ataque de 51%

A mineração é uma corrida, e quem opera mais hardware ganha mais corridas. Um grupo que detém mais da metade do hashrate pode construir uma cadeia privada mais longa e publicá-la, apagando blocos que outras pessoas já tratavam como finais. Ele não pode falsificar sua assinatura, portanto os bitcoins que já estão em uma carteira que você controla não são o que esse ataque leva.

Como funciona

Os nós do Bitcoin seguem a cadeia com mais prova de trabalho acumulada, não a cadeia que viram primeiro por acaso. Um atacante explora essa regra minerando em segredo. Partindo de algum bloco recente, ele constrói sua própria ramificação sem publicá-la, enquanto o resto da rede estende a ramificação pública. Se a ramificação secreta ficar mais longa, publicá-la faz todos os nós trocarem, e os blocos que perderam a corrida são descartados junto com os pagamentos que só existiam dentro deles.

O whitepaper mediu com exatidão o quão difícil isso é. A seção 11 calcula o número de confirmações necessárias para reduzir a probabilidade de um alcance bem-sucedido abaixo de 0,1%: 5 blocos contra um atacante com 10% do hashrate, 15 blocos com 25%, 24 blocos com 30% e 340 blocos com 45%. A curva é acentuada, e então ela se rompe. Acima de 50% a probabilidade de alcançar a cadeia com o tempo é 1, e nenhum número de confirmações resolve isso. Essa descontinuidade na metade do hashrate é de onde vem o nome.

Ter a maioria do poder de hash não é ter acesso de root. Um minerador que minera um bloco inválido, um que paga a si mesmo 10 bitcoins quando o subsídio é de 3,125 ou que gasta uma saída para a qual não tem chave, tem esse bloco rejeitado por todos os nós completos, incluindo o nó barato que roda em um notebook. Os poderes do atacante são restritos e específicos: excluir transações dos blocos, deixar órfãos os blocos encontrados por mineradores honestos e reverter pagamentos que ele mesmo fez dentro dos últimos blocos. Ele não pode cunhar bitcoins fora do calendário, elevar o limite de 21 milhões nem mover fundos de um endereço para o qual não pode assinar.

O ataque também é alugado, não construído. A dificuldade só se recalcula a cada 2.016 blocos, então um atacante não precisa sustentar nada por duas semanas. Em uma cadeia cujo algoritmo tem capacidade sobrando no mercado de mineração, algumas horas de capacidade alugada bastam, e é por isso que as vítimas foram todas cadeias pequenas, e não o bitcoin.

Por que isso importa quando você compra bitcoin

Nenhum ataque de maioria bem-sucedido jamais aconteceu na cadeia principal do bitcoin. O caso mais próximo foi em julho de 2014, quando o pool GHash.io passou da metade do hashrate da rede e, sob pressão pública, publicou um compromisso de não exceder 39,99%; o pool encerrou suas atividades em outubro de 2016. A concentração ainda é a preocupação vigente. Dois pools, Foundry USA e AntPool, juntos constroem aproximadamente metade de todos os blocos, embora o hashrate que eles direcionam pertença a milhares de mineradores separados que podem redirecionar suas máquinas para outro pool em minutos.

Para um comprador, a exposição prática é restrita. Os bitcoins guardados na sua própria carteira não podem ser removidos por uma reorganização, porque uma reorganização não pode mudar quem detém as chaves. O que está na zona de impacto é o valor em movimento: um depósito que uma corretora já creditou mas ainda está confirmando, e qualquer altcoin pequena de prova de trabalho listada ao lado do bitcoin na mesma plataforma. Das 24 corretoras analisadas neste site, as que perderam dinheiro de clientes o perderam por falha de custódia e fraude, não por reorganizações da cadeia. Essa proporção se mantém durante toda a história do ativo.

As esperas de confirmação são o custo visível dessa defesa. Quando uma corretora faz você esperar vários blocos antes que seu depósito seja negociável, ela está comprando para si a margem de segurança que o whitepaper descreve. Se você está movendo bitcoins entre plataformas, planeje esse atraso em vez de tratá-lo como um erro.

Bitcoin Gold, atacado duas vezes

Bitcoin Gold é o exemplo prático mais claro, porque é uma bifurcação de 2017 do código do bitcoin que herdou tudo, exceto o hashrate. Em maio de 2018, um atacante depositou BTG em corretoras, trocou por outros ativos, sacou e então reorganizou a cadeia para que os depósitos nunca tivessem acontecido. Os gastos duplos relatados somaram aproximadamente 18 milhões de dólares. A Bittrex, uma das corretoras que saiu no prejuízo, removeu o BTG de sua listagem em setembro de 2018 depois que o projeto se recusou a cobrir a perda.

Aconteceu de novo em 23 de janeiro de 2020, com duas reorganizações profundas que reverteram cerca de 1.900 e 5.267 BTG, executadas com poder de hash alugado no mercado aberto. A lição se generaliza: o custo de atacar uma cadeia acompanha seu hashrate, não sua capitalização de mercado nem sua marca. Uma criptomoeda pode valer centenas de milhões de dólares e ainda assim ser reorganizada pelo preço de algumas horas de máquinas alugadas.

Ataque de 51% vs gasto duplo

Um ataque de 51% é um método; um gasto duplo geralmente é o resultado. Quase todas as tentativas reais de gasto duplo na história do bitcoin não envolveram mineração alguma, apenas a substituição de uma transação não confirmada na mempool, o que não custa ao atacante nada além de uma taxa maior. É preciso ter a maioria do poder de hash para desfazer um pagamento que já foi enterrado em blocos, e esse é um orçamento completamente diferente.

Ataque de 51% vs mineração egoísta

A mineração egoísta é uma estratégia de lucro, não uma reescrita da história. Eyal e Sirer mostraram em 2013 que um minerador que retém os blocos que encontra e os libera de forma estratégica pode ganhar mais do que sua parte justa das recompensas com bem menos da metade do hashrate, em algumas condições de rede a partir de cerca de um terço. O minerador egoísta ainda respeita as regras de consenso e nunca reverte um pagamento confirmado; ele está roubando receita de outros mineradores, não bitcoins dos usuários.