[论文解读] Bitcoin's Security Model Revisited

Yonatan Sompolinsky, Aviv Zohar|arXiv (Cornell University)|May 30, 2016

Blockchain Technology Applications and Security参考文献 13被引用 41

一句话总结

本文通過證明當攻擊者可選擇攻擊時機時，傳統的雙花攻擊概率保障失效（因預挖礦與自私挖礦的存在），重新評估比特幣的安全模型。本文提出四種新安全模型——$σ^{arb}$、$σ^{frac}$、$σ^{total}$ 和 $σ^{spv}$——為不同類型的用戶（包括商家、大金額接收者與輕量級客戶端）提供強健且可操作的安全保障，修正了先前對攻擊者成本與攻擊可行性之誤解。

ABSTRACT

We revisit the fundamental question of Bitcoin's security against double spending attacks. While previous work has bounded the probability that a transaction is reversed, we show that no such guarantee can be effectively given if the attacker can choose when to launch the attack. Other approaches that bound the cost of an attack have erred in considering only limited attack scenarios, and in fact it is easy to show that attacks may not cost the attacker at all. We therefore provide a different interpretation of the results presented in previous papers and correct them in several ways. We provide different notions of the security of transactions that provide guarantees to different classes of defenders: merchants who regularly receive payments, miners, and recipients of large one-time payments. We additionally consider an attack that can be launched against lightweight clients, and show that these are less secure than their full node counterparts and provide the right strategy for defenders in this case as well. Our results, overall, improve the understanding of Bitcoin's security guarantees and provide correct bounds for those wishing to safely accept transactions.

研究动机与目标

• 挑戰現有比特幣交易安全概率保障的有效性，這些保障假設攻擊者無法選擇攻擊時機。
• 證明若攻擊者可提前預挖區塊，則能以 100% 成功率發動成功的雙花攻擊。
• 形式化新安全模型，使其在現實攻擊情境下提供有意義且可操作的保障。
• 探討輕量級客戶端的安全性，顯示其安全性低於全節點，原因在缺乏區塊傳播機制。
• 修正先前對攻擊者成本的誤解，顯示即使在 50% 挖礦算力與自私挖礦條件下，仍可能實現有利可圖的雙花攻擊。

提出的方法

• 引入預挖礦概念，即攻擊者在發動雙花攻擊前秘密挖礦區塊，從而實現 100% 成功率。
• 提出四種不同安全政策：$σ^{arb}$ 用於任意魯棒性，$σ^{frac}$ 用於長期部分損失防護，$σ^{total}$ 用於完全防範任何回滾，$σ^{spv}$ 用於輕量級客戶端。
• 調整馬爾可夫決策過程（MDP）模型，分析結合自私挖礦與雙花攻擊的攻擊者利潤。
• 以鏈長度歸一化獎勵，並建模攻擊者來自區塊獎勵與成功雙花的總收益。
• 使用 $ρ = 2$ 個區塊獎勵作為成功雙花的獎勵值，以量化攻擊者利潤。
• 分析雙花獎勵與攻擊者連接度（$γ$）變化的影響，顯示即使小規模攻擊者在特定條件下亦可獲利。

实验结果

研究问题

• RQ1 當攻擊者可選擇雙花攻擊時機時，傳統比特幣交易安全的概率保障是否可能失效？
• RQ2 預挖礦對交易安全有何影響，特別是當攻擊者可提前秘密建立鏈時？
• RQ3 如何形式化安全政策，以針對不同類型用戶（如商家、大金額接收者、輕量級客戶端）提供有意義的保障？
• RQ4 為何輕量級客戶端安全性低於全節點？有何緩解策略可恢復其安全性？
• RQ5 在自私挖礦本身無利可圖的情況下，攻擊者在何種條件下仍可從雙花攻擊中獲利？

主要发现

• 當攻擊者可預挖時，基於回滾機率指數衰減的傳統安全保障失效，因攻擊者可達成 100% 成功率。
• 預挖礦攻擊廣義化了 Finney 與 Vector76 攻擊，使攻擊者能以絕對確定性針對任何節點或輕量級客戶端發動攻擊。
• $σ^{arb}$ 政策提供 $ε$-任意魯棒性，確保不受敵意時機影響之交易的安全性。
• $σ^{frac}$ 政策可保護商家免受長期、不可忽略之交易回滾比例影響，提供重複支付之實用安全保障。
• $σ^{total}$ 政策透過等待對數時間長度的鏈長，確保 $ε$-完全魯棒性，保護大額一次性支付免於任何回滾。
• 雙花攻擊者利潤隨獎勵值 ($ρ$) 增加而提升，即使小規模礦工作為 $γ < 1$，在最佳策略下亦可獲利攻擊。