[論文レビュー] Low-cost attacks on Ethereum 2.0 by sub-1/3 stakeholders

Michael Neuder, Daniel J. Moroz+2 more|arXiv (Cornell University)|Feb 3, 2021

Blockchain Technology Applications and Security参考文献 12被引用数 16

ひとこと要約

この論文は、Ethereum 2.0のステークのわずか30%を保有する攻撃者が、スラッシング条件を引き起こさない低コストの攻撃を2つ実行可能であることを示している。それは、悪意あるチェーン再編（reorg）と最終性遅延である。攻撃者は、ブロックおよびアタステーションを意図的に遅延させることで、二重支出やフロントランニングを可能にし、1時間あたり最大19分の最終性遅延を引き起こす。攻撃コストは5～500ドルにとどまり、システムの予測可能性とセキュリティを損なう。

ABSTRACT

We outline two dishonest strategies that can be cheaply executed on the Ethereum 2.0 beacon chain, even by validators holding less than one-third of the total stake: malicious chain reorganizations ("reorgs") and finality delays. In a malicious reorg, an attacker withholds their blocks and attestations before releasing them at an opportune time in order to force a chain reorganization, which they can take advantage of by double-spending or front-running transactions. To execute a finality delay an attacker uses delayed block releases and withholding of attestations to increase the mean and variance of the time it takes blocks to become finalized. This impacts the efficiency and predictability of the system. We provide a probabilistic and cost analysis for each of these attacks, considering a validator with 30% of the total stake.

研究の動機と目的

• スラッシング条件を引き起こさない、Ethereum 2.0のビーチェインにおける新たな低コスト攻撃ベクトルを同定・分析すること。
• 1/3未満のステークを保有する攻撃者（具体的には30%）が、コンセンサスの整合性を損なう可能性があることを示すこと。
• Proof-of-Stakeシステムにおける悪意あるチェーン再編および最終性遅延の確率、コスト、影響を定量化すること。
• 攻撃が暗号的矛盾ではなく、タイミングと調整の欠如に起因する場合、1/3のステークで十分なセキュリティが確保できるという仮定に疑問を呈すること。
• 実際の状況下での攻撃の実現可能性と経済的インcentiveを評価すること。

提案手法

• 攻撃はGHOSTフォークチョイスルールとCasper FFG最終性ガジェットを狙い、30%のステークを持つ攻撃者がブロックおよびアタステーションを意図的に遅延させることで、チェーン選択を操作する。
• 悪意ある再編のため、攻撃者は有利なフォークチョイスの結果が得られるまで、自身のブロックおよびアタステーションをリリースしない。これにより、二重支出やフロントランニングが可能になる。
• 最終性遅延のため、攻撃者は正しいエポック境界ブロック（EBB）を標的としたアタステーションを遅延させ、誠実なバリデーターのアタステーションが誤ったEBBに浪費されるようにする。
• 攻撃者は、2連続エポックにわたり、正しいEBBまたは誤ったEBBの両方に対して十分なアタステーションが集まらないようにすることで、スーパーマジョリティリンクが形成されないようにする。
• 成功確率は、P(表) = 0.91という偏りのあるコイン投げのアナロジーでモデル化され、これは、EBBと次のブロックの両方を制御する確率を表す。
• コストは浪費されたアタステーション数とネットワーク遅延に基づいて計算され、最終性遅延攻撃の総コストは時間経過とともに100～1200ドルにのぼる。

実験結果

リサーチクエスチョン

• RQ1 1/3未満のステークを持つ攻撃者が、スラッシングを引き起こさずに、Ethereum 2.0のチェーン選択および最終性メカニズムを操作可能か？
• RQ2 30%のステークを保有する攻撃者が、悪意あるチェーン再編を実行する確率とコストはどの程度か？
• RQ3 30%のステークを持つ攻撃者は、ビーチェインの最終性をどの程度の頻度で遅延させられ、その遅延の期待持続時間はどのくらいか？
• RQ4 最終性遅延は、取引の最終化の予測可能性およびシステム効率にどの程度の影響を及ぼすか？
• RQ5 攻撃成功確率は攻撃者のステークサイズに応じてどのようにスケーリングされ、その経済的インセンティブは何か？

主な発見

• 30%のステークを持つ攻撃者は、1時間に平均して3エポック（約19分）の最終性遅延を引き起こすことができ、システムの予測可能性を著しく損なう。
• 長さ2の最終性遅延の確率は、攻撃者の30%のステークとブロック・アタステーションタイミングの制御を考慮すると、1エポックあたり約9%である。
• 悪意ある再編攻撃はわずか5ドルで実行可能であり、高い確率で二重支出やフロントランニングが可能である。
• 最終性遅延攻撃のコストは、頻度やネットワーク状態に応じて時間経過で100～1200ドルにのぼり、経済的に実現可能である。
• 攻撃はスラッシング条件を違反しない。これは、矛盾するブロックやアタステーションに署名していないためである。
• 25%のステークを持つ攻撃者は、3時間に1回の割合で長さ2の再編を実行可能であり、1時間に1回の割合で2エポックの最終性遅延を引き起こせる。これは、低いステークでも依然として大きな影響を及ぼす攻撃が可能であることを示している。