💻 computer science

Economic Security of VDF-Based Randomness Beacons: Models, Thresholds, and Design Guidelines

この論文は、VDF ベースのランダムネスビーコンの経済的セキュリティを定式化し、合理的な攻撃者の最適停止問題としてモデル化することで、既存の提案パラメータが経済的に不十分であることを示し、実用的なシステム設計のためのガイドラインと「経済的に安全な遅延パラメータ（ESDP）」を提唱しています。

原著者： Zhenhang Shang, Kani Chen

公開日 2026-04-07

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Zhenhang Shang, Kani Chen

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

🎲 物語の舞台：「公平なサイコロ」と「金持ちのハッカー」

まず、この技術が何をしているのか想像してみてください。
ブロックチェーンの世界では、誰が次のブロックを作るか（リーダー選出）や、宝くじの当選者を決めるために、**「誰にも予測できない公平な数字（乱数）」**が必要です。

これを生成する新しい仕組みとして**「VDF（検証可能な遅延関数）」という技術があります。
これを「公平なサイコロ」**と例えましょう。

VDF の仕組み： このサイコロを振って結果を出すには、**「10 秒間、絶対に休まずに計算し続けなければならない」**というルールがあります。
目的： 誰かが「結果を先に知って、有利な賭けをする」のを防ぐためです。10 秒かかるなら、誰も先読みできません。

⚠️ 従来の考え方：「数学的に破れないか？」

これまでのセキュリティ研究は、**「ハッカーがどんなに賢くても、数学的にこの 10 秒を短縮できるか？」**という視点でした。
「数学的に破れないなら、安全だ！」というのが従来の結論でした。

💡 この論文の新しい視点：「ハッカーは『損得勘定』をする」

しかし、この論文の著者たちは言います。
**「待てよ、ハッカーは数学の天才ではなく、お金のことを考える『合理的な人間』だ」**と。

もし、このサイコロの結果を 1 秒でも早く知ることができれば、**「100 万円の儲け（MEV：最大抽出可能価値）」**が手に入るならどうなるでしょうか？

ハッカーの思考： 「10 秒かかる計算を、『高性能な計算機』を 100 台もって 1 秒で終わらせるなら、コストはかかるけど、100 万円の儲けがあれば大もうけだ！」
結果： 数学的に「10 秒」は守られていても、**「お金があれば 1 秒で突破できる」**状態になってしまい、システムは破綻します。

🏗️ この論文が提唱する「経済的安全」の考え方

著者たちは、この問題を解決するために**「経済的安全（Economic Security）」**という新しい基準を提案しました。

1. 「コストと利益の天秤」

ハッカーが攻撃するかどうかは、以下の天秤で決まります。

左の皿（コスト）： 高性能な計算機を借りる費用＋電気代
右の皿（利益）： 乱数を知ることによる儲け（MEV など）

もし**「右の皿（利益）」が左の皿（コスト）より重ければ**、ハッカーは必ず攻撃します。
逆に、「遅延時間（T）」を長くすればするほど、計算コストが跳ね上がり、攻撃しても赤字になるようにすれば、ハッカーは攻撃を諦めます。

2. 「最適な遅延時間」の発見

論文では、**「どのくらいの遅延時間（T）があれば、ハッカーが攻撃しても『損』になるか」**を計算する数式を見つけました。

例え話：
- 儲けが「100 円」なら、計算に 1 秒かかるだけでハッカーは諦めます。
- 儲けが「1 億円」なら、計算に「10 時間」かかっても、ハッカーは高性能マシンを借りて攻撃します。
- 結論： 儲けの大きさによって、必要な「待ち時間」は**「数秒」から「数時間・数日」**まで大きく変わるのです。

🚨 現実的な警告：「今の設定は危ない！」

著者たちは、実際のクラウドの価格や、ブロックチェーンでの儲け（MEV）のデータを使ってシミュレーションしました。

現状： 多くのブロックチェーンでは、**「数秒」**の遅延で設計されています。
シミュレーション結果： もしハッカーが高性能なマシンを借りて攻撃すれば、「数秒」の遅延では、儲けがコストを遥かに上回ってしまいます。
警告： 「数学的には安全だから OK」と思っていた数秒の遅延は、**「経済的には無防備」**だったのです。

🛠️ 解決策：「ESDP（経済的に安全な遅延パラメータ）」

著者たちは、システム設計者に**「ESDP（Economically Secure Delay Parameters）」**という考え方を提案しています。

従来の設計： 「数学的に破られない最小の時間」を決める。
新しい設計（ESDP）：
1. ハッカーが狙う儲け（MEV）はどれくらいか？
2. ハッカーが使える高性能マシンのコストは？
3. これらを考慮して、「ハッカーが攻撃しても赤字になるような『待ち時間』」を計算して設定する。

📝 まとめ：何が重要なのか？

この論文が伝えたいことはシンプルです。

「セキュリティとは、単に『数学的に破れないこと』だけではありません。『攻撃しても『損』だからやめよう』という経済的なインセンティブも、セキュリティの一部なのです。」

ブロックチェーンの設計者は、**「ハッカーが金銭的に損をするような待ち時間」**を設定しなければ、システムは安全ではない、と警鐘を鳴らしています。

「サイコロを振る時間を、ハッカーの懐事情に合わせて調整する」。それが、次世代の安全なブロックチェーンを作るための新しいルールなのです。

論文要約：VDF ベースのランダムネスビーコンの経済的セキュリティ：モデル、閾値、設計ガイドライン

著者: Zhenhang Shang, Kani Chen (香港科学技術大学)
発表: CCS '26 (2026 年)

1. 問題背景と課題

分散システムやブロックチェーンにおいて、検証可能な遅延関数（VDF: Verifiable Delay Functions）に基づくランダムネスビーコンは、バリデーターの選定や委員会のサンプリングなど、公平性と予測不可能性が求められる場面で重要な役割を果たしています。

従来の VDF のセキュリティ分析は、主に暗号学的な観点（計算量的な困難性）に焦点を当てており、攻撃者は「いかなるコストをかけても」システムを破ろうとする悪意ある存在としてモデル化されてきました。しかし、現実のブロックチェーン環境（パブリックチェーンなど）における攻撃者は、経済的に合理的なエージェント（Rational Adversaries）です。彼らはコストとリターンを計算し、利益が見込める場合にのみ攻撃を実行します。

このギャップにより、以下のような問題が生じています：

暗号学的には安全であっても、高速なハードウェア（ASIC や FPGA）を購入し、MEV（最大抽出可能価値）などの報酬を回収できる場合、攻撃が経済的に採算が取れてしまう。
逆に、暗号学的には厳しすぎるパラメータ設定であっても、経済的インセンティブが低ければ実際には安全である可能性がある。
既存の提案されている VDF の遅延時間（数秒など）は、現実の MEV やハードウェアコストを考慮すると、経済的に脆弱である可能性が高い。

2. 手法とモデル

著者らは、VDF ベースのビーコンの経済的セキュリティを形式化するための枠組みを提案しました。

2.1 攻撃者モデル

攻撃者を「合理的なエージェント」としてモデル化し、以下の要素を考慮します：

計算速度の優位性 ( $\delta$ ): 誠実な参加者に対する攻撃者のハードウェア速度向上係数。
コスト ( $c$ ): 計算リソース（クラウドレンタルや電力など）の単位時間あたりのコスト。
報酬 ( $V$ ): ビーコン出力を早期に知ったり、操作したりすることで得られる報酬（MEV、委員会の選定優位性など）。これは確率的な変数として扱われます。

2.2 最適停止問題としての定式化

攻撃者の意思決定を**最適停止問題（Optimal Stopping Problem）**として定式化しました。

攻撃者は、各ラウンドで「攻撃を始めるか（計算を続けるか）」、「見送るか」を決定します。
状態変数として、残りの計算量と現在の期待報酬を用い、ベルマン方程式に基づいて最適戦略を導出します。
この枠組みにより、攻撃者の最適行動が**閾値構造（Threshold Structure）**を持つことを証明しました。つまり、報酬が特定の閾値を超えた場合にのみ攻撃を実行するという単純なルールに従います。

2.3 拡張モデル

基本モデルに加え、以下の攻撃シナリオを分析しました：

グラインディング（Grinding）: 複数のシード候補を並列に評価し、有利な結果のみを選択する攻撃。
選択的中止（Selective Abort）: 不利な結果を隠蔽し、有利な結果が出るまで再試行する攻撃。
多人数競争: 複数の攻撃者が同じ報酬を争うゲーム理論的状況（ナッシュ均衡）。
複数ラウンド: 長期的な累積報酬を考慮したモデル。

3. 主要な成果と理論的発見

3.1 経済的セキュリティの条件

VDF の遅延パラメータ $T$ に対して、攻撃者が利益を得られないための必要十分条件を導出しました。
単純化されたモデル（一定のコスト、確定的な報酬）において、経済的セキュリティが成立するための条件は以下の線形不等式で表されます：

$T \geq \frac{\delta}{c} \mathbb{E}[V]$

ここで、 $T$ は遅延時間、 $\delta$ は速度向上係数、 $c$ は単位時間コスト、 $\mathbb{E}[V]$ は期待報酬です。

この式は、**「遅延時間は、攻撃者の速度向上とコストを考慮した上で、期待報酬を相殺できるほど十分に長くなければならない」**ことを示しています。

3.2 頑健な設計基準（Robust Bounds）

パラメータ（ $\delta, c, V$ ）が不確実な場合でも安全となる条件を導出しました。

区間頑健性: 最大速度 $\delta_{max}$ 、最小コスト $c_{min}$ 、最大報酬 $V_{max}$ を用いて、 $T \geq \frac{\delta_{max}}{c_{min}} V_{max}$ とすることで、あらゆるパラメータの組み合わせに対して安全を担保できます。
モーメントに基づく設計: 報酬の分散を考慮し、攻撃が利益を生む確率を $\epsilon$ 以下に抑えるための遅延時間の設定法も提案されています。

3.3 攻撃シナリオごとの影響

グラインディング: 攻撃者が $G$ 個の候補を評価する場合、有効な報酬は最大値 $\max(V)$ となり、遅延時間は $G$ に比例して増加する必要があります（ただし並列化コストのスケール則にも依存）。
選択的中止: 攻撃者が結果を隠蔽できる確率 $p$ がある場合、有効な期待報酬は $\frac{\mathbb{E}[V]}{1-p}$ に増大し、必要な遅延時間が急激に長くなります。
多人数競争: 複数の攻撃者が競合する場合、均衡状態では攻撃率が低下しますが、完全な攻撃抑制には単一攻撃者モデルよりも厳しい条件が必要になる場合があります。

4. 評価とケーススタディ

現実のクラウド価格、ハードウェアベンチマーク、MEV データを用いて、いくつかのシナリオを評価しました。

ケーススタディ 1（2〜5 秒の遅延）: 一般的なブロックチェーンで提案されている数秒の遅延は、MEV が 10 ドル程度でも、FPGA/ASIC による攻撃（ $\delta=3$ ）に対して経済的に安全ではないことが示されました。安全な遅延時間は数分〜数時間に及ぶ可能性があります。
ケーススタディ 2（パブリックランダムネスサービス）: 報酬の上限を設けない限り、経済的セキュリティを確保するには非常に長い遅延（数十分〜数時間）が必要であることが示されました。
ケーススタディ 3（グラインディング）: 候補シードの探索空間が広がると、実効報酬が増大し、必要な遅延時間がさらに長くなります。
ケーススタディ 4（Ethereum 風のバリデーター選定）: 現在の FPGA 性能と MEV データ（中央値 50 ドル、99 パーセンタイル 10,000 ドル）を仮定すると、VDF 単体で経済的セキュリティを確保するには、数日〜数ヶ月という非現実的な遅延が必要であることが示されました。これは、VDF 単体では MEV 対策として不十分であり、暗号化された mempools や MEV 再分配などのプロトコルレベルの防御策と組み合わせる必要があることを示唆しています。

5. 設計ガイドラインと ESDP

著者らは、プロトコル設計者向けの具体的なガイドラインと、新しい抽象概念を提案しました。

ESDP (Economically Secure Delay Parameters): 「経済的に安全な遅延パラメータ」という概念を導入しました。これは、特定の速度、コスト、報酬分布の範囲において、攻撃が採算を取らない遅延時間 $T^*$ を指します。プロトコル仕様書において、この ESDP を明示的に定義することで、パラメータ選定を透明化・体系化できます。
設計ステップ:
1. 報酬分布（MEV など）のモデル化と推定。
2. 攻撃者の能力（速度向上、コスト）の推定。
3. 上記の閾値条件に基づき、必要な $T$ の下限を計算。
4. 複数ラウンドやグラインディングなどの拡張攻撃を考慮。
5. 市場環境の変化に応じてパラメータを定期的に見直す。

6. 意義と結論

この論文は、VDF ベースのランダムネスビーコンのセキュリティ評価において、暗号学的な堅牢性だけでなく、経済的インセンティブを統合的に考慮する必要性を強く示唆しています。

理論的貢献: 合理的な攻撃者モデルを VDF 分析に導入し、最適停止理論を用いて厳密なセキュリティ閾値を導出しました。
実用的貢献: 多くの既存提案が、現実の MEV やハードウェアコストを考慮すると経済的に脆弱であることを実証し、プロトコル設計者が「経済的に安全な遅延時間」を決定するための具体的な指針（ESDP）を提供しました。
将来展望: 暗号学的な保証と経済的現実のバランスを取ることで、ブロックチェーンや分散システムの真のセキュリティを高めることが可能になります。

結論として、VDF のパラメータ設定は、単に「計算が遅いこと」ではなく、「攻撃者が利益を得られないように設計すること」が重要であり、そのためには動的な市場環境を反映したパラメータ選定が不可欠であると提言しています。