Satoshi’s White Paper argumentiert, Bitcoin sei sicher, solange ehrliche Nodes mehr CPU-Leistung kontrollieren als jede Angreifergruppe. Es argumentiert auch, ein großer Miner verdiene mehr, wenn er nach den Regeln spielt, als wenn er angreift. 2013 stellten Ittay Eyal und Emin Gün Sirer die zweite Idee in „Majority is not Enough“ infrage.
Der Angriff
Beim Selfish Mining hält ein Pool, der einen Block findet, ihn geheim und mined weiter darauf.
- Findet der Pool zuerst einen zweiten Block, liegt er vorn. Er gibt Blöcke so frei, dass die öffentliche Kette immer hinterherhinkt, sodass ehrliche Miner ihre Arbeit auf Blöcke verschwenden, die veraltet werden.
- Finden ehrliche Miner einen Block, während der Pool einen Block voraus ist, gibt der Pool seinen Block sofort frei und beginnt ein Rennen. Der Anteil ehrlicher Miner, die auf dem Pool-Block aufbauen, heißt γ (Gamma).
Der Pool verliert selbst einige Blöcke, aber ehrliche Miner verlieren mehr. Weil Belohnungen nach den Blöcken der finalen Kette verteilt werden, kann der Pool-Anteil seinen Hashpower-Anteil übersteigen.
Die Schwellen
- Bei γ = 0 (der Pool gewinnt nie ein Unentschieden) lohnt sich Selfish Mining oberhalb von etwa 1/3 der gesamten Hashpower.
- Bei γ = 1 lohnt es sich bei jeder Größe.
- Die Autoren schlugen vor, Miner sollten bei konkurrierenden Blöcken zufällig wählen, was die Schwelle auf 1/4 anheben würde.
Ihre Warnung: rationale Miner könnten dem egoistischen Pool beitreten, bis er zur Mehrheit wird.
Ist es vorgekommen?
Es gibt keinen öffentlich bestätigten Fall von Selfish Mining in großem Maßstab bei Bitcoin. Das beweist nicht, dass es unmöglich ist. Es ist schwer sicher zu erkennen, und Pools achten auch auf Reputation und den Bitcoin-Preis.
Sicherheitsmodelle
- Ehrliche Mehrheit: das Modell des White Papers. Bei einem Angreifer mit 10% Hashpower liegt die Wahrscheinlichkeit, von 5 Blöcken Rückstand aufzuholen, bei etwa 0,09%.
- Rationale Miner: Miner maximieren den Gewinn. Selfish Mining zeigt, dass Protokollregeln und Anreize nicht immer übereinstimmen.
- Mehrheitsangreifer: mit mehr als 50% kann ein Angreifer eigene kürzliche Zahlungen rückgängig machen oder Transaktionen blockieren. Er kann trotzdem keine Coins stehlen und keine Konsens-Regeln brechen, die Nodes durchsetzen.
Warum Propagation zählt
Schnelle Block-Weiterleitung, etwa durch Compact Blocks, verringert veraltete Blöcke und begrenzt den Vorteil eines gut vernetzten Angreifers.