技术摘要：合并比特币：具有多种哈希类型的工作量证明区块链

1. 问题陈述

比特币协议虽然保护了超过一万亿美元的价值，但面临着与 51% 攻击相关的重大安全风险。本研究的主要动机是提高比特币协议的安全阈值，以减轻此类灾难性攻击的风险。目前提高安全性（例如通过专门的 SHA-256 电路增加诚实挖矿能力）的方法引入了漏洞：

• 中心化： 对专门电路的依赖导致权力集中在拥有最佳获取渠道的代理手中。
• 硬件后门： 有限数量的 ASIC 制造商造成了单点故障；如果被攻破，即使大多数矿工是诚实的，协议也会变得脆弱。
• 量子与算法进展： 对手可能通过针对单一哈希类型的算法改进或专门硬件（例如利用 Grover 算法实现量子加速）获得不对称优势。

作者提出了 合并比特币 (Merged Bitcoin)，该协议允许由不同哈希类型链接的区块形成单一链。其目标是增加攻击成本、降低中心化风险，并缓解针对单一哈希类型的特定漏洞。

2. 方法论与理论框架

多重随机资源模型

论文将节点（诚实与不诚实）建模为拥有 $n$ 种不同哈希类型的不同数量的哈希资源。这些资源参数化了一个泊松到达过程。

• 区块速率： 模型定义了每种哈希类型 $i$ 的诚实区块速率（$h_i$）和不诚实区块速率（$b_i$），以每秒区块数衡量。
• 评分系统： 每个区块类型 $i$ 被分配一个评分常数 $c_i$。分叉选择规则选择总分最高（$\sum c_i N_i$，其中 $N_i$ 是类型为 $i$ 的区块计数）的链。
• 网络模型： 分析是在 $\Delta$-有界延迟网络模型下进行的，其中网络延迟受 $\Delta$ 限制。

信息论动机与不可行性

作者首先调查了是否可以将安全性建立在多个 51% 阈值的“与”（AND）之上（即：除非对手同时控制所有哈希类型的 >50%，否则协议是安全的）。

• “大与”假设 (The "Big-And" Hypothesis)： 作者探讨了如果安全性要求对手支配所有哈希类型，是否可以实现信息论意义上指数级下降的错误概率。
• 不可行性结果（定理 10）： 论文证明，对于任何满足特定属性（链属性、对手等价性和对手扣留能力）的无许可分布式协议，“大与”安全区域是不可能实现的。如果一个协议在配置 $(h, b)$ 下是安全的，那么它在交换后的配置 $(b, h)$ 下就不可能是安全的。这意味着，只要任何单一哈希类型的对抗力量少于 50%，协议就无法保持安全；即使对手控制的某些哈希类型少于 50%，只要他们控制了足够的其他类型，不安全性仍会发生。

安全区域分析

尽管理想的“大与”区域不可行，但论文推导出了合并比特币安全区域的闭式解界限。

• 安全性条件： 如果在完全延迟条件下，对手的评分增长率（$\lambda_a = \sum c_i b_i$）严格小于诚实评分增长率（$\lambda_h$），则合并比特币是安全的。
• 界限推导：
  • 下界（引理 13/17）： 通过使用“$\Delta$ 区间删除过程”得出，该过程会移除在“保证”区块 $\Delta$ 时间内到达的区块。这产生了一个对诚实评分增长率的保守估计。
  • 上界（引理 15/19）： 通过使用“小区块增加过程”得出，该过程如果较大的区块在 $\Delta$ 时间内到达，则人为增加小区块的评分。这提供了诚实评分增长率的上界。
• 零延迟情况： 当 $\Delta = 0$ 时，安全区域简化为 $\sum c_i b_i < \sum c_i h_i$。

3. 核心贡献与结果

1. 合并比特币的形式化

论文引入了一种协议，其中不同哈希类型的区块形成单一链，由基于评分的分叉选择规则管理。它提供了在 $\Delta$-有界延迟模型下安全区域的闭式上下界。

2. 攻击成本优化

在线性成本/哈希经济模型中，论文证明了合并比特币可以最大化攻击成本。

• 定理 23： 通过适当选择评分常数 $c_i$，使得单位评分成本在所有哈希类型中相等（$p_i/c_i$ 为常数），攻击合并比特币的最小成本等于分别攻击每个单独协议的成本之和（$p_1 h_1 + p_2 h_2$）。这被证明是在此类约束下，任何多哈希共识协议能达到的最优攻击成本。

3. 难度调整机制

为了防止协议因技术进步或成本不对称而坍缩为单一哈希类型，作者提出了最小比例难度调整。

• 如果某种哈希类型产生的区块比例低于阈值，其相对难度将逐步下调。这确保了一旦该哈希类型变得有利可图，矿工就会重新进入该市场的竞争，从而维持多样化的哈希类型组合。

4. 与 Minotaur 的比较

论文将合并比特币与 Minotaur 协议（一种合并的工作量证明/权益证明系统）进行了区分。

• 链中断： Minotaur 如果在近期间隔内没有产生区块，可能会遭受永久性的链中断；合并比特币不会发生这种情况。
• 接管攻击： Minotaur 容易受到接管攻击，即如果对手控制了任何挖矿能力，由于有限的近期间隔，他们最终会以概率 1 控制链。合并比特币则能以概率 1 保持非零比例的诚实区块。
• 预期攻击： Minotaur 容易受到预期攻击，即对手预先知道自己将产生高分侧链（从而实现针对性的双花）。合并比特币依赖于区块发现的泊松到达时间，防止了对手预先知道自己是否会产生区块，从而减轻了这种攻击向量。

5. 对不对称优势的鲁棒性

论文认为合并比特币为不对称优势（如来自量子攻击 [Grover 算法] 或硬件后门）提供了部分补救措施。

• 量子/后门抗性： 如果对手在一种哈希类型中获得了优势（例如通过专门的量子电路），他们必须同时拥有所有哈希类型的专门电路才能主导链。假设攻击概率是独立的，这使得成功攻击的复杂度和成本随哈希类型数量 ($n$) 指数级增加。

4. 重要性与主张

论文声称，合并比特币提供了一种严谨的方法，可以在不依赖于“大与”不可行性的情况下，提高类比特币协议的安全阈值。其重要性在于：

• 最大化攻击成本： 证明了可以通过调节协议，使攻击成本等于攻击各个单独链的成本之和，这是多哈希协议的理论最大值。
• 去中心化： 允许个人电脑（可能在非 SHA-256 哈希如 Ethash 上效率较高）能够有效参与，减少了对专门 ASIC 的依赖。
• 信任聚合： 使具有不同信任假设的各方（例如比特币主义者和以太坊主义者）能够达成单一账本的共识，因为合并链的安全性源于所有类型哈希能力的聚合。
• 理论界限： 提供了第一个在 $\Delta$-有界延迟网络中，针对多哈希工作量证明协议的闭式安全区域界限。

作者承认，虽然“大与”安全区域对于无许可协议是不可能的，但所提议的协议针对受限的对手（例如受限于硬件后门风险的对手）实现了与之相当的指数级降低错误概率的效果，并成功实现了攻击成本的最大化。未来的工作确定为分析 $k$-确认规则，并探索在限制对手扣留能力的情况下可能实现“大与”区域的协议。