[论文解读] An Explanation of Nakamoto's Analysis of Double-spend Attacks

A. Pinar Ozisik, Brian Neil Levine|arXiv (Cornell University)|Jan 15, 2017

Advanced Queuing Theory Analysis参考文献 5被引用 12

一句话总结

本文对中本聪在比特币中提出的双花攻击概率模型提供了详细的数学推导与验证，推导出基于赌徒破产问题的公式，并指出了泊松密度近似中的关键错误。通过蒙特卡洛模拟验证了该模型，结果表明泊松近似在小区块深度下，尤其是低攻击概率时，会引入显著误差。

ABSTRACT

The fundamental attack against blockchain systems is the double-spend attack. In this tutorial, we provide a very detailed explanation of just one section of Satoshi Nakamoto's original paper where the attack's probability of success is stated. We show the derivation of the mathematics relied upon by Nakamoto to create a model of the attack. We also validate the model with a Monte Carlo simulation, and we determine which model component is not perfect.

研究动机与目标

• 提供中本聪在比特币白皮书中提出的双花攻击概率模型的严谨、分步推导。
• 通过蒙特卡洛模拟验证中本聪的数学模型，确保理论预测的实证准确性。
• 识别并分析模型中导致与现实行为偏离的具体部分，特别是在低攻击概率下的表现。
• 阐明赌徒破产类比在区块链双花攻击背景下的假设与局限性。
• 纠正中本聪在建模区块到达时间时对泊松分布使用中的微妙但影响重大的错误。

提出的方法

• 推导中本聪所用的赌徒破产概率模型，展示成功概率如何依赖于攻击者算力占比 q 和区块深度 z。
• 使用公式 $ Q_z = \left(\frac{q}{p}\right)^z $（当 $ p > q $ 时），其中 p 为诚实矿工的区块发现速率，q 为攻击者的速率，以建模攻击者从落后 z 个区块处追上的概率。
• 应用泊松过程来建模区块到达，假设区块发现时间相互独立且无记忆，速率为 λ = 10 分钟。
• 实现一个蒙特卡洛模拟，独立模拟诚实矿工与攻击者矿工的区块挖掘过程，追踪攻击者在 z 个区块后是否能超越主链。
• 将模拟结果与无限预算模型（公式 42）和有限预算模型（公式 43）进行比较，采用 y = z + 35 作为攻击者资源的实用上限。
• 通过隔离 $ Q_z $、λ 和泊松密度函数三个组件，使用受控比较，识别出模型与模拟之间差异的根源。

实验结果

研究问题

• RQ1 中本聪用于双花攻击成功概率的公式背后的数学推导是什么？它与赌徒破产问题有何关联？
• RQ2 与双花攻击的蒙特卡洛模拟所得实证结果相比，中本聪的理论模型在多大程度上是准确的？
• RQ3 模型中哪个组成部分——$ Q_z $、λ 或泊松密度函数——最显著地导致了理论与模拟之间的偏差？
• RQ4 攻击者的有限计算预算如何影响攻击概率？无限预算假设在多大程度上能近似现实？
• RQ5 为何该模型在 q 值较低时表现出更高的相对误差？模拟结果中观察到的偏差是由什么引起的？

主要发现

• 当 q < 0.45 时，模型对双花攻击成功概率的预测与蒙特卡洛模拟结果高度吻合，表明在中等攻击算力下具有较强的实证有效性。
• 模型中主要的误差来源是泊松密度函数的近似，该近似低估了罕见事件的概率，尤其是在 z 值较小且 q 值较低时。
• 模型与模拟中 $ Q_z $ 和 λ 值的比较显示完全一致，证实这两个组成部分被正确建模。
• 模型与模拟之间的相对误差在低 q 值时可高达 100%，主要源于泊松近似对低概率区块到达序列的处理不佳。
• 采用 y = z + 35 的有限预算模型（公式 43）与无限预算情况（公式 42）非常接近，验证了其可作为实用替代方案的有效性。
• 本研究纠正了中本聪原始模型中的一个微妙但意义重大的错误：泊松近似引入了系统性偏差，尤其在攻击成功概率分布的尾部。