ビットコインにおけるハッシュレートに基づく二重支払いの分析

目次

1. 序論

ビットコインのセキュリティモデルは、同一のデジタルコインを二度使うという悪意のある行為「二重支払い」を防ぐことに依存している。本稿は、攻撃者のハッシュレートに基づく二重支払い攻撃について、定量的かつ確率的な分析を提供する。中本哲史のオリジナルホワイトペーパーで提示された基礎的な統計モデルを明確化・拡張し、定性的な理解から精密な確率的枠組みへと移行する。

2. ブロックチェーンと分岐選択

ビットコインのブロックチェーンは、各ブロックがその前のブロックを参照するツリー構造である。ネットワークの合意は、最長チェーン（または累積的なプルーフ・オブ・ワークが最も多いチェーン）を有効な履歴として選択する。一時的な意見の相違（フォーク）は、新しいブロックが一方の分岐を伸ばしてより長くすることで解決される。このメカニズムが二重支払い攻撃の戦場であり、攻撃者は秘密裏に代替チェーンを構築する。

3. 追いつくための競争

このセクションでは、核心的な攻撃シナリオをモデル化する：ネットワーク全体のハッシュレートの一部 q を持つ攻撃者が、z ブロック遅れた後、正直なチェーン（ハッシュレート p = 1 - q）を追い越そうとする。この過程は二項ランダムウォークとしてモデル化される。攻撃者が z ブロックの遅れからいつか追いつく確率は、以下のように導出される：

$P = \begin{cases} 1 & \text{if } q \ge p \\ (q/p)^z & \text{if } q < p \end{cases}$

この優雅な結果は、ハッシュレートの50%未満（q < 0.5）の攻撃者にとって、成功確率が承認数 z に対して指数関数的に減少することを示している。

4. 承認の待機

分析は商人の視点に移る：取引を安全と見なす前に、何回の承認（n）を待つべきか？本稿は、商人が n 回の承認を確認した後でも、攻撃者がまだ成功する可能性がある確率を計算する。これは、進行中の競争を考慮に入れ、攻撃者が正直なネットワークが n ブロックを見つける前に n+1 ブロックを見つける確率を計算することを含む。結果として得られる確率は、推奨される承認深さの基礎を提供する。

5. グラフと分析

本稿は、様々な攻撃者ハッシュレート（q）に対して、商人の承認数（n）に対する二重支払い成功確率をプロットした図解的分析を提示する。視覚化された重要な洞察には以下が含まれる：

• q=0.1（ハッシュレート10%）の場合、わずか5回の承認で成功確率は0.1%を下回る。
• q=0.3の場合、同じセキュリティレベルを達成するには約24回の承認が必要である。
• qが0.5に近づくにつれ、必要な承認数は劇的に増加し、「51%攻撃」の閾値を示している。

これらのグラフは、リスク評価と実用的な承認ポリシーの設定に不可欠である。

6. 二重支払いの経済学

本稿は経済モデルを導入し、攻撃を賭け金が変動する賭博者の破産問題として捉える。攻撃者の潜在的な報酬は、二重支払いを狙う取引の価値である。分析は攻撃者にとっての攻撃の期待値を考慮し、盗まれる財の価値がブロック報酬に対して極端に高くない限り、q < 0.5 の合理的な攻撃者は、二重支払いを試みるよりも正直にマイニングする方が収益性が高いと結論づける。これはゲーム理論的セキュリティ原則と一致する。

7. 結論

本分析は、二重支払いリスクを理解するための厳密な数学的基礎を提供する。ネットワークハッシュレートの50%未満の攻撃者に対するビットコインプロトコルの二重支払いへの高い堅牢性を確認し、受取人が十分な数の承認を待つことを条件とする。この研究は、承認時間とリスク許容度の間のセキュリティのトレードオフを定量化する。

8. 核心的洞察とアナリストの視点

核心的洞察：ローゼンフェルドの研究は単なる数学ではない。それはビットコインの決済レイヤーに対する最初の厳密なリスク価格設定モデルである。彼は中本の直感的な「最長チェーンルール」を、承認深さ n が特定のファイナリティ確率 1-P に対して支払われるプレミアムである、定量化可能なセキュリティSLA（サービスレベル契約）へと変換した。これは、すべての現代的な暗号取引所のセキュリティポリシーが構築される基盤である。

論理的流れ： その天才性は、攻撃を二項ランダムウォーク——古典的な確率過程——として捉えることにある。ブロック発見をポアソン過程としてモデル化することで、ローゼンフェルドは混沌とした並列マイニング競争を、解ける一次元の賭博者の破産問題へと還元する。セクション3（追いつく確率）からセクション4（商人の待機時間）への飛躍は決定的である。それは攻撃者の能力と防御者のポリシーを橋渡しする。

長所と欠点：
長所： モデルの単純さがその強みである。閉形式解 $P = (q/p)^z$ は強力で解釈が容易である。セクション6の経済分析は時代を先取りしており、ACM Conference on Advances in Financial Technologies (AFT) のような場で見られる今日の厳密なブロックチェーンゲーム理論研究の先駆けとなった。
重大な欠点： このモデルは固定された q を持つ静的な敵を仮定している。戦略的で変動するハッシュレート——例えば、攻撃者が短期間で標的を絞って大規模なクラウドマイニング能力をレンタルする（「ゴールドフィンガー攻撃」）——を考慮していない。この脅威は、EyalとSirerの"Mining Pool"論文のような後の研究で強調されている。また、ネットワーク遅延や、攻撃者の実効的な q を効果的に増加させることができるセルフィッシュマイニング戦略も無視している。

実践的洞察： 1. 取引所向け： 画一的な承認数を使用しない。ローゼンフェルドの公式を動的に使用する。100ドルの入金には3回の承認で十分かもしれない。1000万ドルの出金には数十回が必要であり、できればファイナリティ・ガジェットが強化されたチェーンに移行すべきである。 2. プロトコル設計者向け： この論文はプルーフ・オブ・ステーク（PoS）に対する規範的な論拠である。PoWにおける指数関数的なセキュリティコスト（(q/p)^z）は経済的に過酷である。イーサリアムのキャスパーのようなPoSシステムは、研究仕様書に記載されているように、この確率的ファイナリティを暗号学的でスラッシング可能なファイナリティに置き換え、攻撃の計算を根本的に変えることを目指している。 3. 商人向け： 本当の要点は、少額の即時決済（コーヒーなど）では、いかなる承認も待つことは非現実的だということである。この経済的現実が、取引をベースレイヤーから外すことでローゼンフェルドの問題を完全に回避するオフチェーン決済チャネル（ライトニングネットワーク）の開発を直接的に促進した。

9. 技術的詳細と数学的枠組み

核心モデルは、ブロック発見を独立した試行として扱う。正直なチェーンが次のブロックを見つける確率を p、攻撃者のそれを q = 1-p とする。システムの状態は攻撃者の遅れ z である。攻撃者が遅れ z からいつか同点に到達する確率 p_z は、賭博者の破産問題から導かれる漸化式を満たす：

$p_z = q \cdot p_{z-1} + p \cdot p_{z+1}$

境界条件は p_0 = 1（同点は成功）および p_\infty = 0 である。これを解くと、q < p の場合の閉形式解 $p_z = (q/p)^z$ が得られる。

n 回の承認がある商人のシナリオでは、攻撃者が成功する確率は、n ブロック遅れから始めて正直なチェーンより長いチェーンを構築できる確率である。これは、商人が取引をブロードキャストする時のあらゆる可能なリードのシナリオにわたって合計することで計算される。

10. 分析フレームワーク：事例ケース

シナリオ： 暗号資産取引所が大口の入金を受け取る。ユーザーの口座に反映させる前に何回の承認を要求するかを決定しなければならない。

1. パラメータの定義：
   • 攻撃者の推定ハッシュレートシェア： q = 0.2 (20%)。公開されているマイニングプールのデータに基づく可能性がある。
   • リスクにさらされる価値（入金額）： V = $500,000。
   • 取引所のリスク許容度： 許容可能な二重支払い確率： $\epsilon = 0.001$ (0.1%)。
2. ローゼンフェルドモデルの適用： 攻撃確率 $P(n, q) \le \epsilon$ となる最小の n を見つける必要がある。公式 $P \approx \sum_{k=0}^{\infty} \frac{\lambda^k e^{-\lambda}}{k!} \cdot (q/p)^{n+1-k}$ for $k \le n+1$ (ここで $\lambda = n(q/p)$) を使用するか、事前計算されたグラフ/表を参照する。
3. 計算/結果： q=0.2 および \epsilon=0.001 の場合、必要な承認数 n は約9である。
4. ポリシー決定： 取引所は、この資産に対する承認要件を9ブロックに設定する。ブロック時間が10分の場合、これは入金に対して90分の保留期間を意味し、セキュリティとユーザーエクスペリエンスのバランスを取る。

11. 将来の応用と研究の方向性

• 動的承認ポリシー： リアルタイムのハッシュレートデータとメンプールの価値を統合して n を動的に調整し、「リスク感応型」の承認エンジンを作成する。
• クロスチェーンセキュリティ： ブロックチェーンブリッジやクロスチェーン取引のセキュリティを評価するためにモデルを適用する。リスクにさらされる経済的価値は、異なる q 値を持つ複数のチェーンにまたがる可能性がある。
• ポスト量子の考慮： 量子コンピューティングの出現が、51%攻撃の実行コスト（マイニングアルゴリズムの破壊による）にどのように影響するか、およびセキュリティモデルにおける q パラメータの再調整に関する研究。
• MEV（最大抽出可能価値）との統合： 現代の二重支払い攻撃は、より複雑なMEV戦略の構成要素であることが多い。将来のモデルは、攻撃者が二重支払い額を超えて、ブロックの順序変更や検閲から抽出できる追加の利益を考慮しなければならない。

12. 参考文献

1. Nakamoto, S. (2008). Bitcoin: A Peer-to-Peer Electronic Cash System.
2. Rosenfeld, M. (2014). Analysis of Hashrate-Based Double-Spending. arXiv:1402.2009.
3. Eyal, I., & Sirer, E. G. (2014). Majority is not Enough: Bitcoin Mining is Vulnerable. International Conference on Financial Cryptography and Data Security.
4. Buterin, V., & Griffith, V. (2017). Casper the Friendly Finality Gadget. arXiv:1710.09437.
5. Gervais, A., Karame, G. O., Wüst, K., Glykantzis, V., Ritzdorf, H., & Capkun, S. (2016). On the Security and Performance of Proof of Work Blockchains. ACM SIGSAC Conference on Computer and Communications Security.