В алгоритме майнинга биткоина нашли баг, существовавший с первого дня работы сети

Ошибка, заложенная Сатоши

Исследователь Лоик Морель (Loïc Morel) сообщил о вычислительном баге в механизме майнинга биткоина, который присутствует в коде с самого запуска сети. Уязвимость связана с алгоритмом корректировки сложности и теоретически может быть использована для добычи блоков с экстремально высокой скоростью.

«Satoshi s'est trompé. Il y a un bug dans le minage de Bitcoin depuis le tout premier jour. C'est une simple erreur de calcul de Satoshi qui pourrait être exploitée pour miner des blocs à une vitesse délirante. C'est un des bugs que le BIP-0054 (en discussion) résout.» — Loïc Morel (@Loic_Pandul), оригинальный пост

Почему это важно

Механизм корректировки сложности — один из фундаментальных столпов биткоина. Он обеспечивает стабильный темп генерации блоков: примерно один каждые 10 минут. Каждые 2016 блоков (около двух недель) узлы сети пересчитывают целевой показатель сложности, сопоставляя фактическую продолжительность прошедшего периода с эталонным значением (2016 × 600 = 1 209 600 секунд). Если в этом механизме существует эксплуатируемый изъян, под угрозой оказывается целостность всей сети — от корректности подтверждения транзакций до экономической модели вознаграждения майнеров.

В чём суть бага

Проблема квалифицируется как классическая ошибка «смещения на одну единицу» (off-by-one error). При измерении длительности последнего периода узел берёт разницу между временной меткой первого блока периода и меткой последнего. На первый взгляд это логично, но между первым и последним блоками насчитывается лишь 2015 интервалов, а не 2016.

Формально: если t0 — метка первого блока, а t2015 — метка последнего, то вычисленное время T = t2015 − t0 охватывает 2015 промежутков (от t0 до t1, от t1 до t2 и так далее до t2015). Корректная формула потребовала бы использования метки последнего блока предыдущего периода: T = t2015 − t−1.

Сам по себе этот баг вносит погрешность порядка 0,05% в сторону слегка завышенной сложности — величина незначительная. Однако реальная опасность кроется в побочном эффекте: периоды корректировки не перекрываются. Временная метка последнего блока одного периода не участвует в расчёте следующего, создавая разрыв.

Атака «искривления времени»

Описанный разрыв между периодами открывает возможность для атаки, известной как «искривление времени» (time warp attack). Морель описал её механику следующим образом:

• Майнер, контролирующий значительную долю хешрейта, выставляет минимально допустимые временные метки для всех блоков в периоде, кроме последнего.
• Последнему блоку присваивается максимально допустимая метка — искусственно сдвинутая в будущее.
• При пересчёте сложности система «видит» период как более продолжительный, чем он был в реальности, и снижает сложность.
• В следующем периоде атакующий повторяет манипуляцию. Поскольку периоды не перекрываются, первый блок нового периода может нести метку из далёкого прошлого, хотя предшествующий блок был помечен будущим временем.
• С каждым циклом разрыв нарастает, и после нескольких итераций сложность теоретически может упасть до уровня, при котором генерируется до шести блоков в секунду — вместо одного каждые 10 минут.

По словам Мореля, последствия успешной эксплуатации были бы катастрофическими: временные блокировки утрачивают смысл, сеть перегружается, количество реорганизаций цепочки растёт, подтверждения транзакций обесцениваются, а злоумышленник получает возможность собирать награды за блоки в лавинообразном темпе.

Предложенное решение — BIP-0054

Морель указал, что устранить уязвимость можно через софтфорк, предусмотренный предложением BIP-0054, которое сейчас находится на стадии обсуждения. Суть инициативы: первый блок нового периода сложности должен иметь временную метку, превышающую метку последнего блока предыдущего периода не более чем на два часа.

Такое ограничение восстанавливает непрерывность между периодами, ликвидирует разрыв, используемый при атаке «искривления времени», и делает манипуляции с метками практически невозможными. Атака была бы исключена, если бы первый и последний блоки двух последовательных периодов совпадали — именно этот принцип и закладывает BIP-0054.

Ранее, в феврале, партнёр Castle Island Ventures Ник Картер прогнозировал «корпоративный захват» биткоина на фоне квантовой угрозы — тема устойчивости протокола к различным типам атак остаётся одной из центральных в дискуссиях разработчиков.