Technische Samenvatting: Samengevoegde Bitcoin: Proof of Work-blockchain met meerdere hash-typen

1. Probleemstelling

Het Bitcoin-protocol, dat meer dan één biljoen USD aan waarde beveiligt, staat voor aanzienlijke beveiligingsrisico's die verband houden met een 51%-aanval. De primaire motivatie voor dit werk is het verhogen van de beveiligingsdrempel van het Bitcoin-protocol om het risico op dergelijke catastrofale aanvallen te verminderen. Huidige methoden om de beveiliging te vergroten, zoals het verhogen van de eerlijke mijnbouwkracht via gespecialiseerde SHA-256-circuits, introduceren kwetsbaarheden:

• Centralisatie: De afhankelijkheid van gespecialiseerde circuits concentreert de macht bij actoren met de beste toegang tot deze circuits.
• Hardware Backdoors: Een beperkt aantal ASIC-fabrikanten creëert een single point of failure; als zij gecompromitteerd worden, wordt het protocol kwetsbaar, zelfs als de meerderheid van de miners eerlijk is.
• Quantum en Algoritmische Vooruitgang: Aanvallers kunnen asymmetrische voordelen verkrijgen door algoritmische verbeteringen of gespecialiseerde hardware (bijv. Grover's algoritme voor quantum-versnelling) die gericht zijn op een enkel hash-type.

De auteurs stellen Merged Bitcoin voor, een protocol dat blokken die verbonden zijn door verschillende hash-typen in een enkele keten kan vormen. Het doel is om de kosten van een aanval te verhogen, centraliseringsrisico's te verminderen en kwetsbaarheden die specifiek zijn voor enkelvoudige hash-typen te mitigeren.

2. Methodologie en Theoretisch Kader

Het Model van Meerdere Willekeurige Resources

Het artikel modelleert nodes (eerlijk en oneerlijk) als het bezitten van variërende hoeveelheden hashing-resources voor $n$ verschillende hash-typen. Deze resources parametriseren een Poisson-aankomstproces.

• Blokrates: Het model definieert eerlijke blokrates ($h_i$) en oneerlijke blokrates ($b_i$) voor elk hash-type $i$, gemeten in blokken per seconde.
• Score Systeem: Elk bloktype $i$ krijgt een scoreconstante $c_i$. De fork choice rule selecteert de keten met de hoogste totale score ($\sum c_i N_i$, waarbij $N_i$ het aantal blokken van type $i$ is).
• Netwerkmodel: De analyse werkt onder een $\Delta$-gebonden vertragingsnetwerkmodel, waarbij de netwerklatentie begrensd is door $\Delta$.

Informatietheoretische Motivatie en Onmogelijkheid

De auteurs onderzoeken aanvankelijk of beveiliging geconditioneerd kan worden aan een "EN" van meerdere 51%-drempels (d.w.z. het protocol is veilig tenzij een aanvaller >50% van elk hash-type tegelijkertijd controleert).

• De "Big-And" Hypothese: De auteurs onderzoeken of een informatie-theoretisch exponentieel afnemende foutkans kan worden bereikt als onveiligheid vereist dat een aanvaller alle hash-typen tegelijkertijd domineert.
• Onmogelijkheidsresultaat (Stelling 10): Het artikel bewijst dat voor elk permissionless gedistribueerd protocol dat voldoet aan specifieke eigenschappen (keteneigenschap, adversary equivalence, en adversary withhold ability), de "Big-And" beveiligingsregio onmogelijk is. Als een protocol veilig is onder een configuratie $(h, b)$, kan het niet veilig zijn onder de verwisselde configuratie $(b, h)$. Dit impliceert dat een protocol niet veilig kan zijn wanneer elk enkelvoudig hash-type minder dan 50% aan adversariële kracht heeft; onveiligheid kan optreden zelfs als een aanvaller minder dan 50% van sommige hash-typen controleert, mits zij genoeg van de andere controleren.

Analyse van de Beveiligingsregio

Ondanks de onmogelijkheid van de ideale "Big-And" regio, leidt het artikel gesloten vorm bounds af voor de beveiligingsregio van Merged Bitcoin.

• Beveiligingsconditie: Merged Bitcoin is veilig als de scoregroei van de aanvaller ($\lambda_a = \sum c_i b_i$) strikt kleiner is dan de eerlijke scoregroei ($\lambda_h$) onder volledige vertragingscondities.
• Afleiding van Bounds:
  • Ondergrens (Lemma 13/17): Afgeleid met behulp van een "Delta Interval Deletion Process", die blokken verwijdert die binnen $\Delta$ van een "gegarandeerd" blok arriveren. Dit levert een conservatieve schatting van de eerlijke scoregroei op.
  • Bovengrens (Lemma 15/19): Afgeleid met behulp van een "Small Block Increase Process", die de score van kleine blokken kunstmatig verhoogt als een groter blok binnen $\Delta$ arriveert. Dit biedt een bovengrens op de eerlijke scoregroei.
• Zero Delay Case: Wanneer $\Delta = 0$, vereenvoudigt de beveiligingsregio tot $\sum c_i b_i < \sum c_i h_i$.

3. Belangrijkste Bijdragen en Resultaten

1. Formalisering van Merged Bitcoin

Het artikel introduceert een protocol waarbij blokken van verschillende hash-typen een enkele keten vormen, beheerst door een score-gebaseerde fork choice rule. Het biedt gesloten vorm upper en lower bounds op de beveiligingsregio in het $\Delta$-gebonden delay model.

2. Optimalisatie van Aanvalskosten

In een lineair kost-per-hash economisch model bewijst het artikel dat Merged Bitcoin de kosten van een aanval kan maximaliseren.

• Stelling 23: Door scoreconstantes $c_i$ gepast te kiezen zodat de kosten-per-eenheid-score gelijk is over alle hash-typen ($p_i/c_i$ is constant), is de minimale kosten van een aanval op Merged Bitcoin gelijk aan de som van de kosten van het aanvallen van elk individueel protocol afzonderlijk ($p_1 h_1 + p_2 h_2$). Dit is bewezen de optimale aanvalskosten te zijn voor elk multi-hash consensusprotocol onder deze restricties.

3. Difficulty Adjustment Mechanisme

Om te voorkomen dat het protocol instort naar een enkel hash-type door technologische vooruitgang of kostenasymmetrieën, stellen de auteurs een minimum fraction difficulty adjustment voor.

• Als het fractie van de geproduceerde blokken door een specifiek hash-type onder een drempelwaarde valt, wordt de relatieve moeilijkheid stapsgewijs naar beneden bijgesteld. Dit zorgt ervoor dat miners opnieuw de markt voor dat hash-type zullen betreden zodra het winstgevend wordt, wat een diverse mix van hash-typen in stand houdt.

4. Vergelijking met Minotaur

Het artikel onderscheidt Merged Bitcoin van het Minotaur-protocol (een samengevoegde Proof-of-Work/Proof-of-Stake systeem).

• Ketensuitval (Chain Outage): Minotaur kan lijden onder een permanente ketenuitval als er geen blokken worden geproduceerd in een recency interval; Merged Bitcoin doet dit niet.
• Takeover Attacks: Minotaur is kwetsbaar voor een takeover attack waarbij een aanvaller uiteindelijk de keten met waarschijnlijkheid 1 kan controleren als zij enige mining power controleren, vanwege het eindige recency interval. Merged Bitcoin behoudt een niet-nul fractie van eerlijke blokken met waarschijnlijkheid 1.
• Prospective Attacks: Minotaur is kwetsbaar voor prospective attacks waarbij een aanvaller vooraf weet dat zij een high-score side chain zullen produceren (wat gerichte double-spending mogelijk maakt). Merged Bitcoin, die vertrouwt op Poisson-aankomsttijden voor blokontdekking, voorkomt dat aanvallers vooraf weten of zij een blok zullen produceren, waardoor dit aanvalsvector wordt gemitigeerd.

5. Robuustheid tegen Asymmetrische Voordelen

Het artikel betoogt dat Merged Bitcoin een gedeeltelijke oplossing biedt voor asymmetrische voordelen, zoals die van quantum-aanvallen (Grover's algoritme) of hardware backdoors.

• Quantum/Backdoor Resistentie: Als een aanvaller een voordeel behaalt in één hash-type (bijv. via een gespecialiseerd quantum circuit), moeten zij tegelijkertijd gespecialiseerde circuits voor alle hash-typen bezitten om de keten te domineren. Dit verhoogt de complexiteit en de kosten van een succesvolle aanval exponentieel met het aantal hash-typen ($n$), uitgaande van onafhankelijke aanvals-kansen.

4. Betekenis en Claims

Het artikel claimt dat Merged Bitcoin een rigoureuze methode biedt om de beveiligingsdrempel van Bitcoin-achtige protocollen te verhogen zonder te vertrouwen op de "Big-And" onmogelijkheidsresultaat. De betekenis ligt in:

• Maximaliseren van Aanvalskosten: Bewijzen dat het protocol kan worden afgestemd om de kosten van een aanval gelijk te maken aan de som van het aanvallen van individuele ketens, wat de theoretische maximum is voor multi-hash protocollen.
• Decentralisatie: Het mogelijk maken voor persoonlijke computers (die mogelijk efficiënt zijn in niet-SHA-256 hashes zoals Ethash) om vitaal deel te nemen, wat de afhankelijkheid van gespecialiseerde ASICs vermindert.
• Trust Aggregation: Het in staat stellen dat partijen met verschillende vertrouwen-aannames (bijv. een Bitcoin maximalist en een Ethereum maximalist) overeenstemming kunnen bereiken over een enkele ledger, aangezien de beveiliging van de samengevoegde keten wordt afgeleid van de geaggregeerde eerlijke kracht van alle typen.
• Theoretische Bounds: Het bieden van de eerste gesloten vorm bounds voor de beveiligingsregio van een multi-hash Proof-of-Work protocol in een bounded delay netwerk.

De auteurs erkennen dat hoewel de "Big-And" beveiligingsregio onmogelijk is voor permissionless protocollen, het voorgestelde protocol een vergelijkbare exponentiële afname in foutkans bereikt tegen power-limited adversaries (bijv. die beperkt worden door hardware backdoor risico's) en succesvol de economische kosten van een aanval maximaliseert. Toekomstig werk wordt geïdentificeerd als het analyseren van de $k$-confirmation regel en het verkennen van protocollen die de "Big-And" regio zouden kunnen bereiken als de mogelijkheden van de adversary om informatie achter te houden (withholding) worden beperkt.