Ne peut pas se retirer de blockchain.info: "la clé Privée ne correspond pas à une adresse bitcoin [mon adresse] = [probablyprivkey1] | [probablyprivkey2]"

Il serait de désactiver Bitmain de l'ASIC avantage avec ASICboost, qui actuellement fonctionne encore sur Bcash que Bitmain contrôles de beaucoup de.

Voir plus de détails ici:

https://medium.com/@WhalePanda/asicboost-the-reason-why-bitmain-blocked-segwit-901fd346ee9f

et:

https://lists.linuxfoundation.org/pipermail/bitcoin-dev/2017-April/013996.html

Il y a un mois j'ai d'expliquer l'attaque sur Bitcoin du SHA2 hashcash qui est exploitée par des ASICBOOST et les différentes étapes qui pourraient être utilisé pour la bloquer dans le réseau, s'il est devenu un problème.

Alors que la plupart des discussions de ASICBOOST a mis l'accent sur le manifeste de la méthode de la mise en œuvre, il existe aussi une méthode secrète pour l'utiliser.

Comme je l'ai expliqué l'une des approches pour inhiber secrète ASICBOOST j' rendu compte que mes paroles étaient à peu près aussi décrivant les SegWit l'engagement de la structure.

Les auteurs de l'SegWit proposition faite un effort particulier pour ne pas être incompatible avec un système d'extraction et, en particulier, a changé le de la conception à un point à accueillir l'exploitation minière avec des puces forcé de paiement les adresses.

S'il y avait eu prise de conscience de l'exploitation de cette attaque un effort aurait été faite à éviter incompatibilité-- simplement de séparer l' les préoccupations. Mais les meilleures méthodes de mise en œuvre de la secret attaque sont significativement incompatible avec pratiquement n'importe quelle méthode de l'extension de la Bitcoin de l'opération; à l'exception notable de blocs d'extension (qui ont leurs propres problèmes).

Une incompatibilité serait aller un long chemin à expliquer une partie de la plus inexplicable le comportement de la part de certaines parties dans l'exploration de l'écosystème, donc je a commencé à chercher des preuves à l'appui.

L'ingénierie inverse d'une exploration de la puce a démontré d'une manière concluante que ASICBOOST a été mis en œuvre dans le matériel.

Sur cette base, je vous offre BIP ébauche pour fins de discussion. Cette proposition de ne pas les prévenir de l'attaque en général, mais seulement inhibe la formes dissimulées de celle-ci qui sont incompatibles avec les améliorations apportées à la Bitcoin protocole.

J'espère que même ceux d'entre nous qui serait préférons que ASICBOOST être complètement bloquée peuvent venir à l'appui d'une protection mesure qui sépare les préoccupations en inhibant l'utilisation secrète de il que, potentiellement, les blocs les améliorations du protocole.

L'activation spécifique de la hauteur est quelque chose que j'ai actuellement n'ont pas un forte de l'opinion, donc j'ai laissé il indéterminée pour le moment.

 BIP: TBD Couche: Consensus Titre: l'Inhibition de un secret
attaque sur le Bitcoin, la fonction POW Auteur: Greg Maxwell Statut: Projet de Type: Suivi des Normes de création:
2016-04-05 Licence: PD 

==Résumé==

Cette proposition inhibe la survie de l'exploitation d'un une vulnérabilité dans le Bitcoin, la Preuve de la fonction de Travail.

Les mots clés "DOIT", "ne DOIT PAS", "REQUIS", "DEVRA", "ne DOIT PAS", "DEVRAIT", "ne DEVRAIT PAS", "RECOMMANDÉ", "MAI", et "FACULTATIF" dans ce document doivent être interprétés comme décrit dans le RFC 2119.

==Motivation==

En raison d'un oubli de la conception du Bitcoin preuve de travail de la fonction de la attaque potentielle qui peut permettre à un attaquant mineur d'économiser jusqu'à 30% de leurs coûts d'énergie (bien que plus proche de 20% est probablement dû à l' la mise en œuvre frais généraux).

Timo Hanke et Sergio Demian Lerner prétendre détenir un brevet sur cette l'attaque, qui ils ont jusqu'à présent pas de licence pour gratuit et ouvert d'utilisation par le public. Ils ont été à la commercialisation de leurs licences d'exploitation de brevets en vertu de la nom commercial ASICBOOST. Le document ne prend pas position sur la validité ou le caractère exécutoire du brevet.

Il y a deux grandes façons d'exploiter la vulnérabilité sous-jacente: Une façon évidente, qui est fortement détectable et n'est pas en cours d'utilisation sur le aujourd'hui le réseau et un chemin couvert qui a beaucoup d'interactions et d' toute interférence possible avec le protocole Bitcoin. La secret le mécanisme n'est pas facilement détecté, sauf par le biais de son interférence avec le protocole.

En particulier, le protocole interactions de la secret méthode peut bloquer la mise en œuvre de vertueux des améliorations telles que distincts le témoignage.

L'Exploitation de cette vulnérabilité pourrait entraîner le paiement de 100 millions de dollars USD par an à l'époque, c'était écrit (en Supposant à 50% de hachage pouvoir mineur gagne 30% d'avantage de puissance et de l'exploitation minière a été autrement au profit de l'équilibre). Cela pourrait avoir un phénoménal la centralisation de l'effet en poussant l'exploitation minière de la rentabilité de toutes les d'autres participants, et le revenu secrètement à l'aide de cette optimisation pourrait être utilisé pour fausser considérablement le Bitcoin de l'écosystème afin de conserver l'avantage.

L'ingénierie inverse d'une exploration de l'ASIC à partir d'un grand manufacture a a révélé qu'il contient un sans-papiers, non divulgués capacité à faire l'utilisation de cette attaque. (Les parties qui prétendent détenir un brevet sur cette technique ont été complètement inconscients de cette utilisation.)

Sur la base ci-dessus le potentiel pour covert l'exploitation de cette la vulnérabilité et les inégalités qui en découlent dans le processus d'exploration et interférences avec d'utiles améliorations présente clairement un danger pour le Bitcoin système qui nécessite une réponse.

==Fond==

L'idée générale de cette attaque est que SHA2-256 est un merkle damgard fonction de hachage qui consomme 64 octets de données à la fois.

Le Bitcoin mining processus à plusieurs reprises les hachages de 80 octets 'en-tête du bloc' tout en incriminant un 32 bits nonce qui est à la fin de cet en-tête les données. Cela signifie que le traitement de l'en-tête comporte deux pistes de la fonction de compression de courir, celui qui consomme le premier de 64 octets de l'en-tête et un deuxième qui traite le restant de 16 octets, et le rembourrage.

La première le message de la "expansion" de des opérations à chaque étape de la SHA2-256 fonction fonctionner exclusivement à cette étape est de 64 octets d'entrée avec pas d'influence à partir des données précédentes, qui est entré dans la table de hachage.

De ce fait, si un mineur est en mesure de préparer un bloc d'en-tête avec plusieurs distinctes 64 premiers octets morceaux identiques de 16 octets à la seconde morceaux qu'ils peuvent réutiliser le calcul de la première extension pour de multiples essais. Cela réduit la consommation d'énergie.

Il y a deux grandes façons de faire usage de cette attaque. Le moyen le plus évident est d'essayer de les candidats avec différents numéros de version. Au-delà de bouleversant le soft-fourche logique de détection en Bitcoin nœuds cela a peu d' effet négatif, mais il est très visible et facilement bloquées.

L'autre méthode est basée sur le fait que le merkle racine de commettre les opérations contenues dans les 64 premiers octets, sauf pour les les 4 derniers octets de il. Si le mineur trouve de multiples candidat à la racine de valeurs qui ont le même final 32 bits, il peut utiliser l'attaque.

Pour trouver des racines multiples avec la même fuite de 32 bits, le mineur peut l'utilisation efficace de collision mécanisme de recherche qui permettra de trouver une correspondance avec les aussi peu que 2^16 candidats racines prévu, 2^24 opérations de trouver un 4-sorte de hit, mais peu de mémoire approches nécessitent plus de calcul.

Une façon évidente de générer des différents candidats est de broyer la coinbase extra-nonce mais pour les non-blocs vides chaque tentative exiger 13 supplémentaires sha2 pistes qui est très inefficace.

Cette inefficacité peut être évité par le calcul d'une racine carrée de nombre de les candidats de la gauche de l'arbre de hachage (par exemple, l'aide supplémentaire nonce broyage), alors un supplémentaire sqrt nombre de candidats de la droite du côté de l'arbre à l'aide de l'opération de permutation ou de la substitution d'un petit nombre de transactions. Toutes les combinaisons de gauche et de droite côté sont ensuite combinés avec une seule opération hachage pratiquement l'élimination de tous les arbres frais généraux connexes.

Avec cette dernière optimisation de trouver un 4-way collision avec un modéré quantité de mémoire nécessite ~2^24 hachage d'opérations à la place de la

2^28 opérations qui auraient besoin d'être extra-nonce de broyage qui serait nettement éroder l'avantage de l'attaque.

C'est cette dernière optimisation que cette proposition de blocs.

==Nouvelle règle du consensus==

Début de bloc X et jusqu'à ce que le bloc Y la coinbase transaction de chaque bloc DOIT contenir soit un BIP-141 segwit engagement ou une bonne WTXID engagement avec l'ID 0xaa21a9ef.

(Voir BIP-141 "structure d'Engagement" pour les détails)

Existant segwit à l'aide de mineurs sont automatiquement compatibles avec ce la proposition. Non segwit mineurs peuvent devenir compatible simplement en incluant une sortie supplémentaire correspondant à un défaut d'engagement de la valeur retournée comme une partie de getblocktemplate.

Les mineurs ne DEVRAIENT PAS automatiquement cesser de l'engagement, à la l'expiration de la hauteur.

==Discussion==

L'engagement dans le côté gauche de l'arbre à toutes les opérations dans le côté droit empêche complètement la finale sqrt speedup.

Une forte inhibition de la secret attaque sous la forme d'exiger les bits de poids faible du bloc horodateur être égale à un hachage de les 64 premiers octets de l'en-tête. Cela permettrait d'accroître la collision de l'espace de 32 à 40 bits ou plus. La racine de la valeur pourrait être nécessaire pour répondre à un hachage préfixe exigence afin d' augmenter le travail de calcul nécessaire pour essayer candidat racines. Ces changement serait plus dérangeant et il n'y a aucune raison de croire que il est actuellement nécessaire.

La règle proposée automatiquement les couchers de soleil. Si il n'est plus nécessaire en raison l'introduction de règles plus fortes ou de l'acceptation de la version-de broyage de forme alors, il n'y aurait pas de raison de continuer avec cette exigence. Si il est encore utile au moment de l'expiration de la la règle peut être agrandi avec une nouvelle softfork qui fixe plus de date les plages.

Ce soleil-réglage évite l'accumulation de la dette technique en raison de en conservant l'application de cette règle lorsqu'il n'est plus nécessaire, sans exigeant une dur de la fourche à la supprimer.

== Attaque ouverte ==

La non-forme déguisée peut être trivialement bloqué en exigeant que l' l'en-tête de la version correspondre à la coinbase transaction version.

Cette proposition ne comprend pas ce bloc car cette méthode peut devenu généralement disponible sans restriction dans l'avenir, ne pas généralement interférer avec des améliorations dans le protocole, et parce qu'il est facilement détecté qu'il pourrait être bloquée si elle devient un problème dans l'avenir.