El castigo financiero (Slashing): Desincentivos económicos en BFT

En los protocolos BFT clásicos, la seguridad descansa en una hipótesis sobre cuántos participantes fallan. PBFT, con $n = 3f + 1$ réplicas, garantiza safety mientras a lo sumo $f$ sean defectuosas. [3] El modelo no dice nada sobre qué pasa después de que la hipótesis se rompe: si el adversario controla más réplicas de las previstas, el sistema puede decidir cosas contradictorias y las réplicas responsables no pagan ningún precio dentro del protocolo.

Casper FFG cambia la forma de la garantía. En vez de prometer "no habrá conflicto si hay pocas fallas", promete "si hay conflicto, sabremos quién lo causó y podremos castigarlo". El paper lo llama accountability: si un validador viola una regla, se puede detectar la violación y saber quién fue, y eso permite penalizarlo. [1] El slashing es el brazo ejecutor de esa idea.

Qué cuenta como evidencia

Para que un castigo sea automático, la falta tiene que ser verificable por cualquiera sin interpretar intenciones. Casper FFG lo logra reduciendo el comportamiento prohibido a dos condiciones sobre pares de votos de un mismo validador, donde cada voto une un checkpoint fuente $s$ con un destino $t$: [1]

$\text{(I)}\quad v_1 \neq v_2 \;\land\; h(t_1) = h(t_2)$

$\text{(II)}\quad h(s_1) < h(s_2) < h(t_2) < h(t_1)$

La primera es un doble voto: dos votos distintos para la misma altura de destino. La segunda es un voto envolvente: un voto cuyo intervalo encierra el de otro voto del mismo validador. En ambos casos, la evidencia son simplemente los dos mensajes firmados. Los autores eliminaron a propósito las condiciones de versiones anteriores que dependían de qué estaba justificado en la cadena, para que las violaciones fueran independientes del estado. [1] Eso es lo que hace a la evidencia portable: sirve igual en cualquier rama.

Gasper adapta las mismas dos condiciones a attestations: (S1) prohíbe dos attestations distintas en la misma época y (S2) prohíbe el voto envolvente sobre las épocas de los pares fuente y destino. [2] También define en general las condiciones de slashing como reglas que un validador honesto nunca viola y cuya violación se puede atrapar de forma demostrable. [2]

Esa segunda mitad de la definición es esencial. Un castigo automático solo es justo si seguir el protocolo nunca lo activa. Gasper lo demuestra explícitamente: un validador honesto vota una vez por época, así que no puede violar (S1), y la regla de bifurcación HLMD GHOST está construida para que tampoco lo empuje a violar (S2). [2]

Figura 1

Las dos firmas que bastan como evidencia

Fuentes:

[1]

Cómo leer esta figura

Panel izquierdo: dos votos que terminan en la misma altura h. Panel derecho: un voto cuyo intervalo de alturas envuelve estrictamente al de otro voto. Debajo, la nota de que las dos firmas juntas son la evidencia que cualquiera puede presentar.

Descargar SVGDescargar .tex

Código TikZ

Abrir `.tex` en otra pestaña

De la intersección de quórums a la evidencia

La conexión con BFT clásico está en la aritmética. En PBFT, cualquier par de quórums de $2f + 1$ entre $3f + 1$ réplicas comparte al menos $f + 1$ réplicas; como a lo sumo $f$ fallan, al menos una réplica correcta está en ambos, y esa réplica nunca acepta dos propuestas distintas para la misma vista y número de secuencia. [3] HotStuff empaqueta la misma regla en el quorum certificate: un QC reúne $n - f$ votos sobre una misma propuesta y vista. [4]

Casper hace la misma cuenta con depósitos. Si los votantes $V_1$ y $V_2$ de dos enlaces de supermayoría reúnen cada uno al menos dos tercios del depósito total $N$:

$w(V_1 \cap V_2) \ge w(V_1) + w(V_2) - N \ge \tfrac{2}{3}N + \tfrac{2}{3}N - N = \tfrac{1}{3}N.$

La diferencia está en qué se hace con la intersección. PBFT la usa para encontrar un testigo honesto y concluir que el conflicto es imposible. Casper la usa para encontrar culpables: si dos checkpoints en conflicto quedaron finalizados, los validadores de la intersección firmaron votos incompatibles. El paper de Gasper lo dice de forma explícita en su lema central: si un par finalizado y un par justificado posterior no están en la misma cadena, existen dos conjuntos de validadores con al menos dos tercios del depósito cada uno cuya intersección viola en bloque (S1) o (S2). [2]

Esa frase, "al menos un tercio del depósito total se pierde", es la traducción económica de accountable safety que da el propio paper. [1] No es una estimación de mercado ni depende del precio del token: es una cota sobre la fracción del depósito que queda expuesta, sea cual sea su valor.

Por qué un ataque se vuelve demostrable y costoso

El cambio de perspectiva tiene dos partes. La primera es que el ataque deja de ser indistinguible de una falla de red. En un protocolo sin accountability, dos réplicas con historias distintas no siempre pueden saber si hubo malicia, latencia o un error de software. Con slashing, romper la safety de un checkpoint finalizado produce, por construcción, pares de firmas que cualquiera puede verificar.

La segunda es el costo. En Casper FFG, la penalización por violar una regla es el depósito completo del validador, y los autores la presentan como la defensa máxima contra la violación del protocolo. [1] Según el paper, esa responsabilidad resuelve el problema de "nothing at stake" que afecta a la prueba de participación basada en cadenas, donde votar en varias ramas no cuesta nada. [1] El argumento del paper es que, como la seguridad de la prueba de participación depende del tamaño de la penalización, esta puede fijarse muy por encima de lo que se gana como recompensa. [1]

Gasper es más prudente con los números. Dice que un validador debe ser penalizado por violar condiciones de slashing, que los montos de recompensa y castigo se ajustan según el nivel de seguridad buscado, y deja ese análisis de teoría de juegos fuera de su alcance. [2] En su lugar, asume que los incentivos bastan para que los honestos sigan el protocolo y que cualquier validador honesto que vea una violación la castigue. [2] Por eso este artículo no da cifras de penalización: los papers fijan la forma del mecanismo, no un valor universal.

Los autores de Gasper resumen el valor de esta forma de garantía con una comparación precisa: ser $(1/3)$-slashable es más fuerte y deseable que solo saber que un tercio del stake pertenece a bizantinos, porque con esta última garantía todavía podría convenirles a validadores en principio honestos hacer trampa sin ser atrapados. [2]

Dónde termina la garantía

El slashing solo castiga lo que puede castigar: depósitos que siguen bloqueados y evidencia que llega a una cadena que los clientes aceptan. Los papers son explícitos sobre los huecos.

Validadores que ya se fueron. Una coalición que tuvo más de dos tercios del depósito en el pasado y ya retiró sus fondos puede usar esa supermayoría histórica para finalizar checkpoints en conflicto sin temor al castigo. Es el ataque de revisión de largo alcance. [1] Casper responde con un retardo de retiro durante el cual el depósito sigue siendo slashable, una regla de bifurcación que nunca revierte un checkpoint finalizado y la expectativa de que cada cliente se sincronice con cierta regularidad. [1] En Gasper, con conjuntos de validadores dinámicos, la cota se debilita a "algo menos de un tercio" mientras el atacante no logre bifurcaciones largas. [2]

Evidencia que no se incluye. Para dejar de hacer cumplir una regla de slashing hay que controlar el mecanismo de propuesta e impedir que la evidencia entre en la cadena. El paper de Casper trata esa posibilidad como una falla de liveness, no de safety, porque un mecanismo de propuesta corrompido ya puede impedir la finalidad. [1]

Fallas que no son violaciones. Si más de un tercio se desconecta, no hay supermayorías y nada se finaliza. El inactivity leak drena el depósito de quienes no votan para recuperar el progreso, pero en una partición cada lado puede terminar finalizando checkpoints en conflicto sin que ningún validador sea slasheado, perdiendo en cambio parte de su depósito por el leak en la otra cadena. [1] El slashing castiga mentiras firmadas, no silencios.

La lección es que slashing no reemplaza a la intersección de quórums: la presupone. Sin supermayorías de dos tercios no habría intersección de un tercio, y sin reglas verificables sobre pares de votos esa intersección no produciría evidencia. Lo que añade la prueba de participación es convertir la frase "más de $f$ fallas rompen el sistema" en "romper el sistema cuesta, como mínimo, un tercio del depósito, y deja la firma de quien lo hizo".

Siguiente lectura

La cuenta de la intersección está desarrollada paso a paso en Quórums en acción. Para ver cómo los conjuntos de validadores cambian por épocas, el problema que debilita la cota de un tercio, sigue con Reorganización dinámica de validadores, y para el ataque que el slashing intenta encarecer, vuelve a El ataque del doble gasto.