Melhores Incentivos para Proof-of-Work: Uma Análise de Protocolo Baseado em DAG

1. Introdução

Este trabalho, originário da ETH Zurich, aborda uma falha fundamental no raciocínio de incentivos original de Nakamoto para o Bitcoin. O artigo argumenta que o comportamento económico racional não equivale necessariamente à honestidade do protocolo, como demonstrado pelas estratégias de mineração egoísta. O problema central é que, nas blockchains tradicionais de Proof-of-Work (PoW) estruturadas como árvores, os mineiros com posições de rede vantajosas ou poder de hash significativo podem lucrar ao desviarem-se do protocolo (por exemplo, ao reterem blocos), colocando em risco a estabilidade do sistema.

1.1. O Jogo da Blockchain

Blockchains padrão como o Bitcoin formam uma árvore. As bifurcações ocorrem natural ou maliciosamente, levando a reorganizações da cadeia onde alguns blocos ficam órfãos e os seus criadores perdem recompensas. Esta estrutura cria incentivos indesejáveis onde fatores como a latência da rede podem influenciar a rentabilidade do mineiro, encorajando comportamentos não cooperativos.

1.2. A Nossa Contribuição

Os autores propõem um novo design de blockchain onde a estrutura de dados é um Grafo Acíclico Direcionado (DAG) de blocos, e não uma árvore. O esquema de incentivos associado é rigorosamente concebido para que seguir o protocolo constitua um Equilíbrio de Nash forte e estrito. Qualquer desvio (como criar uma bifurcação desnecessária) reduz estritamente as recompensas do desviante. Isto garante a adesão ao protocolo através do puro interesse próprio.

1.3. Visão Geral Intuitiva

O protocolo garante que os mineiros são incentivados a referenciar todos os blocos não referenciados conhecidos ao criarem um novo. Isto leva a um DAG denso onde nenhum bloco é descartado. O consenso sobre a ordem das transações é alcançado selecionando uma "cadeia principal" a partir deste DAG, semelhante a outros protocolos, mas o mecanismo de recompensa é o que impõe o comportamento honesto.

2. Terminologia e Definições do Protocolo

O enquadramento define conceitos-chave: Blocos como vértices num DAG, contendo transações e referências (arestas) a blocos anteriores. Blocos terminais são aqueles ainda não referenciados por qualquer outro bloco. A cadeia principal é um caminho específico através do DAG selecionado por uma regra determinística (por exemplo, baseada no proof-of-work cumulativo). A função de recompensa $R(B)$ para um bloco $B$ é definida com base na sua posição e referências dentro da estrutura do DAG.

3. Design do Protocolo e Interpretação do DAG

Os mineiros, ao criarem um novo bloco, devem referenciar todos os blocos terminais na sua visão local do DAG. Esta regra é imposta não por decreto do protocolo, mas pelo design da recompensa: omitir uma referência reduz o potencial de recompensa do próprio novo bloco. A estrutura resultante é um DAG em constante crescimento onde os blocos têm múltiplos progenitores.

3.1. Cadeia Principal e Ordenação Total

Para alcançar consenso sobre a ordem das transações (por exemplo, para prevenir gastos duplos), uma única cadeia deve ser extraída do DAG. O artigo sugere o uso de métodos estabelecidos como a regra GHOST ou a regra da cadeia mais pesada aplicada ao DAG. Todos os blocos que não estão na cadeia principal ainda são incluídos e recompensados, mas as suas transações são ordenadas relativamente à linha temporal da cadeia principal, conforme discutido em trabalhos como "Secure High-Rate Transaction Processing in Bitcoin" de Sompolinsky e Zohar.

4. Construção do Esquema de Recompensas

O cerne da proposta. A recompensa para um bloco $B_i$ não é uma coinbase fixa. É calculada como uma função da sua contribuição para a estabilidade e conectividade do DAG. Uma formulação possível (inspirada no texto) poderia ser: $R(B_i) = \alpha \cdot \text{RecompensaBase} + \beta \cdot \sum_{B_j \in \text{Ref}(B_i)} f(\text{profundidade}(B_j))$, onde $\text{Ref}(B_i)$ são os blocos que $B_i$ referencia, e $f$ é uma função de decaimento. Isto torna rentável referenciar blocos antigos e não referenciados.

4.1. Detalhes do Mecanismo de Incentivos

O esquema é concebido para satisfazer duas propriedades-chave: 1) Incentivo de Referência: Para qualquer novo bloco, adicionar uma referência a um bloco terminal conhecido nunca diminui e frequentemente aumenta a sua recompensa esperada. 2) Punição de Bifurcação: Se um mineiro tentar criar uma cadeia paralela (bifurcação) ao não referenciar o último bloco, o mecanismo de recompensa garante que a recompensa cumulativa para os blocos na bifurcação é estritamente menor do que se tivessem sido construídos honestamente no DAG principal. Isto torna as bifurcações economicamente irracionais.

5. Ideia Central e Perspetiva do Analista

6. Detalhes Técnicos e Enquadramento Matemático

A compatibilidade de incentivos é provada usando a teoria dos jogos. Considere um mineiro $m$ com poder de hash $\alpha$. Seja $\mathbf{s}$ o perfil de estratégia de todos os mineiros. Seja $U_m(\mathbf{s})$ a utilidade (recompensa esperada) do mineiro $m$. A estratégia do protocolo $\mathbf{s}^*$ (referenciar sempre todas as pontas) é um Equilíbrio de Nash se, para cada mineiro $m$ e cada estratégia alternativa $\mathbf{s}'_m$,

$$U_m(\mathbf{s}^*_m, \mathbf{s}^*_{-m}) \geq U_m(\mathbf{s}'_m, \mathbf{s}^*_{-m})$$

O artigo constrói uma função de recompensa $R$ tal que esta desigualdade é estrita ($ > $) para qualquer desvio $\mathbf{s}'_m$ que envolva reter referências ou criar bifurcações desnecessárias. A função provavelmente incorpora:

• Decaimento baseado na idade: As recompensas por referenciar um bloco diminuem à medida que o bloco envelhece, incentivando a inclusão atempada.
• Bónus de conectividade: Um bloco recebe um bónus proporcional ao número de blocos anteriores que ajuda a confirmar direta ou indiretamente.

Um modelo simplificado da recompensa para o bloco $B$ poderia ser:

$$R(B) = \frac{C}{\sqrt{k(B) + 1}} + \sum_{P \in \text{Progenitores}(B)} \gamma^{\text{distância}(P)} \cdot R_{base}(P)$$

onde $k(B)$ é o número de blocos publicados simultaneamente que $B$ não referenciou (medindo a criação de bifurcação), $\gamma < 1$ é um fator de decaimento, e $R_{base}(P)$ é uma recompensa base para o progenitor $P$.

7. Resultados Experimentais e Desempenho

Embora o excerto do PDF fornecido não contenha resultados experimentais explícitos, as alegações do artigo implicam melhorias significativas de desempenho em relação às blockchains baseadas em árvore:

Descrição do Gráfico (Conceptual): Um gráfico simulado mostraria duas linhas ao longo do tempo: 1) Recompensa Cumulativa para Mineiro Honesto no protocolo DAG proposto, e 2) Recompensa Cumulativa para Mineiro Desviante a tentar um ataque de retenção. A linha do mineiro honesto permaneceria consistentemente acima da linha do desviante, demonstrando visualmente o equilíbrio de Nash estrito. Um segundo gráfico compararia o Débito de Transações (TPS) entre uma blockchain tradicional (plana ou a crescer lentamente) e a cadeia baseada em DAG (mostrando uma subida mais íngreme e eficiente).

8. Enquadramento de Análise: Um Caso de Teoria dos Jogos

Cenário: Dois mineiros racionais, Alice (30% de poder de hash) e Bob (20% de poder de hash), numa cadeia PoW tradicional vs. na cadeia DAG proposta.

Cadeia Tradicional (Árvore): Alice descobre um bloco. Ela pode ou difundi-lo imediatamente (honesta) ou retê-lo e começar a minerar uma cadeia secreta (egoísta). Se ela reter e encontrar um segundo bloco antes da rede encontrar um, pode libertar ambos, causando uma reorganização que torna órfão o potencial bloco de Bob, aumentando a sua parte da recompensa de 30% para potencialmente 100% nesse período. O modelo de Eyal e Sirer mostra que isto pode ser rentável para $\alpha > 25\%$.

Cadeia DAG Proposta: Alice descobre um bloco $A_1$. A função de recompensa $R(A_1)$ é maximizada apenas se ela referenciar todos os blocos terminais conhecidos (o que inclui o último bloco de Bob se ele tiver encontrado um). Se ela reter $A_1$ para minerar $A_2$ secretamente, perde a recompensa de referência por não ligar ao bloco público de Bob. Quando finalmente revelar a sua cadeia, o cálculo mostra:

$$R(A_1) + R(A_2)_{\text{secreto}} < R(A_1)_{\text{honesto}} + R(A_2)_{\text{honesto}}$$

Mesmo que ela cause uma bifurcação menor, a mecânica de recompensa do protocolo garante que a sua recompensa cumulativa é menor. A escolha racional é publicar $A_1$ imediatamente com todas as referências. Bob enfrenta o mesmo cálculo. Assim, a única estratégia estável para ambos é o cumprimento do protocolo.

Este caso não usa código, mas ilustra a matriz de decisão estratégica transformada pelo novo esquema de incentivos.

9. Perspetivas de Aplicação e Direções Futuras

Aplicações Imediatas:

• L1s de Próxima Geração: Novas blockchains proof-of-work podem adotar este design desde a génese para garantir maior segurança contra pools de mineração.
• Consenso Híbrido: O modelo de incentivos DAG poderia ser adaptado para sistemas de proof-of-stake (PoS) ou delegated proof-of-stake (DPoS) para desencorajar ataques de moagem de stake ou similares.
• Layer 2 e Sidechains: Os princípios podem proteger sidechains de finalidade mais rápida ou sequenciamento de rollups onde o desalinhamento de incentivos também é uma preocupação.

Direções de Investigação Futura:

• Mercados de Taxas Dinâmicos: Integrar um leilão robusto de taxas de transação (como o EIP-1559) no modelo de recompensa DAG sem quebrar a compatibilidade de incentivos.
• Preparação para Resistência Quântica: Explorar como as assinaturas criptográficas pós-quânticas, que são maiores, afetam a escalabilidade e o modelo de incentivos do DAG.
• Verificação Formal: Usar ferramentas como o assistente de provas Coq ou verificadores de modelos como TLA+ para verificar formalmente as propriedades de teoria dos jogos do protocolo implementado.
• Incentivos Cross-Chain: Aplicar princípios semelhantes de alinhamento de incentivos a protocolos que regem a interoperabilidade de blockchains (pontes) para prevenir explorações de MEV cross-chain.

10. Referências

1. Nakamoto, S. (2008). Bitcoin: A Peer-to-Peer Electronic Cash System.
2. Eyal, I., & Sirer, E. G. (2014). Majority is not Enough: Bitcoin Mining is Vulnerable. In Financial Cryptography.
3. Sompolinsky, Y., & Zohar, A. (2015). Secure High-Rate Transaction Processing in Bitcoin. In Financial Cryptography.
4. Nisan, N., Roughgarden, T., Tardos, É., & Vazirani, V. V. (2007). Algorithmic Game Theory. Cambridge University Press.
5. Lewenberg, Y., Sompolinsky, Y., & Zohar, A. (2015). Inclusive Block Chain Protocols. In Financial Cryptography.
6. Buterin, V. (2014). Slasher: A Punitive Proof-of-Stake Algorithm. Ethereum Blog.
7. Daian, P., et al. (2019). Flash Boys 2.0: Frontrunning, Transaction Reordering, and Consensus Instability in Decentralized Exchanges. IEEE Symposium on Security and Privacy.
8. Sliwinski, J., & Wattenhofer, R. (2022). Better Incentives for Proof-of-Work. arXiv:2206.10050.