Як Bitcoin бореться за виживання у 24-годинній гонці під час світового відключення інтернету

Уявіть собі, що за один день руйнується головна інфраструктура світового інтернету.

Чи через людську помилку, катастрофічний збій програмного забезпечення, руйнівний вірус або навіть повномасштабну війну — що буде з Bitcoin, якщо фізичні вузли обміну інтернет-трафіком, які з’єднують планету, раптом зникнуть із мережі?

Якщо Франкфурт, Лондон, Вірджинія, Сінгапур і Марсель одночасно відключаться, Bitcoin розділиться на три ізольовані частини.

Трафік через Атлантику, Середземне море й основні транстихоокеанські канали зупиниться, і Америки, Європа, Африка, Близький Схід, Азія та Океанія тимчасово опиняться в ізоляції та бачитимуть власну історію, доки зв’язки не буде відновлено.

Видобуток блоків у кожній частині триває відповідно до досяжного хешрейту.

За глобальної мети в 10 хвилин, регіон із 45% хешрейту генерує приблизно 2,7 блока на годину, 35% — близько 2,1 блока, а 20% — орієнтовно 1,2 блока. Оскільки ноди не можуть обмінюватися заголовками або транзакціями між ізольованими частинами, кожна область просуває власний чинний ланцюг, не знаючи про інші.

У підсумку виникає природна глибина форку, яка з часом збільшується разом із розподілом хешрейту.

Розділений ритм робить розбіжності неминучими. Призначимо орієнтовні частки хешрейту кожному регіону: для моделювання використаємо 45%, 35% і 20% для Америки, Азії та Океанії, а також Європи й Африки відповідно.

Американський кластер додасть близько шести блоків за дві години, Азія й Океанія — чотири-п’ять блоків на годину, а Європа й Африка — приблизно два-три блоки на годину.

Через годину леджери вже відрізнятимуться на десятки блоків.

Через пів доби розрив досягне сотень блоків.

Через добу різниця між ланцюгами перевищить сотні блоків — це за межами звичайних реорганізацій і змусить сервіси визнавати регіональні підтвердження лише попередніми.

Потенційна глибина реорганізації на ізольованій стороні зростає лінійно з тривалістю розриву. Навіть короткочасне розділення 50/50 несе значний ризик.

Локальні мемпули розділяються миттєво. Транзакція з Нью-Йорка не досягне Сінгапуру, тому одержувачі поза сегментом відправника не отримають її до відновлення каналів зв’язку.

Усередині кожної частини ринок комісій стає локальним. Користувачі конкурують за обмежений простір у блоці з регіональним хешрейтом, тому комісії зростають найшвидше там, де хешрейт найменший, а попит найвищий.

Біржі, платіжні провайдери та кастодіальні гаманці зазвичай призупиняють виведення та розрахунки в ланцюгу, коли підтвердження втрачає глобальну фінальність, а контрагенти Lightning перебувають у невизначеності щодо транзакцій-комітментів у міноритарних частинах мережі.

Після відновлення маршрутів ноди автоматично розпочинають синхронізацію.

Кожна нода порівнює ланцюги й переходить на чинний ланцюг із найбільшою сукупною роботою.

Практичні наслідки поділяються на три групи:

1. Глибина реорганізацій, яка призводить до анулювання блоків міноритарних частин мережі.
2. Необхідність повторного розповсюдження й перепріоритезації транзакцій, які раніше були “підтверджені” лише на гілці, що програла.
3. Операційні перевірки, які проводять біржі та кастодіальні сервіси перед відновленням роботи.

Після 24-годинного розколу можуть бути відкинуті десятки або сотні блоків міноритарної частини, а сервісам знадобиться ще кілька годин для відновлення мемпулів, перерахунку балансів і відновлення виведення коштів.

Повна економічна стабілізація часто відстає від зближення протоколу, оскільки перевірка фіатних каналів, комплаєнс та управління каналами вимагають людського контролю.

Динаміку простіше аналізувати, моделюючи ізоляцію як відсоток досяжного хешрейту, а не кількість вузлів.

За ізоляції 30% хешрейту міноритарна частина додасть приблизно 1,8 блока на годину. Це означає, що стандартна оплата із шістьма підтвердженнями в цьому сегменті стає ризиковою вже через три години двадцять хвилин, оскільки ці шість блоків можуть бути відкинуті, якщо решта 70% мережі збудує довший ланцюг.

У разі розділення майже 50/50 обидві частини виконують подібний обсяг роботи. Навіть короткі розриви створюють конкуруючі “підтверджені” історії, а результат повторного з’єднання стає випадковим.

У випадку розподілу 80/20 більша частина майже напевно виграє; блоки меншої частини (приблизно 29 за добу) будуть відкинуті на етапі об’єднання, що призведе до скасування багатьох підтверджених транзакцій у цьому регіоні.

Ризик реорганізації зростає пропорційно до часу та частки хешрейту меншої частини мережі. Найнебезпечнішою є зона тривалого розриву з майже рівним розподілом.

Інструменти підвищення стійкості справді існують і формують реальний вплив.

Супутникові канали, високочастотні радіорелейні лінії, мережі з толерантністю до затримок, mesh-мережі та альтернативні рішення на кшталт Tor можуть передавати заголовки чи мінімальні транзакції через пошкоджені маршрути.

Ці шляхи обмежені за пропускною здатністю й мають велику затримку, але навіть епізодична міжчастинна передача зменшує глибину форку, дозволяючи частині блоків і транзакцій просочитися через розрив.

Різноманітність підключень майнерів, мультихомінг біржової інфраструктури й географічна децентралізація пулів підвищують шанси, що частина роботи все ж поширюється глобально через додаткові канали, обмежуючи глибину й тривалість реорганізацій після відновлення головної інфраструктури.

Операційні рекомендації для учасників ринку під час розколу мережі прості.

• Зупиніть розрахунки між частинами мережі, розглядайте всі підтвердження як попередні та захистіть оцінку комісій від локальних стрибків.
• Біржі можуть перейти на proof-of-reserve без активного виведення, підвищити пороги підтвердження для врахування ризику міноритарної частини та публікувати чіткі політики, які співвідносять тривалість ізоляції з необхідною кількістю підтверджень.
• Гаманці мають чітко попереджати про регіональну фінальність, вимикати автоматичне ребалансування каналів і ставити термінові платежі в чергу для повторного надсилання після відновлення зв’язку.
• Майнери повинні підтримувати різноманітні канали підключення й уникати ручних змін, які відхиляються від стандартного правила вибору найдовшого ланцюга під час синхронізації.

Протокол залишається життєздатним за задумом: після відновлення зв’язку ноди переходять на ланцюг із найбільшою накопиченою роботою.

Однак користувацький досвід під час розколу страждає, оскільки економічна фінальність залежить від стійкого глобального поширення.

Найбільш імовірний негативний сценарій у разі багатогодинного відключення декількох вузлів — це тимчасове припинення транскордонних операцій, різкий і нерівномірний стрибок комісій та глибокі реорганізації, які анулюють регіональні підтвердження.

Після відновлення зв’язків програмне забезпечення чітко визначає стан леджера, а сервіси відновлюють повну функціональність після проходження операційних перевірок.

Останній крок — відкриття виведення коштів і каналів після узгодження балансів і історій у переможному ланцюзі.

Це відновлюваний випадок, але що, якщо розрив ніколи не загоїться?

Що станеться з Bitcoin під час Третьої світової?

Що ж, якщо ті самі вузли, про які згадувалося спочатку, більше не повернуться в мережу?

У такому дистопічному сценарії Bitcoin у звичному вигляді вже не відновиться.

З’являються постійні географічні частини, які діють як окремі Bitcoin-мережі — з тими самими правилами, але без зв’язку між собою.

Кожна частина продовжує майнити, самостійно коригує складність, формує власну економіку, ринки та ринок комісій. Механізму для узгодження історій без відновлення зв’язку або ручного вибору одного ланцюга не існує.

Ось як виглядає такий стійкий стан.

Консенсус і складність

• Поки кожна частина не дійде до наступного ретаргету на 2 016 блоків, час генерації блоків буде швидшим або повільнішим залежно від досяжного хешрейту. Після ретаргету кожна частина повертається до локальних 10 хвилин.
• За нашими оцінками, очікуваний час до першого ретаргету:

Після цього кожна частина генерує блоки орієнтовно раз на 10 хвилин, далі халвінг і коригування відбуваються незалежно.

Без трансоокеанських з’єднань регіонам потрібно відповідно 31, 40 та 70 днів до першого ретаргету складності.

Дати халвінгу розходяться у реальному часі, оскільки кожен регіон досягає відповідної висоти з різною швидкістю до першого ретаргету.

Пропозиція і “що таке BTC”: комісії, мемпули та платежі

У кожній частині обмеження в 21 мільйон монет діє для кожного ланцюга окремо. Глобально загальна кількість монет усіх частин перевищує 21 мільйон, оскільки кожен ланцюг продовжує нараховувати субсидії незалежно. Економічно це породжує три несумісні BTC-активи, які мають спільні адреси й ключі, але різні UTXO-набори.

Ключі дозволяють керувати монетами на кожній частині одночасно. Якщо користувач витратить той самий UTXO у двох регіонах, обидві транзакції будуть чинними на відповідних локальних ланцюгах, утворюючи постійно “розділені монети” з ідентичною історією до розколу та різною після нього.

• Мемпули залишаються локальними назавжди. Платежі між частинами не передаються. Спроба заплатити користувачу з іншої частини не буде доставлена.
• Ринки комісій набувають локальної рівноваги. Частина з меншим хешрейтом стикається з обмеженою пропускною здатністю до першого ретаргету складності, після чого ситуація нормалізується.
• Lightning-канали між користувачами з різних частин не маршрутизуються. HTLC завершуються таймаутом, контрагенти публікують комітмент-транзакції, а закриття підтверджуються лише в локальному сегменті. Ліквідність між частинами стає недоступною.

Безпека, ринки та інфраструктура

Безпековий бюджет кожної частини дорівнює її локальному хешрейту та комісіям. Регіон із 20% попереднього хешрейту має нижчу абсолютну вартість атаки, ніж глобальна мережа. З часом майнери можуть переходити до частин із вищою ціною монети та дешевшою енергією, що знову змінює профіль безпеки.

За відсутності шляху для заголовків між частинами атакуючий у одному сегменті не може переписати історію в іншому; отже, атаки залишаються локальними.

• Біржі стають регіональними. Котирування розходяться. По суті, виникають ціни BTC-A, BTC-E та BTC-X, навіть якщо локально всі визначаються як BTC.
• Фіатні шлюзи, кастодіальні сервіси, деривативи та розрахункові системи спеціалізуються на регіональних ланцюгах. Постачальники індексів і даних змушені обирати ланцюг для кожного майданчика або публікувати кілька композитних показників.
• Бріджовані активи та оракули, що покладаються на глобальні дані, ламаються або розгалужуються на регіональні версії.

Правила протоколу залишаються незмінними, доки якась частина не здійснить власне оновлення. Будь-яке оновлення, прийняте в одній частині, не активується в інших, що поступово створює розбіжності правил.

Пулове програмне забезпечення, оглядачі й гаманці функціонують для кожної частини окремо. Мультихомінгові сервіси не можуть узгодити баланси між ланцюгами без ручної політики.

Чи можуть ці частини колись об’єднатися без відновлення вузлів?

Якщо шлях для зв’язку так і не буде знайдено, протокольна конвергенція неможлива. Єдиний шлях назад до цілісного леджера — це соціальна й операційна координація, наприклад, узгоджений вибір одного ланцюга як канонічного і відмова або повторне відтворення інших.

За глибокої розбіжності після кількох тижнів автоматичне повернення до єдиної історії неможливе.

Операційний висновок

Постійний розрив треба розглядати як хардфорк зі спільною історією до розділення. Керуйте ключами так, щоби безпечно використовувати розділені монети, уникайте ненавмисного повтору транзакцій між частинами — використовуйте виходи, які існують лише в одному регіоні, і ведіть окремий облік, ціноутворення та ризик-менеджмент для кожної частини.

Майнери, біржі й кастодіальні сервіси мають обрати “домашню” частину, публікувати ідентифікатори ланцюга та фіксувати політики щодо депозитів і виведення окремо для кожного ланцюга.

Отже, якщо вузли не повернуться, а альтернативні канали не з’являться, Bitcoin не зникає — він розділяється на декілька незалежних мереж, які вже не об’єднаються.

Відмова від відповідальності:

1. Ця стаття є перепублікацією з [CryptoSlate]. Всі авторські права належать оригінальному автору [Liam ‘Akiba’ Wright]. Якщо у вас є заперечення щодо цієї перепублікації, зверніться до команди Gate Learn, і вони оперативно вирішать питання.
2. Відмова від відповідальності: думки та погляди, висловлені в цій статті, є виключно особистою точкою зору автора і не є інвестиційною порадою.
3. Переклад статті іншими мовами здійснюється командою Gate Learn.