Economic Security of VDF-Based Randomness Beacons: Models, Thresholds, and Design Guidelines

Probleemstelling

Verifieerbare Vertragingfuncties (VDF's) worden steeds vaker voorgesteld als de basis voor willekeurige beacons in blockchains en gedistribueerde systemen. Traditionele beveiligingsanalyses gaan uit van cryptografische aannames: een aanval is onmogelijk zolang de sequentiële berekening niet sneller kan worden uitgevoerd dan de voorgeschreven vertragingstijd $T$, zelfs met parallelle hardware.

Het artikel identificeert echter een kritieke kloof: deze analyses negeren de economische rationaliteit van aanvallers. In de praktijk zijn aanvallers (zoals miners, validators en MEV-zoekers) geen willekeurige kwaadaardige entiteiten, maar rationele agenten die handelen om hun verwachte winst te maximaliseren. Een VDF kan cryptografisch veilig zijn (onbreekbaar binnen redelijke tijd), maar economisch kwetsbaar als een rationele aanval winstgevend is door snellere hardware te huren of te kopen en de beloning (bijv. MEV-kansen) te benutten. Bestaande parameters (vaak slechts enkele seconden) blijken onder realistische economische omstandigheden onveilig te zijn.

Methodologie

De auteurs ontwikkelen een formeel raamwerk voor economische beveiliging door de aanval te modelleren als een optimal-stopping probleem (stopteorema) binnen een stochastische besturingscontext.

1. Rationeel Aanvalsmodel:

   • De aanval wordt gemodelleerd als een agent met een snelheidsverhoging $\delta$ (t.o.v. eerlijke hardware) en operationele kosten $c$ per tijdseenheid.
   • De beloning $V$ (bijv. MEV, commissie-selectie) wordt gemodelleerd als een stochastisch proces dat de aanval kan beïnvloeden.
   • De beslissing om aan te vallen wordt genomen op basis van de verwachte winst: $E[\text{Winst}] = E[V] - \text{Kosten}$.

2. Wiskundige Formulering:

   • De toestand van de aanval wordt beschreven door de resterende rekentijd en de huidige beloningswaarde.
   • De auteurs bewijzen dat de optimale strategie voor een rationele aanval een monotone drempelstructuur heeft: de aanval is alleen winstgevend als de verwachte beloning een bepaalde drempel overschrijdt die afhankelijk is van de kosten en de vertragingstijd.
   • Ze leiden strikte noodzakelijke en voldoende voorwaarden af die de vertragingstijd $T$ relateren aan de verhouding tussen beloning en kosten.

3. Extensies:

   • Het model wordt uitgebreid met Grinding (het testen van meerdere zaden om het beste resultaat te vinden), Selectief Abort (het verwerpen van ongunstige uitkomsten) en Multi-Aanvaller Spellen (concurrentie tussen meerdere rationele agenten).

Belangrijkste Bijdragen

1. Formele Definitie van Economische Beveiliging:
   Een beacon is economisch veilig als er voor geen enkele rationele aanval met realistische middelen een winstgevende afwijking van het eerlijke gedrag bestaat. Dit wordt gekwantificeerd als een voorwaarde waarbij de verwachte winst $\leq 0$ is.

2. Afleiding van Drempelwaarden:
   De auteurs bewijzen dat voor een enkelvoudige ronde de vertragingstijd $T$ moet voldoen aan:
   $$T \geq \frac{\delta}{c} \cdot E[V]$$
   Waarbij $\delta$ de snelheidsverhoging is, $c$ de kosten per seconde, en $E[V]$ de verwachte beloning.

3. Analyse van Geavanceerde Aanvallen:

   • Grinding: Als een aanval $G$ zaden kan testen, stijgt de effectieve beloning (door het kiezen van het maximum), wat de vereiste vertraging verhoogt tot $T \geq \frac{\delta}{c} E[V_{max}]$.
   • Selectief Abort: De mogelijkheid om ongunstige uitkomsten te verwerpen verhoogt de verwachte beloning met een factor $1/(1-p)$, wat de vereiste vertraging aanzienlijk vergroot.
   • Coalities: Samenwerking tussen aanvallers verlaagt de individuele kosten, maar verhoogt de drempel voor economische beveiliging lineair met de coalitiegrootte.

4. ESDP (Economically Secure Delay Parameters):
   De auteurs introduceren een abstractie voor protocolontwerpers: een parameter $T^*$ die gegarandeerd economische beveiliging biedt binnen een gespecificeerd bereik van hardwarekosten, snelheidsverhogingen en beloningsdistributies.

Resultaten en Case Studies

De auteurs evalueren hun model met realistische data (cloud-prijzen, hardware-benchmarks en MEV-data):

• Onveiligheid van Huidige Parameters: Veel voorgestelde VDF-vertragingen van enkele seconden (bijv. 2-5 seconden) zijn economisch onveilig. Zelfs bij gematigde MEV-waarden (bijv. $10-$50) zijn de vereiste vertragingen in de orde van tientallen minuten tot uren om een aanval onwinstgevend te maken.
• Case Study Ethereum: Voor een scenario geïnspireerd op Ethereum (waarbij MEV per blok gemiddeld $50 is, maar piekt tot $10.000), zou een VDF-vertraging van 3 tot 600 dagen nodig zijn om economische beveiliging te garanderen tegen huidige FPGA-technologie. Dit is onpraktisch voor een 12-seconden slot, wat aantoont dat VDF's alleen niet voldoende zijn zonder aanvullende protocolmaatregelen (zoals versleutelde mempoelen).
• Impact van Grinding: Zelfs beperkte grinding-capaciteit kan de effectieve beloning exponentieel verhogen, waardoor de vereiste vertragingstijd drastisch toeneemt.

Significantie en Conclusie

Het artikel biedt een paradigmaverschuiving in het ontwerp van willekeurige beacons:

• Cryptografie is niet genoeg: Cryptografische sequentialiteit garandeert geen veiligheid als de economische prikkels verkeerd zijn afgesteld.
• Kwantitatieve Richtlijnen: Het biedt protocolontwerpers een wiskundig onderbouwde methode om vertragingstijden te kiezen op basis van marktomstandigheden (hardwarekosten, MEV-volatiliteit) in plaats van alleen cryptografische aannames.
• Praktische Toepassing: De introductie van ESDP stelt ontwerpers in staat om parameters dynamisch aan te passen aan veranderende economische realiteiten.

De conclusie is dat VDF-based beacons alleen veilig kunnen worden ingezet als de vertragingstijd $T$ groot genoeg is om elke winstgevende afwijking voor een rationele aanval uit te sluiten, wat vaak betekent dat vertragingen veel langer moeten zijn dan momenteel gebruikelijk is in blockchain-protocollen.