[論文レビュー] Cryptocurrency Mining Games with Economic Discount and Decreasing Rewards

Lear Bahack|arXiv (Cornell University)|Dec 25, 2013

Blockchain Technology Applications and Security参考文献 4被引用数 75

ひとこと要約

この論文は、ネットワークのハッシュパワーの50％未塔の条件下でもセキュリティを損なう2つの新しい理論的攻撃、Block Discarding Attack および Difficulty Raising Attack を提案している。ネットワーク伝播の利点と難易度調整メカニズムを悪用することで、ハッシュパワーがたった1/4の攻撃者ですら、割合的に高い報酬を獲得でき、システムの経済的均衡をくつがえし、長年にわたり50％がセキュリティの閾値であると信じられてきた仮定に疑問を呈する。

ABSTRACT

A widespread security claim of the Bitcoin system, presented in the original Bitcoin white-paper, states that the security of the system is guaranteed as long as there is no attacker in possession of half or more of the total computational power used to maintain the system. This claim, however, is proved based on theoretically flawed assumptions. In the paper we analyze two kinds of attacks based on two theoretical flaws: the Block Discarding Attack and the Difficulty Raising Attack. We argue that the current theoretical limit of attacker's fraction of total computational power essential for the security of the system is in a sense not $\frac{1}{2}$ but a bit less than $\frac{1}{4}$, and outline proposals for protocol change that can raise this limit to be as close to $\frac{1}{2}$ as we want. The basic idea of the Block Discarding Attack has been noted as early as 2010, and lately was independently though-of and analyzed by both author of this paper and authors of a most recently pre-print published paper. We thus focus on the major differences of our analysis, and try to explain the unfortunate surprising coincidence. To the best of our knowledge, the second attack is presented here for the first time.

研究の動機と目的

• Bitcoinがネットワークのハッシュパワーの50％を制御する攻撃者が存在しない限り安全であるという広く受け入れられた信念に挑戦すること。
• Block Discarding 攻撃と Difficulty Raising 攻撃という2つの新しい理論的攻撃がBitcoinのセキュリティモデルに与える実現可能性と経済的影響を分析すること。
• 現実のネットワーク状態下で、実際のセキュリティ閾値は1/2ではなく、1/4の総ハッシュパワーまで低下しうることを示すこと。
• プロトコルレベルの対策を提案し、有効なセキュリティ閾値を50％に限りなく近づけること。
• 理論的攻撃の実現可能性と実世界での実用性の違いを明確にすること、特にネットワーク優位性とマイナーの行動に関する点を特に強調すること。

提案手法

• ハッシュパワーの一部とネットワーク優位性を有する攻撃者が、競合するブロックが発見されるまで採掘したブロックを保持し、その後でそれらを公開することで、正当なブロックをチェーン内で置き換えるBlock Discarding Attack を提案する。
• 理想的なネットワーク状態下での最適戦略であるst∞を含む、戦略の階層的族（stk, k = 0,1,2,…,∞）を用いて攻撃をモデル化する。
• 攻撃者のハッシュパワーが50％未塔であっても、正当なマイナーと比較してブロックをより速く伝播できる能力を測る指標（ns）を導入する。
• 再帰的方程式 h = ½(1 + √(1 − 4b)) を用いて、システムの均衡状態を分析する。ここで h は新しい正当なハッシュパワー、b は攻撃者の初期シェアを表す。
• 攻撃者の新しい総ハッシュパワーのシェアを 2p / (2p + 1 + √(1 − 4p)) として導出する。p = 1/4 の場合、攻撃者は新しい総ハッシュパワーの1/3を獲得する。
• ブロックタイムスタンプが暗号的に束縛されていないという事実を悪用するDifficulty Raising Attack を導入し、難易度調整ウィンドウを操作して、意図的に採掘難易度を上昇させる。

実験結果

リサーチクエスチョン

• RQ1 50％未塔のハッシュパワーを持つ攻撃者が、ネットワーク伝搬遅延を悪用することでBitcoinのセキュリティを損なうことができるか？
• RQ2 Block Discarding 攻撃が経済的に利益をもたらすために必要なハッシュパワーの最小割合は何か？また、ネットワーク優位性はこの閾値にどのように影響するか？
• RQ3 Bitcoinの難易度調整メカニズムは、Block Discarding 攻撃における攻撃者の利益をどのように拡大するか？
• RQ4 50％未塔のハッシュパワーを制御せずに、難易度操作攻撃を実行可能か？その場合のシステムセキュリティへの影響は何か？
• RQ5 どのようなプロトコルレベルの変更が、これらの攻撃に対しても50％に限りなく近いセキュリティ閾値を回復可能にするか？

主な発見

• ネットワーク優位性を完全に有する1/4の総ハッシュパワーを持つ攻撃者は、有効なネットワークシェアを1/3にまで引き上げられ、難易度が低下することで収益が2倍になる。
• 理論的セキュリティ閾値は1/2ではなく、実際には1/4の総ハッシュパワーに相当する。これは、攻撃下でのシステムの均衡が難易度低下とマイナーの退出ダイナミクスによって変化するためである。
• p < 1/4 の場合、攻撃は利益をもたらし、正当なマイナーの1/4未満がネットワークから退出する。p > 1/4 の場合、すべての正当なマイナーが最終的に退出するため、システムは崩壊する。
• Block Discarding 攻撃は、ネットワーク優位性がゼロ（ns = 0）であっても、攻撃者のハッシュパワーが1/3を超える限り、依然として利益をもたらす。ただし、最適戦略はより複雑になる。
• Difficulty Raising Attack は、本論文で初めて提案された。ブロックタイムスタンプが暗号的に束縛されていないという事実を悪用し、難易度調整ウィンドウを操作することで、意図的に難易度を上昇させる。
• 本論文は、攻撃者の利益が一時的ではなく、持続的な低難易度に起因する新たな均衡状態が生まれ、攻撃者が報酬のより大きなシェアを獲得できることを示している。