💻 computer science

Economic Security of VDF-Based Randomness Beacons: Models, Thresholds, and Design Guidelines

本文提出了一个针对基于可验证延迟函数（VDF）的随机信标的经济安全形式化框架，通过建模理性攻击者的最优停止问题，揭示了现有参数在经济激励下存在的安全漏洞，并据此给出了确保系统安全的延迟参数设计准则。

原作者： Zhenhang Shang, Kani Chen

发布于 2026-04-07

📖 1 分钟阅读☕ 轻松阅读

原作者： Zhenhang Shang, Kani Chen

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文探讨了一个非常有趣且关键的问题：在区块链和分布式系统中，如何确保“随机数生成器”既在数学上安全，又在经济上“打不动”。

为了让你轻松理解，我们可以把这篇论文的核心思想想象成**“如何设计一个公平的抽奖箱”**。

1. 背景：什么是“随机数信标”？

想象一下，区块链就像一个巨大的、由成千上万人共同维护的账本。为了决定谁有权利记账（比如谁当下一轮的“班长”），或者为了决定谁中了彩票，系统需要一个绝对公平、谁也无法预测的随机数。

这就好比一个**“抽奖箱”**。

VDF（可验证延迟函数）：就是这个抽奖箱的“魔法锁”。它规定，想打开这个箱子拿到里面的号码，必须花费一段固定的、不可跳过的时间（比如必须连续转 10 秒的把手）。
传统观点：以前的安全专家只关心数学问题：“有没有人能在 1 秒内强行把锁撬开？”如果数学上证明没人能撬开，那就觉得安全了。

2. 问题所在：理性的“黑客”不是疯子，而是商人

这篇论文的作者（尚振航和陈可尼）指出了一个巨大的漏洞：现实中的攻击者不是那种为了破坏而破坏的疯子，他们是精明的商人（理性人）。

旧模型：假设攻击者会不惜一切代价去破解，不管花多少钱。
新模型：攻击者会算账。
- 如果我花 100 块钱买更快的电脑，能不能比大家早 1 秒知道抽奖结果？
- 如果早知道这 1 秒，我能通过“抢跑”（比如提前下注、操纵交易）赚到 1000 块钱吗？
- 结论：如果赚的钱 > 花的钱，哪怕数学上很难破解，理性的攻击者也会毫不犹豫地花钱去破解！

比喻：
这就好比一个抽奖箱，规定必须转 10 秒才能开。

如果转 10 秒能抽中 1 块钱，没人会花钱去加速。
但如果转 10 秒能抽中 100 万，而有人花 1 万块买台机器能 1 秒就转完，那这个人就会买机器，抢在大家前面拿走大奖。
原来的设计只关心“机器能不能转得比 10 秒快”，而忽略了“为了抢这 100 万，大家愿意花多少钱去造机器”。

3. 核心发现：数学安全 $\neq$ 经济安全

作者通过建立数学模型（把攻击者的决策看作一个“最佳停止问题”），得出了一个惊人的结论：

很多目前提议的“随机数生成器”延迟时间太短了！

现状：很多系统设计的延迟只有几秒钟（比如 2 秒、5 秒）。
现实：在区块链中，利用“提前知道随机数”能赚到的钱（比如 MEV，即最大可提取价值，类似于抢跑交易赚的差价）可能高达几百甚至几千美元。
结果：只要延迟时间不够长，攻击者买台昂贵的 FPGA 或 ASIC 芯片（比普通人快几倍），花点小钱就能在大家反应过来之前算出结果，然后大赚一笔。

比喻：
现在的抽奖箱只要求转 2 秒。

普通人转 2 秒。
黑客花 100 块钱租个超级马达，1 秒就转完了。
因为提前 1 秒知道结果，他能赚 500 块。
只要 500 > 100，这个抽奖箱在经济上就是“不安全”的，哪怕数学上没人能瞬间破解。

4. 论文提出的解决方案：算好这笔账

作者提出了一套**“经济安全设计指南”**，并引入了一个新概念：经济安全延迟参数 (ESDP)。

这就好比在制定抽奖规则时，不再只问“数学上难不难”，而是问**“这笔账划不划算”**。

他们给出了一个公式，告诉设计者：

延迟时间 (T) 必须足够长，长到让攻击者觉得：为了抢这个奖，花这么多钱买电脑、付电费，根本赚不回本！

具体建议：

算奖励：先算出如果攻击成功，能赚多少钱（比如 MEV 的平均值）。
算成本：算出攻击者为了加速，需要花多少钱（租云服务器的钱、买硬件的钱）。
定时间：根据上面的数据，算出需要把“转把手”的时间拉长到多少秒，才能让攻击者无利可图。

案例对比：

如果奖励是 10 美元，可能只需要延迟几分钟。
如果奖励是 100 美元（或者在拥堵时高达几千美元），延迟可能需要几十分钟甚至几天才能确保安全。
结论：很多目前设计成“几秒钟”延迟的系统，在巨额利益面前，其实非常脆弱。

5. 其他有趣的攻击方式

论文还分析了攻击者更狡猾的手段：

研磨攻击 (Grinding)：攻击者同时尝试成千上万个不同的“种子”（就像同时买几千张彩票），只公布那个中奖的。这相当于把中奖概率放大了，因此需要更长的延迟来抵消这种优势。
选择性放弃 (Selective Abort)：如果攻击者算出结果不好，就假装没算出来，强迫系统重新算，直到算出个好结果。这也需要更长的延迟来防止这种“试错”。
多人合谋：如果一群黑客合伙，分摊硬件成本，他们的攻击能力会更强，需要的延迟时间也要更长。

6. 总结与启示

这篇论文就像给区块链设计师敲了一记警钟：

不要只盯着数学公式看，要盯着钱包看。

以前的设计：只要数学上没人能瞬间破解，就是安全的。
现在的建议：必须确保**“攻击的成本 > 攻击的收益”**。如果攻击者能赚钱，系统就是不安全的。

给普通人的启示：
如果你在使用基于区块链的抽奖、游戏或金融系统，不要只看它宣传的“数学安全性”。如果它的随机数生成时间太短（比如只有几秒），而背后的奖金又很大，那么它很可能已经被“内鬼”或者“专业黑客”通过花钱买速度给操纵了。

一句话总结：
在这个充满金钱诱惑的世界里，真正的安全不仅仅是“做不到的数学题”，更是“亏本买卖的经济学”。 只有当攻击者发现“偷鸡不成蚀把米”时，系统才是真正安全的。

这是一篇关于基于可验证延迟函数（VDF）的随机信标（Randomness Beacons）的经济安全性的学术论文总结。该论文由香港科技大学的 Zhenhang Shang 和 Kani Chen 撰写，旨在解决现有 VDF 安全分析中忽视攻击者经济动机的缺陷。

以下是该论文的详细技术总结：

1. 研究背景与问题定义 (Problem)

背景：随机信标是区块链和分布式系统的关键原语，用于验证者选择、委员会采样和协议参数随机化。基于 VDF 的信标因其可验证的延迟和抗偏性而被广泛提议。
现有局限：传统的 VDF 安全分析主要关注密码学属性（即假设攻击者是计算能力受限的恶意实体，无论成本如何都会尝试攻击）。然而，在现实部署（如公共区块链）中，攻击者（矿工、验证者、MEV 搜索者）是经济理性的。
核心问题：一个 VDF 可能在密码学上是安全的（即没有算法能显著快于诚实节点），但如果攻击者可以通过购买更快的硬件（如 FPGA/ASIC）并从中获利（如通过 MEV 机会），那么该信标在经济上就是不安全的。
目标：建立形式化框架，量化延迟参数（ $T$ ）、硬件加速（ $\delta$ ）、运营成本（ $c$ ）与潜在奖励（ $V$ ）之间的关系，确定在什么条件下攻击是无利可图的。

2. 方法论 (Methodology)

论文构建了一个基于理性博弈和**最优停止理论（Optimal Stopping Theory）**的数学模型：

攻击者模型：
- 将攻击者建模为理性代理人，旨在最大化期望利润。
- 能力：拥有相对于诚实节点的硬件加速因子 $\delta \ge 1$ （即攻击者完成相同工作量只需 $T/\delta$ 时间）。
- 成本：计算资源成本 $c$ （按时间计费，包括云租赁或硬件折旧）。
- 奖励： $V$ 是一个随机变量，代表通过提前获知信标输出或操纵输出所能获得的收益（如 MEV、侧注收益、验证者选择优势）。
决策过程：
- 将攻击决策建模为一个最优停止问题。攻击者观察奖励过程 $V_t$ 和剩余工作量状态 $S_t$ ，决定是继续计算、停止攻击还是等待下一轮。
- 证明了在自然假设下，最优攻击策略具有单调阈值结构（Monotone Threshold Structure）：即当奖励超过某个阈值时，攻击者才会选择攻击。
安全定义：
- 经济安全：对于给定的参数集，任何理性攻击者的期望利润 $\mathbb{E}[\text{Profit}] \le 0$ 。

3. 关键贡献与理论结果 (Key Contributions & Results)

A. 经济安全的基本条件

论文推导出了经济安全的必要且充分条件。在简化模型（恒定奖励、完全评估）下，经济安全的延迟参数 $T$ 必须满足：
$T \ge \frac{\delta}{c} \mathbb{E}[V]$
这意味着延迟时间必须足够长，使得攻击成本（加速后的时间成本）超过预期收益。

B. 扩展攻击场景分析

论文将模型扩展到了更复杂的攻击场景，证明了这些场景会显著增加所需的安全延迟：

研磨攻击（Grinding）：攻击者并行评估多个种子 $G$ 以选择最佳输出。这增加了有效奖励（取最大值 $V_{max}$ ），要求延迟 $T$ 随 $G$ 和 $V_{max}$ 的增加而增加。
选择性中止（Selective Abort）：如果攻击者能决定何时发布结果（例如作为领导者），他们可以丢弃不利结果并重试。这相当于将有效奖励放大为 $\mathbb{E}[V] / (1-p)$ （ $p$ 为拥有中止权的概率），从而大幅提高延迟要求。
多轮与多协议组合：
- 多协议：如果同一个信标用于多个协议（如委员会选择 + 抽奖），总奖励是各协议奖励之和，延迟需覆盖总奖励。
- 多轮累积：在多轮攻击中，攻击者可能为了长期利益而进行多轮攻击，需考虑累积奖励的期望。
多攻击者博弈：在多个理性攻击者竞争同一奖励时，形成了纳什均衡。即使单人攻击利润微薄，竞争可能导致攻击率非零。联盟形成（Coalition）会进一步放大威胁，因为联盟分摊了硬件成本，使得攻击门槛降低。

C. 鲁棒性设计

针对参数（ $\delta, c, V$ ）的不确定性，论文提出了**鲁棒经济安全（Robust Economic Security）**的界限。设计者可以使用参数的最坏情况估计（如最大奖励 $V_{max}$ 、最小成本 $c_{min}$ 、最大加速 $\delta_{max}$ ）来设定保守的延迟参数，确保在参数波动范围内依然安全。

D. 案例研究与实证分析

利用真实的云成本、硬件基准测试（FPGA/ASIC）和 MEV 数据进行了评估：

发现：许多提议的 VDF 延迟（通常为几秒）在面临 MEV 机会（几十到几百美元）时是经济不安全的。
具体数据：
- 在典型 MEV（$50）和 FPGA 加速下，为了达到经济安全，延迟可能需要达到数小时甚至数天（例如 3 天），这远超当前区块链的出块时间（如 12 秒）。
- 这表明仅靠 VDF 无法解决 MEV 驱动的操纵问题，必须结合其他协议级防御（如加密内存池、MEV 再分配）。

4. 设计指南与 ESDP (Design Guidelines & ESDP)

论文提出了实用的设计指南，并引入了**经济安全延迟参数（Economically Secure Delay Parameters, ESDP）**的概念：

ESDP 定义：一个延迟值 $T^*$ ，使得在给定的硬件加速、成本和奖励分布假设下，任何 $T \ge T^*$ 都能保证经济安全。
实施步骤：
1. 建模奖励分布（识别所有获利渠道，估计 $\mathbb{E}[V]$ 和尾部风险）。
2. 估算攻击者能力（基于基准测试确定 $\delta$ ，基于云定价确定 $c$ ）。
3. 计算满足经济安全的 $T$ 下限。
4. 考虑多轮和多协议效应。
5. 定期重新评估（因为硬件效率和 MEV 市场是动态变化的）。

5. 意义与结论 (Significance)

范式转变：论文指出，对于 VDF 信标，密码学安全性不足以保障实际部署的安全。必须将经济激励纳入参数选择的核心考量。
量化指导：提供了从“几秒”到“几分钟/几小时”的量化转换公式，揭示了当前许多短延迟设计在面临高价值 MEV 时的脆弱性。
系统性影响：强调了协议设计者不能仅关注密码学原语，必须理解其经济后果。如果延迟设置不当，会导致验证者选择被操纵、委员会采样被破坏，进而引发双重支付或审查等严重安全故障。
未来方向：提出了 ESDP 作为协议规范的标准抽象，并指出未来的研究需扩展到阈值 VDF、链式结构以及更复杂的博弈论场景。

总结：该论文通过引入理性攻击者模型，证明了 VDF 随机信标的延迟参数必须根据经济成本 - 收益比进行严格校准。如果延迟过短，攻击者利用硬件优势获取 MEV 的利润将超过成本，导致系统在经济上不安全。论文为区块链协议设计者提供了一套严谨的数学工具和实用指南，以设定能够抵御理性攻击的延迟参数。