[論文レビュー] Optimal Selfish Mining Strategies in Bitcoin

Ayelet Sapirshtein, Yonatan Sompolinsky+1 more|arXiv (Cornell University)|Jul 22, 2015

Blockchain Technology Applications and Security参考文献 8被引用数 22

ひとこと要約

本稿では、ビットコインにおけるε-最適な自己利益的マイニング戦略を計算するためのアルゴリズムを開発した。これは、以前に知られていたSM1戦略と比較して、利益を上げるための計算コストの閾値を著しく低下させる。より効率的なブロック留保ポリシーが存在することを示し、現実の遅延モデル下でも小さな攻撃者でさえ利益を得られることを明らかにした。これは、ビットコインのインcentive compatibility（インcentive適合性）を損なうものである。

ABSTRACT

Bitcoin is a decentralized crypto-currency, and an accompanying protocol, created in 2008. Bitcoin nodes continuously generate and propagate blocks---collections of newly approved transactions that are added to Bitcoin's ledger. Block creation requires nodes to invest computational resources, but also carries a reward in the form of bitcoins that are paid to the creator. While the protocol requires nodes to quickly distribute newly created blocks, strong nodes can in fact gain higher payoffs by withholding blocks they create and selectively postponing their publication. The existence of such selfish mining attacks was first reported by Eyal and Sirer, who have demonstrated a specific deviation from the standard protocol (a strategy that we name SM1). In this paper we extend the underlying model for selfish mining attacks, and provide an algorithm to find $ε$-optimal policies for attackers within the model, as well as tight upper bounds on the revenue of optimal policies. As a consequence, we are able to provide lower bounds on the computational power an attacker needs in order to benefit from selfish mining. We find that the profit threshold -- the minimal fraction of resources required for a profitable attack -- is strictly lower than the one induced by the SM1 scheme. Indeed, the policies given by our algorithm dominate SM1, by better regulating attack-withdrawals. Using our algorithm, we show that Eyal and Sirer's suggested countermeasure to selfish mining is slightly less effective than previously conjectured. Next, we gain insight into selfish mining in the presence of communication delays, and show that, under a model that accounts for delays, the profit threshold vanishes, and even small attackers have incentive to occasionally deviate from the protocol. We conclude with observations regarding the combined power of selfish mining and double spending attacks.

研究の動機と目的

• エイナルとシラーが提唱したSM1プロトコルよりも、より利益の高い自己利益的マイニング戦略を特定・計算すること。
• 利益を上げるための最小限の計算パワーを同定し、SM1が利益を上げられない閾値をさらに下回るよう精緻化すること。
• 攻撃利益の正式なモデルを用いて、プロトコルの対策策（例：エイナルとシラーが提唱した対策）の有効性を評価すること。
• 通信遅延が自己利益的マイニングの利益に与える影響、特に小さな攻撃者に特化して分析すること。
• 自己利益的マイニングと二重支出攻撃の組み合わせが、ビットコインの長期的セキュリティに与える影響を調査すること。

提案手法

• 攻撃者のチェーン長と誠実なマイナーのチェーン長を関数として表す、マコフ決定過程（MDP）モデルを形式化し、ブロックチェーンの状態を記述する。
• 攻撃者にとってのε-最適ポリシーを効率的に計算するアルゴリズムを開発し、任意のε > 0に対して真の最適収益からε以内に収束することを保証する。
• 動的計画法を用いてMDPを解き、状態空間を攻撃者とネットワーク残部のチェーン長の差分で定義する。
• 現実のネットワーク遅延をモデルに組み込み、指数分布を用いた確率的プロセスとしてブロック伝搬をモデル化する。
• 独自に開発した自己利益的マイニングシミュレータを用い、計算された戦略の性能と正しさを検証する。
• EyalとSirerが提唱した対策を含むプロトコル改変の影響を評価するため、収益閾値の変化を測定するフレームワークを適用する。

実験結果

リサーチクエスチョン

• RQ1 自己利益的マイニング攻撃が利益を上げるための最小限の計算パワーの割合は何か？ これはSM1の閾値と比較してどうなるか？
• RQ2 ブロックの留保と解放のタイミングをより効果的に制御することで、SM1を上回るより効率的な自己利益的マイニング戦略が見つかるか？
• RQ3 通信遅延が自己利益的マイニングの利益に与える影響は何か？ 遅延を考慮したモデルでは、収益閾値が消えるのか？
• RQ4 EyalとSirerの提唱する対策のようなプロトコル改変は、自己利益的マイニングの利益をどの程度低減するのか？
• RQ5 自己利益的マイニングと二重支出攻撃を組み合わせた場合、ビットコインの長期的セキュリティにどのような影響を与えるか？

主な発見

• 提示されたアルゴリズムは、小さな攻撃者に対してもSM1を上回る収益性を持つε-最適な自己利益的マイニング戦略を計算可能である。
• 収益閾値（利益を上げるためのネットワークパワーの最小割合）は、SM1のものよりも厳密に低い。これは、より小さな攻撃者でも自己利益的マイニングから利益を得られることを意味する。
• 遅延を考慮したモデル下では収益閾値が消滅し、非常に小さな攻撃者ですら、プロトコルからの一時的な逸脱によって利益を得られる可能性がある。
• アルゴリズムは、SM1が誠実な行動に対する最適な反応ではないことを明らかにした。攻撃の撤退をより効果的に制御できる、より優れた戦略が存在する。
• EyalとSirerが提唱した対策は、以前の予想よりも効果が薄く、その改変下でもSM1の代替として利益を上げられる戦略が依然として存在することがアルゴリズムによって示された。
• 自己利益的マイニングと二重支出攻撃を組み合わせると、攻撃者がコストをかけずに二重支出を試みることができ、最終的にはほぼ確実に成功する継続的脅威が生じる。