💻 computer science

Probabilistic Atomic Swaps for Bitcoin and Friends

Dit artikel introduceert "probabilistische atoomswaps", een nieuw cryptografisch primitief dat vertrouwensloze cross-chain-uitwisselingen uitbreidt om verifieerbare, onbevooroordeelde probabilistische uitkomsten (zoals loterijen) te ondersteunen door adapterhandtekeningen te combineren met oblivious pseudorandom functions, terwijl tegelijkertijd de minimale on-chain footprint en privacy van standaard atoomswaps behouden blijven.

Oorspronkelijke auteurs: Paul Gerhart, Jay Taylor, Sri Aravinda Krishnan Thyagarajan

Gepubliceerd 2026-05-07

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Paul Gerhart, Jay Taylor, Sri Aravinda Krishnan Thyagarajan

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een kansspel wilt spelen met een vreemde aan de andere kant van de wereld, maar je vertrouwt hen niet en zij vertrouwen jou niet. Je wilt 1 dollar inzetten op het gokken dat je een geheim getal kunt raden. Als je het goed raadt, win je 100 dollar. Als je het fout raadt, verlies je je 1 dollar.

In de echte wereld heb je een casino of een scheidsrechter nodig om het geld vast te houden en de winnaar te bepalen. Maar in de wereld van Bitcoin en andere cryptocurrencies is er geen scheidsrechter. Je hebt een manier nodig om deze weddenschap te laten plaatsvinden zonder dat iemand kan bedriegen, met het geld kan weglopen of de kansen kan manipuleren.

Dit artikel introduceert een nieuw digitaal hulpmiddel genaamd een "Probabilistische Atomaire Swap". Denk hierbij aan een "magische automaat" die perfect werkt voor kansspelen op de blockchain.

Hier is hoe het werkt, opgesplitst in eenvoudige concepten:

1. Het probleem met huidige "Atomaire Swaps"

Momenteel, als twee mensen crypto-assets ruilen (zoals Bitcoin voor Litecoin), is de deal alles-of-niets. Het is als een ruil waarbij je óf het item krijgt dat je wilt, óf je krijgt het niet. Je kunt niet "een 50% kans op het krijgen van een diamant" ruilen voor een "garantie-appel". De huidige technologie is te star; het verwerkt alleen 100% zekerheid.

2. De nieuwe oplossing: De "Blind Gok" Machine

De auteurs hebben een systeem gecreëerd waarbij één persoon (de Dealer) een prijs aanbiedt en de andere persoon (de Speler) een kleine vergoeding betaalt voor een specifieke kans om die prijs te winnen.

De Opzet: De Dealer heeft een geheim "winnend getal" verborgen in een gesloten doos. De Speler heeft een "gokgetal".
De Magische Truc: De Speler legt zijn gok in een speciale machine die controleert of deze overeenkomt met het geheime getal van de Dealer.
- Cruciaal: De Dealer kan het gokgetal van de Speler niet zien voordat de deal voltooid is.
- Cruciaal: De Speler kan het geheime getal van de Dealer niet zien voordat hij betaalt.
Het Resultaat:
- Als de gok goed is (wat gebeurt met een vooraf afgesproken waarschijnlijkheid, bijvoorbeeld 1 op 1.000), opent de machine de grote prijs voor de Speler.
- Als de gok fout is, krijgt de Speler niets, maar houdt de Dealer zijn kleine vergoeding.
- Het "Atomaire" Deel: Als de Speler probeert te bedriegen of de Dealer probeert weg te lopen met het geld, annuleert het systeem de deal automatisch en krijgt iedereen zijn geld terug. Niets gaat verloren tenzij het spel eerlijk wordt gespeeld.

3. Hoe ze dit hebben gedaan (De "Geheime Saus")

Om dit te laten werken zonder scheidsrechter, hebben de auteurs twee geavanceerde cryptografische hulpmiddelen gecombineerd:

Oblivious Pseudorandom Functions (OPRF's): Stel je een zwarte doos voor. Je stopt een getal erin en je krijgt een resultaat op basis van een geheim sleutel die de Dealer bezit. De Dealer ziet je getal nooit en jij ziet hun sleutel nooit. Je krijgt alleen het resultaat als je betaalt. Dit zorgt ervoor dat de Dealer niet in je gok kan kijken om te beslissen of hij je laat winnen.
Adaptor Signatures: Denk hierbij aan "digitale sleutels die andere sleutels ontgrendelen". De Dealer vergrendelt de prijs in een doos die alleen open kan als de Speler een specifieke sleutel aanlevert. De Speler krijgt die sleutel echter pas nadat hij aan de Dealer heeft betaald. Als de Speler betaalt, moet de Dealer de sleutel onthullen om de prijs te ontgrendelen (of het systeem dwingt hen daartoe).

4. Waarom dit een grote zaak is

Geen Bedrog: Geen van beide partijen kan het spel manipuleren. De Dealer kan de kansen niet veranderen nadat hij de weddenschap heeft gezien, en de Speler kan een winst niet afdwingen.
Privacy: Voor de buitenwereld (de blockchain) ziet deze transactie er precies uit als een normale, saaie geldoverdracht. Het schreeuwt niet "LOTERIJ!". Dit beschermt de privacy van de gebruikers.
Lage Kosten: Het vereist geen complexe, dure computercode op de blockchain. Het maakt gebruik van standaardfuncties die Bitcoin en Litecoin al hebben.
Realiteitstest: De auteurs hebben dit daadwerkelijk gebouwd en getest op de testnetwerken van Bitcoin en Litecoin (oefenversies van de echte netwerken). Ze bewezen dat het in het echt werkt, met slechts een paar seconden tijd en zeer lage kosten in transactiekosten.

5. Wat kun je ermee doen?

Het artikel noemt specifiek twee hoofdgebruiksdoelen:

Weddenschappen/Loterijen: Je kunt kleine bedragen inzetten voor een kans op een grotere beloning (zoals een digitale loterijticket) zonder een casino.
Probabilistische Handel: Als je een zeldzame, moeilijk te verkopen munt hebt, kun je er de voorkeur aan geven deze te ruilen voor een kleine kans op het krijgen van een populaire munt (zoals Bitcoin) in plaats van een gegarandeerde maar slechte wisselkoers.

Wat het NIET is

Het artikel is zeer voorzichtig om te zeggen wat dit niet is:

Het is geen manier om ervoor te zorgen dat beide kanten een kans hebben om te winnen of te verliezen. Slechts één kant (de Speler) heeft een probabilistische uitkomst; de Dealer krijgt altijd de kleine vergoeding.
Het is geen toverstaf voor elk type contract. Het is specifiek ontworpen voor "Ik betaal jou een kleine vergoeding voor een kans om een grote prijs te winnen."

Kortom, de auteurs hebben een vertrouwensloze, eerlijke en privé digitale casinofiche gebouwd die werkt op Bitcoin, waardoor mensen kunnen gokken of handelen op basis van geluk zonder dat er een tussenpersoon nodig is om het geld vast te houden.

Technische Samenvatting: Probabilistische Atomaire Swaps voor Bitcoin en Vrienden

1. Probleemstelling

Atomaire swaps zijn een fundamentele cryptografische primitief die een vertrouwensloze, chain-overbruggende uitwisseling van digitale activa mogelijk maakt met een "alles-of-niets"-garantie: ofwel ontvangen beide partijen hun overeengekomen activa, ofwel ontvangt niemand iets. Hoewel krachtig, sluit deze deterministische aard uitwisselingen uit waarbij het beoogde resultaat probabilistisch is. Bestaande oplossingen voor probabilistische uitwisselingen (bijvoorbeeld loterijen, weddenschappen of willekeurige toewijzing) op blockchains ondervinden aanzienlijke beperkingen:

Complexiteit en Kosten: Ze vereisen vaak complexe slimme contracten of ingewikkelde script-niveau mechanismen, wat leidt tot grotere transactiegroottes, hogere kosten en verminderde portabiliteit naar chains met beperkte script-ondersteuning (zoals Bitcoin).
Privacy en Vervangbaarheid: Complexe scripts maken on-chain gedrag onderscheidbaar, wat de privacy en vervangbaarheid verzwakt.
Deelnamebeperkingen: Veel bestaande loterijprotocollen vereisen een vaste, bekende set deelnemers, waardoor ze ongeschikt zijn voor open, permissionless omgevingen.
Kans op Bias: Eerdere benaderingen slagen er vaak niet in te voorkomen dat een partij het resultaat voorspelt en selectief afbreekt als het resultaat ongunstig is, waardoor de effectieve kans wordt beïnvloed.

De kernuitdaging is atomaire swaps uit te breiden naar een probabilistische setting—waarbij één partij betaalt voor een vaste, publiek gespecificeerde kans op het ontvangen van een grotere beloning—zonder de minimale on-chain footprint van bestaande atomaire swap-protocollen te wijzigen of vertrouwde tussenpersonen in te voeren.

2. Methodologie en Protocolontwerp

De auteurs introduceren probabilistische atomaire swaps, een nieuwe cryptografische primitief die een eerlijke uitwisseling realiseert met een voorgeschreven uitkomstverdeling. Het protocol omvat twee partijen: een Dealer (D) en een Partij (P). P draagt een vast bedrag over (bijvoorbeeld 1 munt) in ruil voor een kans $p$ om een grotere beloning ( $\nu$ munten) van D te ontvangen. Als het probabilistische gebeurtenis niet optreedt, ontvangt P niets en behoudt D de betaling.

Kern Cryptografische Bouwstenen

De constructie rust op drie hoofdcomponenten, allemaal compatibel met standaard Bitcoin-achtige scripts (digitale handtekeningen en tijdsloten):

Adaptor-handtekeningen: Gebruikt om atomiciteit te waarborgen. Ze maken het mogelijk om een voor-handtekening aan te passen tot een volledige handtekening alleen als een specifiek getuige (geheim) bekend is. Dit koppelt de onthulling van geheimen aan de voltooiing van on-chain transacties.
Oblivious Pseudorandom Functions (OPRF's): Gebruikt om het probabilistische resultaat te coderen. De Dealer fungeert als een OPRF-server met een geheim sleutel $sk_D$ . De Partij bezit een invoer (een "gissing" $y_{gss}$ ). De OPRF stelt de Partij in staat de evaluatie $OPRF(sk_D, y_{gss})$ te verkrijgen zonder dat de Dealer de gissing leert, en zonder dat de Partij de sleutel leert.
Zero-Knowledge Bewijzen (NIZK's): Gebruikt om de correcte vorm van de protocolverklaringen te bewijzen, zodat de Dealer de kansverdeling niet kan manipuleren.

Protocolverloop

Het protocol is verdeeld in vier fasen:

Opzet & Financiering:
- De Dealer kiest een doelwaarde $y_{tgt}$ uit een domein van grootte $m$ (waarbij $p = 1/m$ ).
- De Dealer berekent een "winnend getuige" $y_{win} = OPRF.Eval(sk_D, y_{tgt})$ en construeert een verklaring $Y_{win} = g^{y_{win}}$ .
- De Dealer verstrekt $Y_{win}$ en een NIZK-bewijs van correcte vorm aan de Partij.
- Beide partijen vergrendelen hun fondsen in tijdslot-scripts die worden gecontroleerd door een tijdelijk sleutelpaar (gegenereerd via een 2-partijen DKG-protocol).
Claim Dealer (OPRF-evaluatie als Dienst):
- De Partij kiest een gissing $y_{gss}$ en stuurt een geblindeerde OPRF-aanvraag naar de Dealer.
- De Dealer evalueert de OPRF, versleutelt het resultaat onder een ephemerale sleutel $Z$ , en verstrekt de ciphertext samen met een NIZK-bewijs van correctheid.
- Cruciaal tekent de Dealer ook vooraf de betalings-transactie van de Partij met $Z$ als de adaptor-verklaring.
- De Dealer past deze voor-handtekening aan met de ontsleutelingssleutel $z$ (het getuige voor $Z$ ) en zendt de transactie uit om de betaling van de Partij te claimen.
- Atomiciteit: De Partij kan $z$ alleen uit de on-chain handtekening extraheren nadat de Dealer is betaald. $z$ is vereist om de OPRF-antwoord te ontsleutelen.
Claim Partij:
- De Partij extrahert $z$ , ontsleutelt het OPRF-antwoord en berekent de kandidaat-getuige $y'_{win}$ .
- Als $y'_{win}$ overeenkomt met de winnende getuige (d.w.z. $y_{gss} = y_{tgt}$ ), past de Partij de voor-handtekening van de Dealer aan om de beloning te claimen.
- Als de gissing onjuist is, leert de Partij niets bruikbaars voor aanpassing.
Time-out/Restitutie:
- Als de Dealer niet binnen een time-out de betaling claimt, restitueert de Partij haar vergrendelde fondsen.
- Als de Partij niet binnen een time-out de beloning claimt, restitueert de Dealer zijn vergrendelde fondsen.

Bewijzen van Correcte Vorm

Een kritische technische bijdrage is het bewijzen dat $Y_{win}$ overeenkomt met een geldige OPRF-evaluatie op een waarde binnen het juiste domein, zonder de doelwaarde te onthullen. De auteurs stellen twee instantiaties voor:

Bulletproofs: Gebruikt R1CS-beperkingen om de structuur van de 2HashDH OPRF te bewijzen. Het biedt een constante bewijsgrootte en verificatietijd, maar vereist het instantiëren van willekeurige orakels.
Cut-and-Choose: Een techniek waarbij de Dealer meerdere instanties verstrekt en de Partij een willekeurige subset verifieert. De auteurs modificeren de OPRF om instanties te openen zonder de doelwaarde te onthullen, zodat de winstkans exact $1/m$ blijft, zelfs als de Dealer probeert te bedriegen. Deze aanpak is efficiënter voor hoge winstkansen ( $p \ge 1/2^{12}$ ).

3. Belangrijkste Bijdragen

Nieuwe Primitief: Introductie van probabilistische atomaire swaps, formeel gedefinieerd via een ideale functionaliteit die deterministische atomaire swaps generaliseert naar probabilistische uitkomsten.
Minimale On-Chain Footprint: Het protocol vereist alleen standaard Bitcoin-scripts (handtekeningen en tijdsloten). Het vereist geen complexe slimme contracten of nieuwe opcodes, waardoor het direct inzetbaar is op Bitcoin, Litecoin en andere chains die atomaire swaps ondersteunen.
OPRF-evaluatie voor Betalingen: De auteurs ontwikkelen een nieuw mechanisme voor de atomaire uitwisseling van OPRF-evaluaties gekoppeld aan betalingen. Dit zorgt ervoor dat de Dealer wordt betaald voordat de Partij het resultaat leert, wat bias voorkomt. Dit instrument wordt opgemerkt als van onafhankelijk belang voor toepassingen zoals betalingsgedreven rate limiting.
Formele Beveiliging: Het protocol is bewezen veilig in het simulatie-gebaseerde model tegen statische corrupties, en voldoet aan de eigenschappen van probabilistische atomiciteit (eerlijkheid, geen bias en atomiciteit).
Praktische Implementatie: Een volledige implementatie in Rust, getest op Bitcoin- en Litecoin-testnetten, en een variant voor het Lightning Network (met HTLC's en off-chain link-bewijzen).

4. Resultaten en Benchmarks

Testnet-implementatie: De auteurs hebben succesvol cross-chain probabilistische swaps uitgevoerd tussen de Bitcoin- en Litecoin-testnetten. Een volledige winnende swap omvatte precies vier standaard Taproot-transacties.
Transactiegrootte: Elke transactie was ongeveer 575 Weight Units (WU).
Prestaties:
- Bulletproofs: Bewijstijd $\approx 5,6$ s, verificatie $\approx 0,35$ s, bewijsgrootte $\approx 2,8$ KB (constant ongeacht de kans).
- Cut-and-Choose: Bewijstijd is sneller voor kleine $\ell$ (bijvoorbeeld $0,27$s voor $\ell=10$ ), maar schaalt exponentieel met de domeingrootte. Voor $\ell=16$ duurt het bewijzen $\approx 16$ s met een 16MB bewijs.
- Lightning-prototype: Een op HTLC gebaseerde variant is geïmplementeerd, met een totale online uitvoeringstijd van ongeveer 1,30s voor drie rondes (inclusief voorberekening).
Kosten: De kosten waren vergelijkbaar met standaard atomaire swaps (bijvoorbeeld 1550 sat voor een financieringstransactie van 616WU op het Bitcoin-testnet).

5. Betekenis en Claims

Het artikel claimt dat probabilistische atomaire swaps een fundamentele beperking van klassieke atomaire swaps oplossen door vertrouwensloze, decentrale uitwisselingen met willekeurige uitkomsten mogelijk te maken. De betekenis ligt in:

Nieuwe Gebruiksscenario's mogelijk maken: Het realiseren van de visie van "OP_RAND" op Bitcoin, waardoor weddenschappen, loterijen en probabilistische cross-chain trades mogelijk zijn zonder vertrouwde huizen.
Behoud van Privacy en Vervangbaarheid: Door complexe scripts te vermijden, is de on-chain footprint van het protocol niet te onderscheiden van gewone atomaire swaps, waardoor de privacy en vervangbaarheid van de activa behouden blijven.
Toegankelijkheid: De afhankelijkheid van minimale script-ondersteuning maakt het protocol inzetbaar op een breed scala aan bestaande blockchains en Layer-2-netwerken (zoals het Lightning Network, zodra PTLC's actief zijn of via HTLC-varianten).
Beveiliging: Het protocol biedt rigoureuze cryptografische garanties dat het resultaat onbevooroordeeld is en de geadverteerde kans volgt, zelfs in aanwezigheid van kwaadwillende actoren, zonder dat een vertrouwde derde partij nodig is.

De auteurs merken expliciet op dat hoewel hun protocol asymmetrische probabilistische swaps ondersteunt (één partij betaalt voor een kans), tweezijdige probabilistische swaps (waarbij beide partijen probabilistische uitkomsten hebben) waarschijnlijk onmogelijk zijn op minimale blockchains vanwege inherente asymmetrieën in sequentiële besluitvorming, een beperking die ze bespreken maar niet proberen te overwinnen.