Block Withholding Attack

Ein Mining Pool bündelt die Arbeit von Minern und verteilt Belohnungen nach vereinbarten Regeln. Er kann nicht warten, bis jeder kleine Teilnehmer einen ganzen Block findet. Wie der Bitcoin Developer Guide erklärt, verwendet er deshalb shares: Ergebnisse, die eine leichtere Bedingung erfüllen und fortlaufend Arbeit nachweisen. Ein seltenes Ergebnis erfüllt auch die strengere Bedingung des Bitcoin-Netzwerks. Der Angreifer reicht gewöhnliche shares ein, verwirft aber diesen wertvolleren Fund. Seine Maschine rechnet tatsächlich und verbraucht Strom; die Arbeit wird nicht kostenlos vorgetäuscht. [3]

Das hängt vom Auszahlungsmodell ab. Meni Rosenfeld unterscheidet Pay Per Share (PPS), bei dem der Betreiber angenommene shares bezahlt, und Pay Per Last N Shares (PPLNS), bei dem tatsächliche Blockbelohnungen anhand der zuletzt angenommenen shares in einem festgelegten Bereich verteilt werden. Bei PPS trägt daher der Betreiber den Ausfall durch fehlende Blöcke, sofern er die zugesagten Zahlungen einhält. Bei PPLNS bleibt weniger Geld für die Teilnehmer, einschließlich des Angreifers. Derselbe verworfene Fund kann also unterschiedliche Beteiligte treffen. Entscheidend sind die konkreten Poolregeln, nicht die Anzeige „Mining“ im Dashboard. [1]

Das bloße Verwerfen von Funden kann teure Sabotage sein. Der Angreifer bezahlt Geräte und Strom und verzichtet auf Einnahmen, die er ehrlich hätte erzielen können. Ittay Eyal untersucht auch einen komplexeren Fall: Ein konkurrierender Pool setzt einen Teil seiner Leistung ehrlich ein und einen anderen gegen einen fremden Pool. Unter bestimmten Annahmen kann diese Aufteilung seine Gesamteinnahmen erhöhen. Ein mathematisches Modellergebnis verspricht aber keinen Gewinn nach sämtlichen Kosten. Der Verlust des Opfers zeigt allein nicht, ob sich der Angriff insgesamt gelohnt hat. [2]

Bei beiden Begriffen bleibt ein Block zunächst unveröffentlicht, doch danach geschieht etwas anderes. Eyal und Emin Gün Sirer beschreiben Selfish Mining als Mining auf einem privaten Zweig der Kette mit strategischer Veröffentlichung seiner Blöcke. Der Angreifer will diesen Zweig durchsetzen und dafür Belohnungen erhalten. Ein klassischer Block Withholding Attack innerhalb eines Pools verwirft dagegen gefundene Blöcke; ein siegreicher privater Zweig ist dafür unnötig. Andere Varianten verzögern die Abgabe lediglich. Eine Analyse lässt sich deshalb erst beurteilen, wenn klar ist, welche Strategie sie untersucht. [4]

Nehmen wir einen Zeitraum, in dem ein ehrlicher Miner bei gegebener Rechenleistung und Schwierigkeit durchschnittlich 1 Block finden würde. Das auch von Rosenfeld verwendete Poisson-Modell beschreibt unabhängige Zufallsfunde bei einer konstanten erwarteten Fundrate. Es ergibt ungefähr 37% Wahrscheinlichkeit für keinen einzigen Fund. Bei erwarteten 3 Blöcken sind es etwa 5%. Das ist keine Wahrscheinlichkeit für Schuld: Berechnet wird ein Nullergebnis unter der Annahme ehrlichen Minings, nicht Betrug nach Beobachtung eines Nullergebnisses. Das Beispiel setzt passende stabile Bedingungen und einen vorher festgelegten Zeitraum voraus. Ein Durchschnitt ist keine Frist, bis zu der ein Block eintreffen muss. [1]

Eyal betont, wie schwer sich ein Angriff einem einzelnen kleinen Miner zuordnen lässt. Ein Konto ohne Blockfund genügt nicht. Angenommene shares und Blöcke müssen über denselben Zeitraum verglichen werden, unter Berücksichtigung der Share-Schwierigkeit und damit der repräsentierten Arbeit. Hashrate bezeichnet die Rechengeschwindigkeit; auch ihre Schätzung aus diesen Nachweisen schwankt. Ausfälle, fehlende Aufzeichnungen und veränderte Bedingungen sind ebenfalls zu prüfen. Ein Pool kann Anlass zur Untersuchung haben, ohne ausreichende Belege gegen einen bestimmten Menschen zu besitzen. [2]

Eyal erörtert einen Bonus für Blockfunde, den Aufbau von Reputation und Prüfaufgaben mit bekannter Lösung. Jeder Vorschlag verändert jedoch die Bedingungen. Ein Bonus verschiebt mehr Belohnung zum Finder und kann die Einnahmen kleiner Miner stärker schwanken lassen. Reputationsregeln erschweren Poolwechsel; Prüfaufgaben brauchen Pflege und eine verlässliche Auswertung. Eine universelle Schutzfunktion zum Einschalten ist das nicht. Betreiber müssen Wirkung und Nebenwirkungen abwägen und offenlegen, was ihre Maßnahmen tatsächlich erkennen können. [2]

Der Bitcoin Developer Guide unterscheidet das Finden eines Blocks von dessen Prüfung durch das Netzwerk. Ein verschwiegener Fund verändert keine Transaktionsregeln und erlaubt für sich allein weder das Ausgeben fremder Coins noch das Umschreiben bestätigter Geschichte. Betroffen sind vor allem Wirtschaftlichkeit und Vertrauen in der Mining-Zusammenarbeit. Drei Fragen helfen beim Einordnen: Was wurde zurückgehalten, wem fehlt nach den vereinbarten Regeln Geld und welche Belege liegen vor? Die Beschreibung des Mechanismus beschuldigt keinen heutigen Pool. [3]