Gasto duplo e ataque de 51%: o que são e por que o Bitcoin resiste a eles

Ideias principais

• Gasto duplo é gastar as mesmas moedas digitais duas vezes. Todo sistema de dinheiro digital precisa impedi-lo, e o Bitcoin faz isso com um livro-razão público, prova de trabalho e confirmações, em vez de um banco.
• Um ataque de 51% ocorre quando uma única parte controla a maioria do poder de mineração da rede. Ela poderia reorganizar blocos recentes, reverter seus próprios pagamentos recentes e manter de fora as transações de outras pessoas.
• Ela não poderia pegar moedas sem as chaves, mudar as regras que os nós aplicam nem criar moedas além do limite.
• O ataque é muito caro no Bitcoin, embora várias redes menores tenham sofrido ataques bem-sucedidos.
• Cada confirmação torna um pagamento mais difícil de reverter, então espere mais confirmações em valores grandes.

O que é gasto duplo?

Gasto duplo é usar o mesmo dinheiro digital em dois pagamentos diferentes. É um problema porque um arquivo digital pode ser copiado perfeitamente. Uma nota fotocopiada não paga o almoço, mas um arquivo que diz “uma moeda” poderia ir para duas pessoas ao mesmo tempo se nada o impedisse.

O dinheiro tradicional resolve isso com um livro-razão mantido por um banco. Quando você paga, o banco subtrai do seu saldo e soma ao do destinatário, e uma segunda tentativa de gastar o mesmo dinheiro é recusada. O Bitcoin não tem banco, então a rede precisa fazer esse trabalho. O whitepaper do Bitcoin aponta o gasto duplo como o problema central que se propôs a resolver.

Como o Bitcoin impede o gasto duplo?

O Bitcoin impede o gasto duplo fazendo todos seguirem uma única ordem pública de transações, na qual só o primeiro gasto de uma moeda conta. Dois mecanismos funcionam juntos.

O primeiro é a verificação. Todo nó completo mantém o livro-razão inteiro e testa cada nova transação contra as moedas ainda não gastas, rejeitando qualquer uma que tente gastar algo já gasto. O que é um nó Bitcoin? explica o que isso envolve.

O segundo é a prova de trabalho. Os mineradores agrupam transações em blocos, e um bloco só vale se o seu hash atingir o alvo de dificuldade, o que exige esforço computacional real. Os nós seguem a cadeia válida com mais trabalho por trás. Isso transforma “qual pagamento veio primeiro?” em “qual bloco foi adicionado à cadeia?”, e reescrever isso custa trabalho real. Como funciona o Bitcoin? mostra o ciclo inteiro do ponto de vista do usuário.

Aqui vai um exemplo inventado. Alice tem uma moeda e assina um pagamento dela para Bob. Ela também assina um segundo pagamento da mesma moeda de volta para si mesma e envia os dois ao mesmo tempo. Os nós ficam com o que viram primeiro e rejeitam o outro como conflito, embora nós diferentes possam ver primeiro pagamentos diferentes, então, até que um minerador inclua um deles em um bloco, ninguém pode ter certeza de qual vencerá. Quando um bloco contém o pagamento a Bob, a moeda conta como gasta na cadeia, e o segundo pagamento de Alice não pode mais ser válido. Cada bloco seguinte torna esse resultado mais difícil de desfazer.

O que é um ataque de 51%?

Um ataque de 51% é a tentativa de uma única parte, que controla mais da metade do poder de mineração de uma rede de prova de trabalho, de reescrever a história recente. O número é uma regra prática. O que importa é deter a maioria do poder computacional, que Hash rate e dificuldade de mineração do Bitcoin explicados descreve.

O atacante paga a um comerciante, espera o pagamento ser confirmado e recebe as mercadorias. Enquanto isso, em segredo, o atacante minera uma cadeia rival que começa logo antes desse pagamento e envia as mesmas moedas de volta para si mesmo. Com a maioria do poder de mineração, essa cadeia privada vai, mais cedo ou mais tarde, ficar mais longa do que a pública. Então o atacante a publica. Os nós passam para a cadeia com mais trabalho, o pagamento do comerciante sai da cadeia, e o atacante pode gastar as moedas de novo. Isso se chama reorganização da cadeia.

Uma maioria também poderia atrasar ou bloquear as transações de outras pessoas, recusando-se a construir sobre qualquer bloco que as inclua.

O que um atacante de 51% não consegue fazer?

Um atacante de 51% pode reescrever blocos recentes, mas não consegue quebrar as regras que todos os nós verificam. É por isso que o ataque é uma ameaça para quem aceita pagamentos, e não uma forma de esvaziar carteiras.

Um atacante com a maioria poderia	Um atacante com a maioria não poderia
Reverter seus próprios pagamentos recentes e gastar essas moedas de novo	Tirar moedas de endereços para os quais não tem as chaves, porque não consegue falsificar assinaturas
Bloquear ou atrasar as transações de outras pessoas	Mudar as regras que os nós aplicam, porque os nós rejeitam blocos que as violam
Reorganizar blocos recentes	Criar moedas além do cronograma, porque os nós rejeitam blocos que pagam mais do que o permitido

Voltar mais atrás custa mais, porque cada bloco mais antigo exige refazer mais trabalho. Um ataque bem-sucedido também tende a abalar a confiança na moeda, o que pode prejudicar as próprias participações do atacante. O Bitcoin é seguro? separa a segurança da rede dos riscos ao redor dela, e nenhum ataque bem-sucedido ao desenho central foi registrado.

Por que um ataque de 51% é tão difícil no Bitcoin?

Um ataque é difícil porque exige um poder de mineração enorme, que é caro de adquirir e de manter, enquanto o ganho é limitado. Quatro fatores jogam contra o atacante.

• Hardware. A mineração de Bitcoin usa máquinas especializadas, e superar em computação todos os mineradores honestos juntos significa obter uma quantidade enorme delas.
• Eletricidade. As máquinas precisam funcionar durante todo o tempo que o ataque durar, e a conta chega com ou sem sucesso.
• Visibilidade. Reunir tanto equipamento e energia é difícil de fazer sem ser notado, e uma mudança repentina em quem encontra os blocos aparece nos dados públicos.
• Ganho. O atacante só consegue reverter os próprios pagamentos e, depois que um ataque é percebido, corretoras e comerciantes podem exigir mais confirmações.

O hash rate é uma medida aproximada do custo de um ataque, e não uma garantia, e este artigo não cita valores porque eles mudam todos os dias.

Várias redes menores de prova de trabalho sofreram ataques de 51% bem-sucedidos, nos quais os atacantes reverteram transações e fizeram gasto duplo, e corretoras que aceitaram os depósitos estiveram entre as vítimas. Essas redes têm muito menos poder computacional por trás, e em algumas delas ele pode ser alugado por hora, o que torna uma maioria muito mais barata em termos absolutos. A segurança vem da quantidade de trabalho real por trás de uma cadeia, e não da palavra “blockchain”. Prova de trabalho versus prova de participação compara esse modelo com a principal alternativa, que tem limites e custos próprios.

Como as confirmações protegem você?

Cada confirmação é mais um bloco construído sobre o seu pagamento, e uma reorganização precisa refazer todos eles para revertê-lo. O próprio cálculo do whitepaper mostra que um atacante com menos da metade do poder da rede enfrenta chances que caem exponencialmente a cada bloco adicionado.

Situação	O que significa para o risco de gasto duplo
Não confirmado	O pagamento está apenas na sala de espera dos nós. Nenhum bloco o liquidou, e um pagamento conflitante ainda pode vencer.
Uma confirmação	O pagamento está em um bloco. Revertê-lo exige que esse bloco seja substituído, o que é raro, e bifurcações (forks) curtas e comuns podem fazer isso por acaso.
Várias confirmações	Cada bloco extra torna a reversão mais difícil. Seis é a convenção tradicional para pagamentos grandes, não uma garantia.

Os blocos chegam, em média, a cada dez minutos, mas de forma aleatória, então a espera varia. Quanto tempo leva uma transação de Bitcoin? trata do tempo.

Os pools de mineração colocam o Bitcoin em risco?

Os pools de mineração concentram o poder de mineração sob um único operador, e por isso o tamanho deles é observado, mas o poder pertence aos mineradores, e os mineradores podem ir embora. Pools de mineração de Bitcoin explicados descreve como os pools funcionam. Os pools costumam identificar os blocos que encontram, então os analistas conseguem estimar o tamanho de cada um.

A preocupação já apareceu antes. Em 2014, a fatia de poder de mineração de um pool chegou brevemente a cerca de metade da rede, os mineradores se afastaram e o pool prometeu publicamente ficar bem abaixo desse nível. Mesmo um pool com a maioria não poderia mudar as regras nem tirar moedas sem as chaves. A concentração continua sendo uma preocupação monitorada, e não um problema resolvido.

O que um usuário comum pode fazer?

Espere as confirmações em pagamentos grandes e trate um pagamento não confirmado como uma promessa, e não como dinheiro. Esse único hábito cobre a maior parte do risco prático.

• Ajuste a espera ao valor. Muitos comerciantes aceitam pagamentos pequenos rapidamente e pedem mais confirmações à medida que a quantia cresce.
• Desconfie de capturas de tela de pagamentos “pendentes”. Quem envia a imagem de um pagamento e pede que você entregue a mercadoria primeiro pode estar aplicando um golpe. Confira na sua própria carteira ou em um explorador de blocos.
• Rode um nó se quiser verificar por conta própria. Ele confere as regras na sua própria máquina, embora não faça os pagamentos serem confirmados mais rápido.

Este artigo é educativo. Uma empresa que aceita pagamentos grandes em bitcoin pode pedir a um profissional qualificado que ajude a definir uma política de confirmações. Novo no Bitcoin? A trilha Comece aqui cobre o básico em ordem.

Leia a seguir

• Como funciona o Bitcoin? Blocos, mineradores e chaves: o ciclo completo de um pagamento, da assinatura à confirmação.
• Pools de mineração de Bitcoin explicados: como dividem o trabalho e a recompensa: por que o poder de mineração se reúne em pools e o que os limita.
• Hash rate e dificuldade de mineração do Bitcoin explicados: a medida por trás do custo de um ataque.
• Prova de trabalho versus prova de participação: qual é a diferença?: como dois desenhos de consenso tratam a segurança.