[论文解读] Low-cost attacks on Ethereum 2.0 by sub-1/3 stakeholders

Michael Neuder, Daniel J. Moroz+2 more|arXiv (Cornell University)|Feb 3, 2021

Blockchain Technology Applications and Security参考文献 12被引用 16

一句话总结

本文表明，仅拥有以太坊2.0网络30%股份的攻击者即可发动两种低成本、非罚没的攻击：恶意链重组（reorg）和最终性延迟。通过战略性地延迟发布区块和签名，攻击者可实现双花或抢先交易，并使最终性每小时延迟最多19分钟，成本仅为5至500美元，严重破坏系统的可预测性和安全性。

ABSTRACT

We outline two dishonest strategies that can be cheaply executed on the Ethereum 2.0 beacon chain, even by validators holding less than one-third of the total stake: malicious chain reorganizations ("reorgs") and finality delays. In a malicious reorg, an attacker withholds their blocks and attestations before releasing them at an opportune time in order to force a chain reorganization, which they can take advantage of by double-spending or front-running transactions. To execute a finality delay an attacker uses delayed block releases and withholding of attestations to increase the mean and variance of the time it takes blocks to become finalized. This impacts the efficiency and predictability of the system. We provide a probabilistic and cost analysis for each of these attacks, considering a validator with 30% of the total stake.

研究动机与目标

• 识别并分析以太坊2.0信标链中新型、低成本的攻击向量，且不触发罚没机制。
• 证明即使攻击者仅掌握不足三分之一的股份（具体为30%），仍可破坏共识完整性。
• 量化在权益证明系统中，恶意链重组与最终性延迟的概率、成本与影响。
• 挑战一种假设：当攻击利用时间与协调而非密码学冲突时，1/3股份的阈值不足以确保安全。
• 评估此类攻击在实际中的可行性及其经济激励机制。

提出的方法

• 攻击利用GHOST分叉选择规则与Casper FFG最终性机制，通过30%股份的攻击者延迟发布区块与签名，以操纵链选择。
• 对于恶意重组，攻击者在获得有利的分叉选择结果前延迟释放其区块与签名，从而实现双花或抢先交易。
• 对于最终性延迟，攻击者延迟发布针对正确时期边界区块（EBB）的签名，导致诚实验证者在错误的EBB上浪费签名。
• 攻击者通过阻止对正确或错误EBB的足够签名数量，确保连续两个时期内均无法形成超多数链接。
• 成功概率通过一个偏置硬币抛掷类比建模，其中P(正面) = 0.91，代表控制EBB与下一区块的概率。
• 成本基于浪费的签名数量与网络延迟计算，最终性延迟攻击的长期成本为100至1200美元。

实验结果

研究问题

• RQ1 拥有不足1/3股份的攻击者是否能成功操纵以太坊2.0的链选择与最终性机制，且不触发罚没？
• RQ2 当攻击者控制30%股份时，恶意链重组的成功概率与成本是多少？
• RQ3 30%股份的攻击者多久能延迟一次最终性？此类延迟的预期持续时间是多少？
• RQ4 最终性延迟在多大程度上影响交易最终化的可预测性与系统效率？
• RQ5 攻击成功率如何随攻击者股份比例增加而变化？此类攻击的经济激励为何？

主要发现

• 30%股份的攻击者平均每小时可将最终性延迟约三个时期（约19分钟），显著破坏系统的可预测性。
• 基于攻击者30%股份及对区块与签名时机的控制，一次长度为2的最终性延迟在每个时期的发生概率约为9%。
• 恶意重组攻击的成本可低至5美元，可高概率实现双花或抢先交易。
• 最终性延迟攻击的长期成本在100至1200美元之间，具体取决于频率与网络状况，具有经济可行性。
• 这些攻击不违反罚没条件，因其未涉及签署冲突的区块或签名。
• 25%股份的攻击者每3小时可实现一次长度为2的重组，每小时可实现一次2时期长度的最终性延迟，表明更低股份仍可发动具有影响力的攻击。