[論文レビュー] Bitcoin's Security Model Revisited

Yonatan Sompolinsky, Aviv Zohar|arXiv (Cornell University)|May 30, 2016

Blockchain Technology Applications and Security参考文献 13被引用数 41

ひとこと要約

この論文は、攻撃者が攻撃のタイミングを選べる場合、特に事前マイニングや自己利益を最大化するマイニングが可能である場合、従来の二重支出攻撃に対する確率的保証が無効であることを示すことで、ビットコインのセキュリティモデルを再評価している。攻撃者が事前マイニングによりブロックを事前に生成できる場合、二重支出攻撃は100%の成功確率で成立する。これにより、商人、大筆な支払いの受取人、軽量クライアントなど、異なる種類のユーザーを対象とした、より強固で実行可能なセキュリティ保証を提供する4つの新しいセキュリティモデル—$σ^{arb}$、$σ^{frac}$、$σ^{total}$、$σ^{spv}$—を提案している。これにより、攻撃コストや攻撃の可能性に関する従来の誤解が是正された。

ABSTRACT

We revisit the fundamental question of Bitcoin's security against double spending attacks. While previous work has bounded the probability that a transaction is reversed, we show that no such guarantee can be effectively given if the attacker can choose when to launch the attack. Other approaches that bound the cost of an attack have erred in considering only limited attack scenarios, and in fact it is easy to show that attacks may not cost the attacker at all. We therefore provide a different interpretation of the results presented in previous papers and correct them in several ways. We provide different notions of the security of transactions that provide guarantees to different classes of defenders: merchants who regularly receive payments, miners, and recipients of large one-time payments. We additionally consider an attack that can be launched against lightweight clients, and show that these are less secure than their full node counterparts and provide the right strategy for defenders in this case as well. Our results, overall, improve the understanding of Bitcoin's security guarantees and provide correct bounds for those wishing to safely accept transactions.

研究の動機と目的

• 攻撃者が攻撃のタイミングを制御できないと仮定する従来の確率的セキュリティ保証の有効性を疑問視すること。
• 攻撃者が事前マイニングによりブロックを事前に生成できる場合、100%の成功確率で二重支出攻撃を成功させられることを示すこと。
• 現実的な攻撃的条件下でも意味のある、実行可能な保証を提供する新しいセキュリティモデルを形式化すること。
• 軽量クライアントのセキュリティを検討し、ブロックの再送信機能が欠如しているため、フルノードより脆弱であることを示すこと。
• 攻撃コストに関する従来の誤解を是正し、50%のマイニングパワーでさえも、自己利益を最大化するマイニングを併用することで、利益を上げられる二重支出攻撃が可能であることを示すこと。

提案手法

• 攻撃者が攻撃を開始する前に秘密のブロックをマイニングする『事前マイニング』の概念を導入し、100%の成功確率を実現可能にする。
• 4つの異なるセキュリティポリシーを提案：$σ^{arb}$（任意の強度の耐性）、$σ^{frac（長期的で無視できない逆転率の保護）、$σ^{total}$（任意の逆転に対する完全な耐性）、$σ^{spv}$（軽量クライアント向け）。
• 自己利益を最大化するマイニングと二重支出攻撃を組み合わせた攻撃の利益を分析するため、マルコフ決定過程（MDP）モデルを適応する。
• 報酬をチェーン長で正規化し、ブロック報酬と成功した二重支出の両方からの攻撃者利益をモデル化する。
• 成功した二重支出に対して$ρ = 2$のブロック報酬を報酬値として用い、攻撃者の利益性を定量化する。
• 二重支出報酬の変動と攻撃者の接続性（$γ$）が利益性に与える影響を分析し、一部の小さな攻撃者でも最適戦略を採用すれば利益を上げられることを示す。

実験結果

リサーチクエスチョン

• RQ1 攻撃者が二重支出攻撃のタイミングを自由に選べる場合、従来の確率的保証が無効になることはあるか？
• RQ2 事前マイニングが、特に攻撃者が事前にチェーンを秘密に構築できる場合、取引のセキュリティにどのような影響を与えるか？
• RQ3 商人、大筆な受取人、軽量クライアントなど、異なる種類のユーザーに対して意味のある保証を提供するため、セキュリティポリシーをどのように形式化できるか？
• RQ4 なぜ軽量クライアントはフルノードよりも脆弱なのか？ また、そのセキュリティを回復するための緩和戦略は何か？
• RQ5 自己利益を最大化するマイニング単体では利益が得られない状況下でも、どのような条件下で攻撃者が二重支出攻撃から利益を得られるか？

主な発見

• 攻撃者が事前マイニングできる場合、逆転確率の指数関数的減少に基づく従来のセキュリティ保証は無効であり、攻撃者は100%の成功確率を達成できる。
• 事前マイニング攻撃は、フィンニー攻撃やベクトル76攻撃を一般化し、攻撃者が任意のノードや軽量クライアントを確実に標的にすることができる。
• $σ^{arb}$ポリシーは$ε$-任意耐性を提供し、攻撃者がタイミングを操作できない取引に対してセキュリティを保証する。
• $σ^{frac}$ポリシーは、商人が長期的に無視できない割合の取引逆転を防ぐのを支援し、繰り返し支払いの実用的セキュリティを提供する。
• $σ^{total}$ポリシーは、チェーン長に対して対数時間待つことで$ε$-完全耐性を確保し、大規模な一括支払いをあらゆる逆転から保護する。
• 二重支出の報酬値（$ρ$）が高くなるほど、攻撃者の利益は増加し、$γ < 1$の小さなマイナーでも最適戦略を採用すれば利益を上げられる。