condiviso è esattamente 2, indipendentemente dalla dimensione del masking set $\lambda$ $λ$ e dalla nozione di untraceability (debole o forte).
- Questo supera il numero di consenso del trasferimento di asset standard (1) perché il deny-set rivela l'ordine di linearizzazione dei trasferimenti.
- Se $k$ processi condividono un account, il numero di consenso diventa $\max(k, 2)$ .
Garbage Collection: Il documento formalizza un oggetto di partizionamento per eseguire la garbage collection dei masking set esauriti. Questo oggetto ha un numero di consenso di 2 (implementabile tramite fetch-and-add), il che significa che la garbage collection non aggiunge costi di sincronizzazione supplementari.
Equità (Fairness): LUAT è starvation-free. Poiché un trasferimento consuma solo un account e nomina gli altri come esche, un competitore non può invalidare un trasferimento valido spendendo un account diverso nello stesso masking set.
Trade-off: Il costo di LUAT è la crescita monotona dello stato (lineare rispetto al numero di trasferimenti).

2. CUAT: Stato Limitato, Alta Sincronizzazione, Nessuna Equità

Weak Untraceability: Sotto la nozione di weak untraceability, il numero di consenso è illimitato ( $\infty$ ). Un account "hub" può essere incluso in arbitrariamente molti masking set, creando arbitrariamente grandi clique di conflitto.
Strong Untraceability: Questa nozione impone un vincolo di uniform incidence: ogni account in una componente connessa del grafo di conflitto deve apparire nello stesso numero di masking set.
- Protocolli a un Round: Il numero di consenso è limitato tra $\lfloor \lambda^2/2 \rfloor$ e $\lambda^2 - \lambda + 1$ . Il limite superiore è raggiunto se $\lambda-1$ è una potenza di un numero primo (utilizzando piani progettuali).
- Protocolli a Più Round: Il numero di consenso esatto è determinato come $4\lfloor \lambda/2 \rfloor \lceil \lambda/2 \rceil$ (ovvero $\lambda^2$ per $\lambda$ pari, $\lambda^2-1$ per $\lambda$ dispari). Questo è strettamente superiore al limite a un round per $\lambda \ge 3$ .
Equità (Fairness): CUAT non è starvation-free. Uno scheduler avversario può affamare indefinitamente un processo emettendo ripetutamente trasferimenti a valore zero su un masking set sovrapposto, invalidando il trasferimento pendente della vittima prima che possa completarsi. Ciò conferma una congettura riguardante Quisquis.
Trade-off: Il costo di CUAT è l'alta potenza di sincronizzazione (quadratica in $\lambda$ ) e la perdita delle garanzie di starvation-freedom.

Significatività e Rivendicazioni
Il documento sostiene di aver esposto una scelta di design nascosta nei sistemi di pagamento privati che è spesso oscurata allo strato crittografico. La gerarchia del consenso rivela che l'untraceability del mittente in sé non è intrinsecamente costosa in termini di sincronizzazione. Il costo sorge specificamente quando il meccanismo utilizzato per nascondere il mittente (il masking set) è anche incaricato di limitare lo stato del sistema.

LUAT paga la privacy in termini di memorizzazione (registro in crescita) ma mantiene una bassa sincronizzazione (numero di consenso 2) e l'equità.
CUAT paga la privacy in termini di sincronizzazione e garanzie di progresso (numero di consenso quadratico, assenza di starvation-freedom) per ottenere uno stato costante.

Gli autori concludono che il "prezzo" della privacy dipende dal fatto che il meccanismo di anonimato sia disaccoppiato dalla gestione dello stato. Quando è disaccoppiato (LUAT), la privacy è "gratuita" rispetto alla sincronizzazione. Quando è accoppiato (CUAT), la privacy comporta un costo di sincronizzazione quadratico e sacrifica le garanzie di equità. Il documento fornisce limiti esatti per questi trade-off, formalizzando le strutture di conflitto (clique e intersezioni bipartitiche) che dettano i limiti di parallelismo e di equità nelle criptovalute untraceable.

Il Grande Furto Digitale: Nascondersi in Pieno Sole

I due modi per nascondersi: Il "Tenere Tutto" contro lo "Scambiare Tutto"

Il Compromesso tra Privacy e Progresso

Il Problema della Fame: Lo Scheduler Malvagio

Conclusione

Articoli simili