4 月 9 日，Nervos & Cryptape 研究員、CKB 共識算法 NC-Max 的設計者張韌博士受邀參加了香港《Web3 學者峰會 2024》並在大會上發表了主題演講 “我對所有除了中本聰共識以外的共識協議的偏見”。
觀看演講視頻（雙語字幕，需在微信公眾號文章中觀看）：https://mp.weixin.qq.com/s/UWqZQGgZcMh5Zed_cxftOA
以下是根據張韌博士的英文演講整理的內容（如和視頻內容有出入，以視頻為準）：
當我收到邀請來這裡演講時，我驚訝地發現這是一系列行業峰會中的一個學者會議。這個事實再次帶出了我並不漫長的研究生涯中的核心問題：研究人員在區塊鏈世界中扮演什麼角色？更具體地說，我的角色是什麼？研究人員到底是什麼？
有些研究人員被視為神，他們變不可能為可能，並催生了一個巨大的產業，比如中本聰。有些則扮演神的角色，他們追求真理，不受法律和道德的約束。其他的是傳達神諭的人，他們提醒人類自身的局限性，揭示宇宙的規律。但是，區塊鏈世界不再需要神明和傳達神諭的人。開發者和企業家們，他們不需要我們來告訴他們什麼是不能做的。至少我還不足以成為這樣的人。
因此，當我知道自己無法創造或揭示一些偉大的東西時，我便以摧毀那些自稱偉大的東西為樂。我發現了自己真正的才能。這個發現源於我抨擊了一個名為 Bitcoin Unlimited 的比特幣擴容協議，我稍後會告訴你這個故事。我真正的才能是讓別人不快樂。成為他人不快樂的罪魁禍首，給我帶來了極大的快樂。我並不孤單。在查看了今天的議程後，我發現大多數演講者都是公認的安全研究人員。選擇成為一名安全研究人員意味著我們一定有什麼深層次的心理問題。在德語中，甚至有一個詞來形容這種快感，叫 Schadenfreude。
因此，我希望成為一隻牛虻（gadfly，也指那些經常批評、激起爭議或讓人不安的人）。蘇格拉底在為他的生命辯護時，將自己比作一隻牛虻，叮住人們不放，鞭打他們，讓他們憤怒，而這一切都是為了真理。我在這裡做什麼？我在這裡傳播偏見。這些是我的觀點。有時，它們會被拒絕好幾次，然後才被一些思想開放的審稿人所接受和發表。在學術界之外，這些觀點有人愛，也有人恨。就像我母校的鄭也夫教授過去常說的那樣：” 博士學位使人有能力說服別人相信自己的偏見。沒有偏見的人是多麼無趣！”
《我對所有除了中本聰共識以外的共識協議的偏見》，這就是我演講的題目。我將深入探討五種不同類型的協議。我知道你們大多數人對以太坊感到好奇，所以我把它留到了最後。萬一我講得有點超時，主持人不得不打斷我，他們會感到一點點內疚的！
首先，針對 Bitcoin Unlimited。下圖是 Yonatan Sompolinsky，他是 GHOST 協議的設計者，也是 Kaspa 的創始人。在我博士生涯的早期，他曾指導過我。回到 2017 年，他在一次電話中告訴我：“比特幣即將分裂成兩條鏈，也許你能做點什麼。”
圖：Yonatan Sompolinsky
那麼，當時發生了什麼？對於那些太年輕而記不住事情的人來說，2017 年，有一場關於比特幣應該如何提高吞吐量的比特幣擴容辯論。礦工中最流行的方法是一個名為 Bitcoin Unlimited 的協議，它聲稱可以在不分裂網絡的情況下提高區塊大小限制。它的支持者對其優越性信心十足，以至於他們聲稱一旦成為超級多數，就會發動 51% 攻擊。但社區擔心的是它的安全性。Bitcoin Unlimited 的支持者聲稱，這種攻擊將 “讓攻擊者付出的代價遠遠超過受害者”。
由於時間有限，我沒有時間介紹其技術細節，我只談一點。在 BU 中，沒有區塊有效性共識，這意味著對你來說有效的區塊對其他人來說可能是無效的，每個礦工自己選擇。有效區塊意味著什麼？每個礦工都有自己的區塊大小限制。在這項研究中，我們分析了 BU 支持者在三種不同激勵模式下的主張，結果表明 BU 在所有情況下都削弱了比特幣的安全性。
從本質上講，在 BU 中，攻擊者可以生成一個區塊，使得誠實的挖礦力量分裂成兩條不同的鏈。最終，這兩條鏈將匯聚，以至於一個攻擊者的區塊就能使多個誠實的區塊成為孤塊。所以在我看來，BU 的口號應該改為 “Bitcoin Unlimited 釋放了潛在的攻擊”。
我們的論文 “On the Necessity of a Prescribed Block Validity Consensus: Analyzing Bitcoin Unlimited Mining Protocol” 發表後，BU 的支持率立即下降。CoinDesk 報導了我們的研究成果，結束了圍繞 BU 安全性的爭論。幾個月後，BU 的支持率降為零。這篇論文於年底發表在 CoNEXT 上。
第二，針對其他 9 個 PoW 協議。為了改進中本聰共識（NC，即 Nakamoto Consensus），我設計了一個模型，並評估了幾十種想法，但沒有一種是完美的。但這些有缺陷的想法還是不斷地被發表出來，卻沒有或僅有部分安全評估。我認為人們需要了解情況。我有點羞於承認這符合 “如果我沒有，你也不可以有” 的螃蟹心理。
許多協議聲稱可以改善 NC，但真正的問題是：有沒有一種協議在安全性上全面超越 NC？ 為了評估這一點，我們首先需要了解如何改進 NC。
NC 的主要弱點是其鏈質量差，會導致三種攻擊：
第一，自私挖礦攻擊。 自私挖礦的過程與鏈質量攻擊的過程相同，但這兩種攻擊的目的不同。自私挖礦者的目的是提高利潤，而鏈質量攻擊者的目的是提高主鏈區塊的百分比。這兩種攻擊在其他共識協議中並不等價。
第二，雙花攻擊。 我想我可以跳過這一部分，大家都知道什麼是雙花攻擊。
第三，審查攻擊。 在審查攻擊中，攻擊者聲稱要使所有確認了某些交易的區塊無效。如果一些礦工不同意攻擊者的說法，攻擊者就會試圖使這些區塊失效。雖然這種攻擊的成功率很低，但對於誠實的礦工來說，理性的選擇是加入攻擊者，這樣攻擊者就成了事實上的所有者。
還有其他與挖礦相關的攻擊，但它們並不直接針對共識協議。
我們的評估框架由四個指標組成。一個優於 NC 的協議需要實現更佳鏈質量，或者更好地抵禦上述的三種攻擊。 因此，我們將所有聲稱優於 NC 的協議分成了兩組：
- 更佳鏈質量協議，它們聲稱 “我可以提高鏈的質量並從根本上解決所有攻擊”，通常採用不同的分叉解決策略。
- 抗攻擊協議，它們聲稱 “我不需要提高鏈的質量，我可以抵禦攻擊”。我們還進一步將這一組分為三個小組：
- 全部獎勵協議：對失敗者進行補償，這樣就沒有動機去自私挖礦了。
- 懲罰協議：找到所有競爭區塊，因此無論如何雙花都會受到懲罰。
- 幸運獎勵協議：只向某些幸運區塊分配獎勵，希望這些幸運區塊作為穩定網絡的錨點。
我們的結果顯示，沒有任何協議全面超越 NC。 它們要麼只在某些攻擊者場景中提高了鏈的質量，要麼為了某一種攻擊抵抗力而犧牲另一種。
我們發現了一系列針對特定協議的攻擊，並深入探討了這些協議無法實現目標的原因，這次演講只能介紹兩個。
第一，獎勵並不能解決攻擊問題。 試圖設計一種新穎的激勵機制來抵禦某些攻擊是一個常見的錯誤。攻擊者有不同的動機，沒有一種獎勵機制能阻止所有攻擊。我們發現了一個稱為 “獎優罰劣 “的兩難困境。如果獎勵所有挖礦產品，那麼就不存在雙花的風險，因為雙花的攻擊者無論如何都會獲得獎勵。如果懲罰所有競爭區塊，實際上是給攻擊者提供了一種新的工具來進行審查攻擊。如果只獎勵幸運區塊，攻擊者就可以利用幸運區塊索取獎勵，利用不幸運區塊攻擊誠實的礦工。
第二個洞察是關於如何設計共識協議。我們不應設計過於複雜、難以分析的協議。我們也不應該只針對一種攻擊策略、一種攻擊者激勵或者使用現實參數進行安全分析。 就像 Knudsen 過去常說的，” 如果一個協議無法證明是安全的，那麼它很可能就不安全”。但實際上 Knudsen 從未說過這句話，他說的是：” 如果可以被證明是安全的，那麼也有可能不是安全的”。但我認為，修改後的那句話也是有效的，除非你是中本聰。
我的這篇論文 “Lay Down the Common Metrics: Evaluating Proof-of-Work Consensus Protocols’ Security” 發表在 IEEE 2019。
由於時間有限，我將跳過第三部分 — — 分片區塊鏈。大家只需記住，分片是非常困難的。
第四，針對兩個基於 DAG 的協議。對於那些不太年輕的人，你們應該知道比特幣在安全性能上是有取捨的。如果你想通過增加區塊大小或縮短區塊間隔來提升性能，你最終會得到更多的孤塊，就像 Yonatan 在這張圖中說明的那樣。如果有更多的孤塊，安全性和性能實際上都會變差：安全性會降低，因為攻擊者可以用較少的挖礦算力秘密挖出更長的鏈；性能也會變差，因為所有浪費在傳播這些孤塊上的帶寬都無助於交易確認。
我設計的 NC-Max 解決了這個問題， 今天沒有時間介紹它的工作原理。你必須相信我，NC-Max 解決了這個問題。但要讓 NC-Max 的論文 “NC-Max: Breaking the Security-Performance Tradeoff in Nakamoto Consensus” 發表出來也並不容易。在被接受之前，我們被拒絕了好幾次。很難被接受的部分原因是，審稿人一直在問我們這樣一個問題：“既然 DAG 協議已經解決了安全性能的權衡問題，為什麼還要設計一個基於鏈的協議呢？” 這激發了我們進行另一項研究，用來說服社區相信 DAG 協議並不能解決安全性能的權衡問題。
什麼是基於 DAG 的協議？為了實現更高的吞吐量，Yonatan 提議用有向無環圖（DAG）取代區塊鏈結構。每個區塊都可以有多個前置區塊，多個並發區塊都可以為交易確認做出貢獻。但是，早期基於 DAG 的協議要麼安全保證薄弱，要麼只能提供部分安全分析。
只有 Prism 和 OHIE 這兩個基於 DAG 的協議可以證明其安全性。它們可以通過解耦交易、同步和確認來證明其安全性和性能。由於時間有限，今天沒有時間介紹它們的工作原理，但它們的主要思想非常簡單，和 NC-Max 類似。因此，交易確認的重任就落在了一系列由小區塊組成的 NC 鏈上。為什麼要在 DAG 協議中使用 NC 鏈呢？這樣做的好處是你可以借用 NC 安全性證明，而 NC 安全性證明非常成熟和嚴謹。
它們真的能在安全性能上做出取捨嗎？當然不能。這兩個協議的問題在於存在一個隱藏的假設。它們使用多個小區塊，希望這些小區塊只有短暫而恆定的延遲，並且總是立即被接受，這樣就可以擺脫安全性能權衡了。但這一假設並不成立，我們發現有兩種現象表明這一假設是錯誤的。
第一種現象稱為區塊堵塞。假設網絡每秒只能處理一個區塊，你在 2 秒內挖出了三個區塊，那麼其中至少有一個區塊無法在 2 秒內完成傳播，無論它們有多小，帶寬都是不夠用的。
第二種情況稱為 late predecessor。假設你有一個小區塊，也就是橙色區塊，它參考了大量的大區塊。即使這個小區塊立即傳播給所有礦工，礦工也無法在其上挖礦，直到收到所有較大的前置區塊。礦工必須等待大區塊，儘管它們是小區塊的前置區塊。我們做了一些巧妙的數學分析，結果顯示它們也會受到安全性能權衡的影響。
不過，要把這篇論文發表出來也不容易。因為審稿人一直在問我們這樣一個問題：“既然基於鏈的協議已經解決了安全性能權衡問題，為什麼還要分析基於 DAG 的協議呢？” 我知道可能有不同的審稿人，但這種諷刺的感覺是真實的。我花了兩年時間寫論文，就是因為你們說我的上一篇論文說服力不夠。現在這篇論文完成了，你卻告訴我你兩年前就被說服了。所以我發現自己的處境很尷尬。為了讓我的論文發表，我希望他們攻擊的協議越來越受歡迎，讓人們相信它值得攻擊。
後來，“Security-Performance Tradeoff in DAG-based Proof-of-Work Blockchain Protocols” 這篇論文被 NDSS 接收，也就是接收 NC-Max 論文的那個會議。願最好的會議能收到最好的論文。
最後，針對所有的 PoS 協議。對於那些喜歡技術部分的人，我很抱歉，這次演講時間太短，不能浪費在攻擊 PoS 協議上。如果你真的感興趣，可以看看我 2019 年的演講視頻，我在那場演講中花了一個小時來說明為什麼 PoS 永遠不可能像 PoW 一樣安全。
還有多少攻擊有待正式分析？我們做了一些簡單的統計。我們的研究小組做了一個小項目，從 2020 年到 2022 年，出現在頂級 CS 會議的區塊鏈論文有 585 篇。令人驚訝的是，PoW 的論文仍然多於 PoS 的論文。
我們發現了以下見解。對於中本聰共識的正式分析，研究人員發現它比之前認為的更安全。但對於 PoS 協議，研究人員發現了更多的攻擊向量， 這些攻擊向量基本上都在我 2019 年的演講中得到了實例化。而新的 PoS 設計，我們並不確定它們能否實現 PoW 那樣的安全性。目前還沒有關於 PoS 生態系統的分析或測量研究，因為它們要麼太中心化了，要麼太同質化了。
一個特別的例子是以太坊的 PoS。我提到它是因為它太有趣了。在以太坊中，對某些人來說有效的區塊對其他人來說可能是無效的，這意味著沒有區塊有效性共識。以太坊在發放獎勵時使用同步模型，在確認區塊時使用部分同步模型。回想一下，如果一個協議無法證明是安全的，那麼它很可能就不安全。 因此，它可能會獎優罰劣。回想一下，獎勵並不能解決攻擊問題。
我覺得這是一個很好的研究課題。然而，我來得太晚了，因為很多研究人員已經像狼群一樣撲了上去，其中一些問題已經解決了。以太坊聲稱擁有未來，但那些不記得過去的人注定會重蹈覆轍。
下一步是什麼？有這麼多研究人員在攻擊以太坊，我很難找到新的角度，更不用說新的信息了。但我還是設法找到了個，不過我寫得很慢。因此，我將用我對以太坊最誠摯的祝福來結束這次演講：在我完成之前，請不要死掉。
謝謝。
相關鏈接：
- On the Necessity of a Prescribed Block Validity Consensus: Analyzing Bitcoin Unlimited Mining Protocol: https://eprint.iacr.org/2017/686
- Lay Down the Common Metrics: Evaluating Proof-of-Work Consensus Protocols’ Security: https://www.esat.kuleuven.be/cosic/publications/article-3005.pdf
- NC-Max: Breaking the Security-Performance Tradeoff in Nakamoto Consensus: https://eprint.iacr.org/2020/1101
- Security-Performance Tradeoff in DAG-based Proof-of-Work Blockchain Protocols: https://eprint.iacr.org/2023/1089
- 張韌博士 2019 年的演講視頻：https://www.youtube.com/watch?v=gxFm1QieUdE