💻 computer science

Resilient Alerting Protocols for Blockchains

本文将区块链的密码经济学“警报问题”形式化，证明了可以通过三种不同的协议来激励理性参与者抵御贿赂攻击，这些协议在实现渐近最优的二次方贿赂抵抗力的同时，在网络假设、存储开销和执行时间之间提供了不同的权衡。

原作者： Marwa Mouallem, Lorenz Breidenbach, Ittay Eyal, Ari Juels

发布于 2026-07-15

📖 1 分钟阅读☕ 轻松阅读

原作者： Marwa Mouallem, Lorenz Breidenbach, Ittay Eyal, Ari Juels

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个数字货币和合约都存在于一个巨大的、不可篡改的公共账本（即区块链）中的世界。你可以把它想象成一本超级安全、共享的日记，每个人都可以阅读，但没有人可以擦除。在这本日记中生活着“智能合约”——这些是持有数十亿美元价值的微型自动机器人。这些机器人极其聪明，但它们有一个盲点：它们看不见数字围墙之外发生的事情。为了解决这个问题，它们依赖于一个由类人“警报员”（alerters）组成的团队。这些信使观察现实世界中发生的事件，例如股市崩盘或选举结果，并在出现问题时向机器人发出警告。如果机器人没有及时收到警告，它们可能会犯下可怕的错误，导致损失所有人的资金。现在有一个大问题：如果坏人试图通过贿赂信使来让他们保持沉默，会发生什么？这篇论文深入探讨了贿赂的数学问题，研究了一个恶棍需要花费多少钱才能让整个信使团队保持沉默，从而阻止警告被听见。

这篇论文的作者 Marwa Mouallem、Lorenz Breidenbach、Ittay Eyal 和 Ari Juels 解决了一个可怕的问题：在许多现有系统中，贿赂一名信使来使其保持沉默的成本出奇地低。如果有一百名信使，恶棍可能只需要支付一百份小额贿赂就能阻止警报。研究人员意识到这是一个巨大的弱点。他们致力于设计一套新的规则——实际上是一场游戏——使得让团队保持沉默变得极其昂贵。

他们发现了一个关于贿赂团队难度的数学“天花板”。他们证明了，无论规则多么巧妙，如果团队有 $n$ 名成员，贿赂他们所有人的成本永远不会超过一个“二次方”的数量级，这意味着它的增长速度类似于 $n$ 的平方（或 $n \times n$ ）。对于一个拥有 100 名成员的团队，这比旧方法要难上 10,000 倍！论文表明，虽然简单的系统只能提供“线性”防御（即成本随 $n$ 增长），但你实际上可以构建出达到这个 $n^2$ 天花板的系统。

为了证明这一点，该团队发明了三种不同的运行游戏方式，每种方式都有其独特的风格和权衡。

首先，他们设想了一种“同步”（Lockstep）协议。想象一群朋友站在一个圆圈里，在同一秒钟同时举起双手。在这个世界里，时间是完美且可预测的。每个人都在同一时刻决定是发出警告还是保持沉默，而无需知道其他人在做什么。因为他们是同时行动的，所以恶棍无法通过观察谁比较软弱，然后先去收买那个人。这种方法速度极快（转瞬即逝），但需要一个非常严格、近乎神奇的规则，即每个人的信息必须在同一时间到达。

其次，他们创建了一种“可信硬件”（Trusted Hardware）协议，用于处理时间不完美的情况。想象信使们戴着特殊的、不可破坏的智能手表。他们将自己的决定（大声呼喊或保持沉默）写入手表并锁入数字保险箱。该手表经过编程，只有在区块链上经过特定数量的区块时间后，开启保险箱的钥匙才会出现。这阻止了坏人过早窥视决策过程。这种方法更复杂，要求每个人都使用这种特殊硬件，但即使互联网速度较慢或不稳定，它也能正常工作。

第三，他们设计了一种“顺序”（Sequential）协议，这就像是在玩“烫手山芋”或接力赛。信使们不是同时行动，而是轮流进行。队列中的第一个人做出决定，然后是第二个人，以此类推。如果第一个人发出了警告，游戏会立即停止，其余的人甚至不需要做出决定。这种方法非常好，因为它节省了大量的数字存储空间（如果第一个人解决了问题，区块链就不必记录其他所有人的决定）。然而，它完成起来需要更长的时间，尤其是当前面的几个人决定保持沉默时。

论文的核心发现是，这三种方法都是“渐进最优”（asymptotically optimal）的。这是一种高级说法，意味着它们都达到了那个完美的 $n^2$ 防御极限。无论你选择快速但僵化的“同步”模式、硬件密集型的“可信”模式，还是缓慢但高效的“顺序”竞赛，你都可以让贿赂成本高到让恶棍根本无法负担。作者们不仅仅是靠猜测，他们利用博弈论（策略的数学）证明了在这些场景下，一个理性的恶棍在尝试贿赂所有人时会亏损，因此他们会选择放弃。

简而言之，这篇论文针对我们数字金融世界中一个可怕的漏洞，展示了如何构建一面盾牌，使贿赂变成一场注定失败的游戏。它证明了通过正确的规则，我们可以通过让沉默的代价变得高不可攀，来保护数十亿美元的资产。

技术摘要：区块链中的弹性告警协议

1. 问题陈述

智能合约在区块链上保护着超过 1700 亿美元的价值，并且日益依赖于针对外部事件（如资产价格变化、链下计算结果）的及时告警。现有的告警机制容易受到基于贿赂的抑制攻击（bribery-based suppression attacks），即对手通过向参与者支付报酬来使其保持沉默。先前的研究分析了提高告警频率的激励机制，但尚未对抑制告警的经济学进行建模。

核心挑战在于告警问题（Alerting Problem）：设计能够激励 $n$ 个理性节点即使在对手提供贿赂以诱导其偏离行为时，仍能及时发布告警的协议。目标是最大化贿赂抵抗力（bribery resistance）——即对手成功阻止任何告警在链上发布的总成本。

2. 方法论与模型

作者将该问题形式化为一个涉及以下要素的加密经济博弈（cryptoeconomic game）：

参与者： 一组 $n$ 个理性节点、一个协议操作员和一个理性对手。
机制： 节点质押代币作为抵押品。一个智能合约（$AlertingContract $）对未能在满足条件时发出告警的节点实施惩罚$ \lambda $。操作员使用恒定预算$ c$ 为合约注资。
对手： 可以向节点提供私人贿赂 $\beta_i$ 以阻止其告警。如果没有任何告警发布，对手将获得利润 $G$ 。
假设： 本研究考虑的是每个节点的质押/惩罚为常数（与 $n$ 无关）且操作员预算为常数的协议。

本文分析了三种不同的协议设计，以确定其均衡结果和贿赂抵抗力：

销毁惩罚协议（Burned-Penalty Protocol）： 一个基准方案，其中未告警者会被罚没质押，且惩罚款被销毁（不进行再分配）。
同步告警博弈（Simultaneous Alerting Game）： 一个理论上的博弈，所有节点在观察其他人的行为之前同时采取行动。
顺序告警协议（Sequential Alerting Protocol）： 一种节点按特定顺序行动并观察先前动作的机制。

3. 核心贡献与结果

A. 贿赂抵抗力的理论上限

论文确立了任何 $(c, \lambda)$ -告警协议的根本限制。

结果： 最大贿赂抵抗力为 $\Theta(n^2)$ 。
推理： 在任何具有常数惩罚的协议中，一个告警节点能获得的最大奖励受限于其他 $n-1$ 个节点的惩罚总和加上操作员的预算（即 $\lambda(n-1) + c$ ）。为了贿赂所有 $n$ 个节点使其保持沉默，对手必须向每个节点提供的金额略高于这个最大潜在回报。因此，总成本约为 $n \times \lambda n = \Theta(n^2)$ 。
基准失效： 一个简单的协议（例如在固定奖励 $c$ 之间进行分配）仅能实现 $\Theta(n)$ 的抵抗力，这使得对手在大规模抑制告警方面具有经济可行性。

B. 同步告警博弈

作者设计了一个节点在观察贿赂报价后同时选择行动的博弈。

均衡分析：
- 如果贿赂 $\beta_i \ge \lambda(n-1)$ ，“不告警（NoAlert）”是一个占优策略。
- 如果贿赂 $\beta_i \le \lambda$ ，“告警（Alert）”是一个占优策略。
- 在中间范围（ $\lambda < \beta_i < \lambda(n-1)$ ）内，不存在对称纯策略纳什均衡。
混合策略结果： 在此范围内的任何混合策略均衡中，如果对手的收益 $G < \lambda n(n-1)$ ，则其期望效用为非正。
结论： 同步博弈实现了 $\Theta(n^2)$ 的贿赂抵抗力，在渐近意义上达到了理论上限。

C. 协议实现

论文提出了三种实现这些机制的协议，它们具有不同的权衡：

1. 步调一致告警协议（Lockstep Alerting Protocol）

假设： 严格的网络同步性（交易在发送 $\Delta_{write}$ 步后被追加）。
机制： 节点在单个时间步内发送告警。合约验证是否包含在特定区块中。
性能： 常数时间最终性。
开销： 如果需要告警，则需要最多 $n$ 笔交易（线性存储）；否则为 0。
抵抗力： 实现 $\Theta(n^2)$ 。

2. 基于 TEE 的告警协议（TEE-Based Alerting Protocol）

假设： 标准的有界延迟同步性 + 可信执行环境（TEEs）。
机制： 使用**承诺-揭示（Commit-Reveal）方案。节点使用 TEE 来承诺其行动，TEEs 强制执行一种发布证明（Proof of Publication, PoP）**原语。这确保了节点在经过特定数量的区块后才能揭示其行动（或不会为了提前揭示而串通），从而防止在决策阶段发生信息泄露。
性能： 常数时间最终性。
开销： 需要 $2n$ 笔交易（线性存储）。
抵抗力： 实现 $\Theta(n^2)$ 。

3. 顺序告警协议（Sequential Alerting Protocol）

假设： 不需要严格的同步性或 TEE。
机制： 节点被分配不同的时间槽。节点只能在其时间槽内，在观察了之前所有节点的行动后才能告警。如果某个节点发出告警，协议即终止。
奖励结构： 第一个发出告警的节点将获得之前时间槽中未发出告警节点的累计惩罚。
性能： 最坏情况执行时间为 $O(n)$ （线性时间）。
开销： 常数存储（ $O(1)$ ）。如果不需要告警，则需要 0 笔交易；如果发出告警，则需要 1 笔交易。
抵抗力： 实现 $\Theta(n^2)$ （具体为 $\lambda n(n-1)/2$ ），虽然只有同步博弈上限的一半，但在渐近意义上仍是优化的。

4. 重要性与主张

论文声称其为第一个：

形式化了将告警问题建模为涉及贿赂对手的加密经济博弈的研究。
证明了此类协议可实现的最高贿赂抵抗力是二次方级的（ $\Theta(n^2)$ ）。
设计了一个在渐近意义上达到该上限的同步博弈。
指定了三种实用的实例化方案（步调一致、基于 TEE 和顺序告警），它们在延迟、链上存储和信任假设之间提供了不同的权衡，同时保持了渐近最优的贿赂抵抗力。

作者强调，现有的系统（例如乐观 Rollup、预言机网络）通常依赖于易受贿赂攻击的线性成本机制。他们的工作为构建能够抵御大规模贿赂尝试的经济安全告警系统提供了丰富的设计空间。

5. 局限性与范围

分析依赖于理性参与者和特定的博弈论假设（例如 PPT 对手、标准密码学假设）。
基于 TEE 的协议依赖于可信硬件的安全性和“区块链不会被单个节点或对手在检查点后分叉”的假设。
论文侧重于抽象模型，并未评估特定的已部署协议或为立即部署提供系统特定的参数。
顺序协议通过牺牲时间复杂度（ $O(n)$ ）来换取存储效率，这对于延迟敏感型应用可能是一个约束。