Resumo Técnico: Trocas Atômicas Probabilísticas para Bitcoin e Amigos

1. Declaração do Problema

Trocas atômicas são um primitivo criptográfico fundamental que permite a troca sem confiança de ativos digitais entre cadeias, com garantia de "tudo ou nada": ou ambas as partes recebem seus ativos acordados, ou nenhuma recebe. Embora poderosas, essa natureza determinística impede trocas onde o resultado pretendido é probabilístico. Soluções existentes para trocas probabilísticas (por exemplo, loterias, apostas ou alocação aleatória) em blockchains enfrentam limitações significativas:

• Complexidade e Custo: Frequentemente exigem contratos inteligentes complexos ou mecanismos intrincados no nível de script, levando a tamanhos de transação maiores, taxas mais altas e portabilidade reduzida para cadeias com suporte limitado a scripts (como o Bitcoin).
• Privacidade e Fungibilidade: Scripts complexos tornam o comportamento na cadeia distinguível, enfraquecendo a privacidade e a fungibilidade.
• Restrições de Participação: Muitos protocolos de loteria existentes exigem um conjunto fixo e conhecido de participantes, tornando-os inadequados para ambientes abertos e sem permissão.
• Vulnerabilidade a Vieses: Abordagens anteriores frequentemente falham em impedir que uma parte preveja o resultado e aborte seletivamente se o resultado for desfavorável, enviesando assim a probabilidade efetiva.

O desafio central é estender as trocas atômicas a um cenário probabilístico — onde uma parte paga por uma chance fixa e publicamente especificada de receber uma recompensa maior — sem modificar a pegada mínima na cadeia dos protocolos de troca atômica existentes ou introduzir intermediários confiáveis.

2. Metodologia e Design do Protocolo

Os autores introduzem trocas atômicas probabilísticas, um novo primitivo criptográfico que realiza uma troca justa com uma distribuição de resultados prescrita. O protocolo envolve duas partes: um Distribuidor (D) e uma Parte (P). P transfere uma quantia fixa (por exemplo, 1 moeda) em troca de uma probabilidade $p$ de receber uma recompensa maior ($\nu$ moedas) de D. Se o evento probabilístico não ocorrer, P não recebe nada e D retém o pagamento.

Blocos de Construção Criptográficos Principais

A construção depende de três componentes principais, todos compatíveis com scripts padrão semelhantes ao Bitcoin (assinaturas digitais e bloqueios de tempo):

1. Assinaturas Adaptadoras: Usadas para garantir a atomicidade. Elas permitem que uma pré-assinatura seja adaptada em uma assinatura completa apenas se um testemunho específico (segredo) for conhecido. Isso vincula a revelação de segredos à conclusão de transações na cadeia.
2. Funções Pseudoaleatórias Oblívias (OPRFs): Usadas para codificar o resultado probabilístico. O Distribuidor atua como um servidor OPRF que detém uma chave secreta $sk_D$. A Parte possui uma entrada (uma "tentativa" $y_{gss}$). A OPRF permite que a Parte obtenha a avaliação $OPRF(sk_D, y_{gss})$ sem que o Distribuidor conheça a tentativa e sem que a Parte conheça a chave.
3. Provas de Conhecimento Zero (NIZKs): Usadas para provar a boa-forma das declarações do protocolo, garantindo que o Distribuidor não possa manipular a distribuição de probabilidade.

Fluxo do Protocolo

O protocolo é dividido em quatro fases:

1. Configuração e Financiamento:

   • O Distribuidor amostra um valor alvo $y_{tgt}$ de um domínio de tamanho $m$ (onde $p = 1/m$).
   • O Distribuidor computa um "testemunho vencedor" $y_{win} = OPRF.Eval(sk_D, y_{tgt})$ e constrói uma declaração $Y_{win} = g^{y_{win}}$.
   • O Distribuidor fornece $Y_{win}$ e uma prova NIZK de boa-forma à Parte.
   • Ambas as partes bloqueiam seus fundos em scripts com bloqueio de tempo controlados por um par de chaves temporário (gerado via um protocolo DKG de 2 partes).

2. Reivindicar Distribuidor (Avaliação OPRF como Serviço):

   • A Parte seleciona uma tentativa $y_{gss}$ e envia uma solicitação OPRF ofuscada ao Distribuidor.
   • O Distribuidor avalia a OPRF, criptografa o resultado sob uma chave efêmera $Z$ e fornece o texto cifrado junto com uma prova NIZK de correção.
   • Crucialmente, o Distribuidor também pré-assina a transação de pagamento da Parte usando $Z$ como declaração adaptadora.
   • O Distribuidor adapta essa pré-assinatura usando a chave de descriptografia $z$ (o testemunho para $Z$) e transmite a transação para reivindicar o pagamento da Parte.
   • Atomicidade: A Parte só pode extrair $z$ da assinatura na cadeia após o Distribuidor ter sido pago. $z$ é necessário para descriptografar a resposta da OPRF.

3. Reivindicar Parte:

   • A Parte extrai $z$, descriptografa a resposta da OPRF e computa o testemunho candidato $y'_{win}$.
   • Se $y'_{win}$ corresponder ao testemunho vencedor (ou seja, $y_{gss} = y_{tgt}$), a Parte adapta a pré-assinatura do Distribuidor para reivindicar a recompensa.
   • Se a tentativa estiver incorreta, a Parte não aprende nada útil para a adaptação.

4. Tempo Limite/Reembolso:

   • Se o Distribuidor falhar em reivindicar o pagamento dentro de um tempo limite, a Parte reembolsa seus fundos bloqueados.
   • Se a Parte falhar em reivindicar a recompensa dentro de um tempo limite, o Distribuidor reembolsa seus fundos bloqueados.

Provas de Boa-Forma

Uma contribuição técnica crítica é provar que $Y_{win}$ corresponde a uma avaliação OPRF válida sobre um valor dentro do domínio correto, sem revelar o alvo. Os autores propõem duas instâncias:

• Bulletproofs: Usa restrições R1CS para provar a estrutura da OPRF 2HashDH. Oferece tamanho de prova e tempo de verificação constantes, mas requer a instanciação de oráculos aleatórios.
• Corte e Escolha: Uma técnica onde o Distribuidor fornece múltiplas instâncias e a Parte verifica um subconjunto aleatório. Os autores modificam a OPRF para permitir a abertura de instâncias sem revelar o valor alvo, garantindo que a probabilidade de vitória permaneça exatamente $1/m$ mesmo se o Distribuidor trapacear. Essa abordagem é mais eficiente para altas probabilidades de vitória ($p \ge 1/2^{12}$).

3. Contribuições Principais

• Novo Primitivo: Introdução de trocas atômicas probabilísticas, definidas formalmente por meio de uma funcionalidade ideal que generaliza trocas atômicas determinísticas para resultados probabilísticos.
• Pegada Mínima na Cadeia: O protocolo requer apenas scripts padrão do Bitcoin (assinaturas e bloqueios de tempo). Não exige contratos inteligentes complexos ou novos opcodes, tornando-o imediatamente implantável no Bitcoin, Litecoin e outras cadeias que suportam trocas atômicas.
• Avaliação OPRF para Pagamentos: Os autores desenvolvem um mecanismo inovador para a troca atômica de avaliações OPRF vinculadas a pagamentos. Isso garante que o Distribuidor seja pago antes que a Parte conheça o resultado, prevenindo vieses. Esta ferramenta é notada como tendo interesse independente para aplicações como limitação de taxa acionada por pagamento.
• Segurança Formal: O protocolo é provado seguro no modelo baseado em simulação contra corrupções estáticas, satisfazendo as propriedades de atomicidade probabilística (justiça, ausência de viés e atomicidade).
• Implementação Prática: Uma implementação completa em Rust, testada nas redes de teste do Bitcoin e Litecoin, e uma variante para a Lightning Network (usando HTLCs e provas de vínculo fora da cadeia).

4. Resultados e Benchmarks

• Implantação na Rede de Teste: Os autores executaram com sucesso trocas probabilísticas entre cadeias nas redes de teste do Bitcoin e Litecoin. Uma troca vencedora completa envolveu exatamente quatro transações padrão Taproot.
• Tamanho da Transação: Cada transação foi de aproximadamente 575 Unidades de Peso (WU).
• Desempenho:
  • Bulletproofs: Tempo de prova $\approx 5,6$s, verificação $\approx 0,35$s, tamanho da prova $\approx 2,8$KB (constante independentemente da probabilidade).
  • Corte e Escolha: O tempo de prova é mais rápido para pequenos $\ell$ (por exemplo, $0,27$s para $\ell=10$), mas escala exponencialmente com o tamanho do domínio. Para $\ell=16$, a prova leva $\approx 16$s com uma prova de 16MB.
  • Protótipo Lightning: Uma variante baseada em HTLC foi implementada, com um tempo total de execução online de aproximadamente 1,30s para três rodadas (incluindo pré-computação).
• Custo: As taxas foram comparáveis às trocas atômicas padrão (por exemplo, 1550 sat para uma transação de financiamento de 616WU na rede de teste do Bitcoin).

5. Significado e Alegações

O artigo afirma que as trocas atômicas probabilísticas resolvem uma limitação fundamental das trocas atômicas clássicas, permitindo trocas sem confiança e descentralizadas com resultados aleatórios. O significado reside em:

• Habilitar Novos Casos de Uso: Realizar a visão de "OP_RAND" no Bitcoin, permitindo apostas, loterias e negociações probabilísticas entre cadeias sem casas confiáveis.
• Preservar Privacidade e Fungibilidade: Ao evitar scripts complexos, a pegada na cadeia do protocolo é indistinguível de trocas atômicas comuns, preservando a privacidade e a fungibilidade dos ativos.
• Acessibilidade: A dependência de suporte mínimo a scripts torna o protocolo implantável em uma ampla gama de blockchains existentes e redes de camada 2 (como a Lightning Network, uma vez que PTLCs estejam ativos ou via variantes HTLC).
• Segurança: O protocolo fornece garantias criptográficas rigorosas de que o resultado é imparcial e segue a probabilidade anunciada, mesmo na presença de agentes maliciosos, sem exigir um terceiro confiável.

Os autores observam explicitamente que, embora seu protocolo suporte trocas probabilísticas assimétricas (uma parte paga por uma chance), trocas probabilísticas de dois lados (onde ambas as partes têm resultados probabilísticos) são provavelmente impossíveis em blockchains mínimas devido a assimetrias inerentes na tomada de decisão sequencial, uma limitação que eles discutem, mas não tentam superar.