區塊鏈當中的自私挖礦是怎么回事

工作量證明（PoW）區塊鏈實現了一種形式的狀態機復制系統（State Machine Replication，SMR）。不像傳統的 SMR 協議，PoW 區塊鏈是開放的，即，任何人都可以加入這個協議，而且系統也會用經濟利益來激勵參與者（也叫 “礦工”）遵守協議。

因此，同樣迥異于傳統 SMR 協議的地方是，在推理區塊鏈的安全性時，僅僅假設惡意參與者的數量往往并不能得到答案。關鍵是要問一問，礦工是否真的有足夠的動機來遵守所在的協議。這就是本文要討論的東西。

為使討論更具體一些，我們把討論的語境限定為中本聰的比特幣協議。Ling 已經提供了一些相關的背景知識，以及一個對惡意敵手的安全性分析。在我們的分析中，我們準備把這個系統描述為礦工之間的一個游戲（game，亦可稱 “博弈”）。

游戲

游戲玩家就是出塊的礦工。這個游戲是按回合（round）來進行的，每一回合都有一個礦工可以出一個區塊，其他礦工可以發布（publish）這個區塊。同時，游戲中的消息是同步（synchronous）傳播的，因此，所有礦工都會收到上一輪發布的區塊。

這樣當然是簡化了現實，例如，這個模型忽略了系統中挖礦總算力的緩慢變化，也忽略了偶爾會發生的出塊沖突（即分叉）（這種情況雖然少見，但還是會發生的）。雖然如此，這個模型作為一階近似，也足夠了。

協議的規定是讓每一個礦工都在最長鏈上出塊，或者，如果分叉中的兩條鏈長度相同，他們就跟隨自己先接收到的那條鏈。

游戲中的每一個玩家都致力于最大化自己的收益 —— 這個就是 TA 的效用函數（utility function）了。具體來說，我們還假設這是一個 infinite-horizon 游戲，即，隨著游戲時間不斷趨近于無限，一個礦工的收益就是其平均出塊比例。這就代表，密碼學貨幣形式的獎勵是按礦工所出的區塊發給出塊礦工的。注意，主鏈之外的區塊不會進入礦工的收益。

重要觀察

主鏈上的出塊比例就是對礦工收益的實時模擬。

假設系統中的挖礦總算力是靜態不變的，系統每 10 分鐘出一個區塊，攻擊在一次難度調整完成后立即發動。假設一種出塊策略會導致網絡中一定比例的區塊被拋棄，比如所有礦工出的塊中有 20% 的塊會產生在主鏈之外，而且這個比例是穩定的。那么，雖然這個系統仍然是每 10 分鐘出一個塊，但只有 80% 會出在主鏈上，也就是主鏈的生長速度會變成每 12.5 分鐘延長一個塊，而不是每 10 分鐘延長一次。比特幣協議每出 2016 個塊會調整一次難度，如此一來，調整難度所需的時間也會比一般情形要長（是 12.5×2016 分鐘，而不是 10×2016 分鐘）。

一旦難度調整發生，難度又會下降，使得主鏈的出塊間隔重新變回 10 分鐘。這就意味著系統的整體出塊速度更高了，每 8 分鐘就能出一個塊。

所以，一個礦工如果有算力占全網比例為 α，且在主鏈上出塊的占比為 α′ 》 α，則其每小時收益會與 α′ 成比例（而不是與 α 成比例）。

自私挖礦算法

自私挖礦（Selfish Mining）是一種投機挖礦算法，用于證明前述協議對小礦工并不公平（not an equilibrium）。我們先來看看自私挖礦的機制，然后討論看看自私挖礦為什么以及何時會產生這樣的效果。

一開始，自私的礦工會在最長鏈上挖礦，就像協議希望的那樣。不過，一旦 TA 挖出了一個區塊，TA 會先把這個區塊藏起來，而不是立即發布出去，然后嘗試在這個秘密塊后繼續出塊，形成一個 “秘密分支”。

區塊鏈當中的自私挖礦是怎么回事

與此同時，其它礦工會延長公開的那條鏈，這條鏈最終會變得更長（概率為 1），因為他們的挖礦算力占大頭。而自私挖礦的礦工會繼續延長其秘密分支，直到公開分支落后一個區塊。然后自私礦工就會把自己的秘密分支發布出來。

區塊鏈當中的自私挖礦是怎么回事

因為秘密分支更長，那么另一方就會認為這條才是主鏈，從這時開始，所有人都會跟隨自私礦工的分支，而其他礦工挖出的區塊會被拋棄 —— 被忽略，并使得出塊礦工一無所獲。

但這種策略也不是萬無一失 —— 從開始秘密挖礦時起，自私礦工就一直承擔著風險。如果 TA 出了一個秘密區塊同時別的礦工也出了一個區塊，TA 就不能靠發布這個秘密區塊來變成最長鏈；相反，此時會變成兩個同樣長的分支在競爭最長鏈。

區塊鏈當中的自私挖礦是怎么回事

自私礦工會嘗試延長自己的分支；為簡化分析，我們假設其他礦工也會嘗試延長自己所在的分支。如果 TA 能搶先出下一個塊，則 TA 的分支會變成最長鏈，然后下一次攻擊會在這條最長鏈的末端重新開始。如果其他礦工生出，那么自私礦工就屬于不利地位（TA 的鏈更短）。在這種情況下，TA 會放棄這次攻擊，尋找下一次機會。在這次攻擊中，TA 的秘密分支會變成一條較短的分叉，使 TA 一無所獲。

自私挖礦分析

乍一看，這種攻擊應該不會奏效 —— 自私礦工的算力只占少數，必定是贏少輸多。不過，一個細致的分析表明，并不總是如此。這個游戲可以自然而然地描述成一個 Markov Chain（譯者注：馬爾可夫鏈，在狀態轉換的過程中是 “無記憶性” 的，即新一回合中的得益跟以往任何一回合的得益都無關）。通過計算自私礦工的出塊和其他礦工的出塊情況，我們可以計算出自私礦工的區塊（及收益）在主鏈上的比例，其實就是其算力規模的函數。

區塊鏈當中的自私挖礦是怎么回事