[논문 리뷰] Bitcoin's Security Model Revisited

Yonatan Sompolinsky, Aviv Zohar|arXiv (Cornell University)|2016. 05. 30.

Blockchain Technology Applications and Security참고 문헌 13인용 수 41

한 줄 요약

이 논문은 공격자가 공격 시점을 선택할 수 있는 경우 사전 마이닝과 자기 이득 마이닝으로 인해 기존의 이중 지급 공격에 대한 확률적 보장을 더 이상 적용할 수 없음을 입증함으로써 비트코인의 보안 모델을 재평가한다. 공격자가 사전에 블록을 마이닝할 수 있는 상황에서는 기존의 이중 지급 공격 방지 보장이 무효화됨을 보여주며, 상인, 대규모 지급 수령자, 경량 클라이언트와 같은 다양한 유저 유형을 대상으로 강력하고 실용적인 보안 보장을 제공하는 네 가지 새로운 보안 모델—$σ^{arb}$, $σ^{frac}$, $σ^{total}$, $σ^{spv}$—을 제안한다. 이는 이전의 공격 비용과 공격 가능성에 대한 오해를 바로잡는다.

ABSTRACT

We revisit the fundamental question of Bitcoin's security against double spending attacks. While previous work has bounded the probability that a transaction is reversed, we show that no such guarantee can be effectively given if the attacker can choose when to launch the attack. Other approaches that bound the cost of an attack have erred in considering only limited attack scenarios, and in fact it is easy to show that attacks may not cost the attacker at all. We therefore provide a different interpretation of the results presented in previous papers and correct them in several ways. We provide different notions of the security of transactions that provide guarantees to different classes of defenders: merchants who regularly receive payments, miners, and recipients of large one-time payments. We additionally consider an attack that can be launched against lightweight clients, and show that these are less secure than their full node counterparts and provide the right strategy for defenders in this case as well. Our results, overall, improve the understanding of Bitcoin's security guarantees and provide correct bounds for those wishing to safely accept transactions.

연구 동기 및 목표

• 기존의 비트코인 보안 보장이 공격자가 공격 시점을 선택할 수 없다는 가정에 기반한 확률적 보장의 타당성을 도전한다.
• 공격자가 사전에 블록을 마이닝할 수 있다면, 이중 지급 공격을 100% 성공 확률로 수행할 수 있음을 입증한다.
• 실제 공격 조건에서 의미 있고 실용적인 보장을 제공하는 새로운 보안 모델을 형식화한다.
• 경량 클라이언트의 보안을 분석하며, 블록 전파 기능이 없기 때문에 전용 노드보다 보안 수준이 낮음을 보여준다.
• 공격 비용에 대한 오해를 바로잡으며, 50% 이하의 마이닝 파wr에서도 이중 지급 공격이 수익성 있을 수 있음을 보여준다.

제안 방법

• 공격자가 공격을 시작하기 전에 비공식적으로 블록을 마이닝하는 사전 마이닝 개념을 도입하며, 이로 인해 100% 성공 확률을 달성할 수 있음을 보여준다.
• 네 가지의 독립된 보안 정책을 제안한다: $σ^{arb}$는 임의의 강건성 보장을 제공하고, $σ^{frac}$는 장기적인 분수 비율 손실 방지를 위한 보장을 제공하며, $σ^{total}$은 어떤 역전 가능성에도 대비한 총합 강건성을 제공하고, $σ^{spv}$는 경량 클라이언트를 위한 보장을 제공한다.
• 자기 이득 마이닝과 이중 지급 공격을 조합한 공격자의 수익을 분석하기 위해 마르코프 결정 과정(MDP) 모델을 응용한다.
• 수익을 체인 길이로 정규화하고, 블록 보상과 성공적인 이중 지급에서의 수익을 모두 모델링한다.
• 성공적인 이중 지급에 대해 $ρ = 2$ 블록 보상의 보상을 사용하여 공격자의 수익성을 정량화한다.
• 이중 지급 보상과 공격자 연결성($γ$)의 변화가 수익성에 미치는 영향을 분석하며, 일부 조건 하에서는 소규모 공격자($γ < 1$)도 최적의 전략을 통해 수익을 올릴 수 있음을 보여준다.

실험 결과

연구 질문

• RQ1 공격자가 이중 지급 공격 시점을 선택할 수 있는 경우, 기존의 비트코인 거래 보안에 대한 전통적인 확률적 보장이 무효화되는가?
• RQ2 사전 마이닝이 거래 보안에 미치는 영향은 무엇이며, 특히 공격자가 사전에 체인을 비공식적으로 구축할 수 있을 경우 어떤 영향을 미치는가?
• RQ3 상인, 대규모 수령자, 경량 클라이언트와 같은 다양한 유저 유형을 대상으로 의미 있는 보장을 제공하는 보안 정책을 어떻게 형식화할 수 있는가?
• RQ4 왜 경량 클라이언트는 전용 노드보다 보안 수준이 낮으며, 이를 복구하기 위한 대체 전략은 무엇인가?
• RQ5 자기 이득 마이닝만으로는 수익성이 없더라도, 어떤 조건에서 공격자가 이중 지급 공격에서 수익을 올릴 수 있는가?

주요 결과

• 공격자가 사전 마이닝을 할 수 있는 경우, 역전 확률의 지수 감쇠 기반 기존 보장은 무효가 되며, 공격자는 100% 성공 확률을 확보할 수 있다.
• 사전 마이닝 공격은 핀니와 벡터76 공격을 일반화하며, 공격자가 어떤 노드나 경량 클라이언트를 정확히 목표로 삼을 수 있음을 보여준다.
• $σ^{arb}$ 정책은 $ε$-임의의 강건성을 제공하여, 공격자가 거래 시점을 악용하지 못하는 거래에 대해 보장을 보장한다.
• $σ^{frac}$ 정책은 상인의 장기적인 비중 있는 거래 역전 가능성을 방지하며, 반복적인 지급에 대한 실용적인 보장을 제공한다.
• $σ^{total}$ 정책은 체인 길이의 로그 시간 동안 대기함으로써 $ε$-총합 강건성을 확보하며, 어떤 역전 가능성에도 대비하여 대규모 일회성 지급을 보호한다.
• 이중 지급 공격에서의 공격자 수익은 보상 값($ρ$)이 증가할수록 증가하며, 조건이 최적일 경우 소규모 마이너($γ < 1$)도 유의미한 수익을 올릴 수 있다.