MEV-Boost, текущий протокол побочной коляски для извлечения MEV в Ethereum, тяжело полагается на централизованных участников, называемых реле.

Мы предлагаем альтернативную архитектуру, которая позволяет осуществлять прямое криптографически частное общение между строителями и предлагающими. Она основана на новой, неинтерактивной форме «тихого» порогового шифрования, которая может использовать существующие пары ключей BLS валидаторов.

По сути, мы используем комитет проверки подлинности для обеспечения конфиденциальности и доступности данных, шифруя блочные предложения для доли проверяющих на слот. Их удостоверения формируют ключ для расшифровки; после того, как достигнут желаемый порог проверок, блок можно расшифровать.

Наша конструкция обеспечивает конфиденциальность между строителями и предлагающими, но сама по себе не гарантирует правильность блока. Она может быть объединена с другими механизмами, чтобы полностью воспроизвести функционал, предоставляемый реле - как конфиденциальность, так и правильность блока. Например, доказательства, такие как доказательства доверенной исполнительной среды (TEE) или доказательства нулевого знания (ZK), или криптоэкономические механизмы для залога строителей.

Избавившись от необходимости в реле для обеспечения конфиденциальности строителя и обеспечения правильности блока, мы стремимся снизить задержку и улучшить децентрализацию и устойчивость к цензуре Ethereum.

MEV-Boost и роль Реле

MEV-Boost - это протокол побочной машины, который выступает посредником между строителями блоков и предлагающими.основная рольреле предоставлять две гарантии:

• Конфиденциальность для строителей: Реле гарантирует, что предлагающие не могут видеть содержимое блока и украсть MEV, найденное строителем.
• Безопасность для предлагающих: Реле гарантирует, что строитель выплачивает обещанную сумму предлагающему в заявке строителя и что блок является действительным (например, все транзакции оплачивают внутренний газ).

Однако зависимость от реле приводит к значительной централизации. Примерно 90% блоков на Ethereum доставляются всего несколькими реле. Это создает несколько рисков:

• Централизация: Строители могут быть эффективными с точки зрения задержки, путем совмещения с реле, а не отражая географическое распределение предлагающих. Это непосредственно подрывает географическую децентрализацию и устойчивость к цензуре, которую мы в противном случае получили бы от большого, глобально распределенного набора валидаторов.
• Доход: Средняя задержка обработки блока от начала до конца эффективных реле составляет около 5-20 миллисекунд. Затем возникает задержка связи между предложителем и строителем. Пропускание реле уменьшит задержку, снизит риски выполнения междоменных операций (например, CEX/DEX) и в конечном итоге увеличит вознаграждение предложителей за MEV.

TEE-Boost

Одно из ведущих предложений по замене реле - «TEE-Boost“, которая полагается на TEE (доверенные исполнительные среды). Обратите внимание, что TEE не являются неотъемлемой частью нашей схемы; это просто полезно использовать TEE-Boost как педагогический пример проблем, которые мы стремимся решить.

Конкретно, TEE-Boost заставляет строителей использовать TEE для создания доказательств, которые демонстрируют честность их ставок и действительность их блоков, не раскрывая фактического содержимого блоков предложителям. Предложители могут проверить эти доказательства, не запуская сами TEE на обычном оборудовании.

Однако у TEE-Boost есть проблема доступности данных: строители делятся только доказательствами TEE и заголовками блоков с предлагателями, а не сами содержимыми блоков,^[1]и могут выбрать не раскрывать содержимое блока даже после подписания заголовка предлагающим (например, если рыночные условия изменятся в неблагоприятную сторону). Предлагаемые подходы к решению этой проблемы DA:

• [ ] TEE-Escrow: TEE-эскроу получает блок от строителя до подписания его предлагателем и выпускает его, как только они видят подписанную заголовок.
• [ ] Слои доступности данных: Строители размещают зашифрованные блокировки в слое доступности данных (DA).

У обоих подходов есть недостатки. Решение с использованием TEE-escrow воспроизводит динамику централизации задержки, аналогичную существующим реле.^[2]Использование внешнего уровня DA вводит дополнительное предположение вне протокола и несет динамику задержки этого внешнего протокола (которая также, вероятно, невыгодна).

1. В теории, если бы для предложителей также был доступ к TEE, строители могли бы зашифровать свои блоки до TEE, запущенной предложителем. TEE предложителя бы разшифровывал блок только после того, как он его подписал. Однако мы считаем, что TEE-Boost не учитывает этот дизайн, поскольку это потребовало бы от предложителей (валидаторов) запуска TEE. Мы хотим, чтобы валидаторы могли работать на стандартном оборудовании.↩

2. Динамика задержки может быть избежана, если сами предлагающие выполняют TEE-Escrow в качестве сопутствующего сайдкара для своего узла-валидатора. Однако снова, мы не хотим заставлять валидаторы запускать TEE.↩

Threshold Cryptography для достижения конфиденциальности строителя

Мы предлагаем элегантное решение проблемы DA TEE-Boost: пороговое шифрование для комитета аттестаторов. Конкретно, строитель порогового шифрует блок до указанной доли комитета аттестаторов для этого слота. После сбора достаточного количества аттестаций блок становится расшифровываемым и доступным.

Основная технология, позволяющаяШифрование тихого порогаЭта криптографическая техника позволяет пороговое шифрование без необходимости интерактивной фазы настройки распределенного ключевого поколения (DKG), которая требовалась в предыдущих конструкциях. Вместо этого совместный открытый ключ вычисляется детерминистически из уже существующих открытых ключей BLS аттестанта плюс некоторые «подсказки» (обсуждаются позже).

Это обеспечивает прямую однохоповую связь между строителем и валидатором с криптографической конфиденциальностью. Валидаторам не требуется запускать собственные TEE или управлять новым ключевым материалом.

Механика:

Строитель создает блок и шифрует его для комитета аттестаторов.

Строитель создает доказательство TEE, демонстрирующее три вещи комитету утверждающих: что ставка честная, блок действителен и он зашифрован правильно.

Строитель передает зашифрованный блок порога и доказательство TEE (включающее значение ставки) предложителю.^[3]

Заявитель подписывает зашифрованный блок победившего строителя и распространяет это предложение среди набора валидаторов.

Как только указанная доля (например, n/2 или 2n/3) комитета аттестаторов n для слота аттестует блок, он расшифровывается.

Расшифрованный блок проходит нормально до завершения.

1. Влияние на требования к пропускной способности предложителя нужно изучить. Предложители с низкой пропускной способностью могут ограничить потребности, проверяя доказательства перед запросом тела блока или с помощью других эвристических фильтров и техник умной загрузки. Это открытый вопрос, но, кажется, вероятно, несложнее решить, чем обычные проблемы спама в памяти.↩

Рассмотрения

Производительность

Характеристики производительности тихого порогового шифрования довольно благоприятны. Здесь

n - максимальный размер комитета, который мы хотим поддерживать, а t - порог для расшифровки.

И шифрование, и частичное расшифрование происходят за постоянное время. С использованием наивной реализации шифрование занимает менее 7 мс, и это может быть параллельно выполнено. Частичное расшифрование занимает менее 1 мс.

Размер шифротекста является постоянным добавочным фактором, 768 байт, больше, чем открытый текст (для любого n и t).

Агрегация частичных расшифровок (т.е. расшифровка) зависит от размера комитета. При n=1024 наивная реализация занимает менее 200 мс. Мы ожидаем, что при n=128 (размер аттестационного комитета для каждого слота) это уменьшится в 10 раз, и что реализацию можно еще дополнительно оптимизировать.

Важно, время шифрования - ключевое производительностное число для сравнения с задержкой реле. Именно это должен вычислить строитель в «критическом пути» производства блока. Оно ниже, чем существующая задержка обработки блока реле, и избегает многоходовой связи.

Публикация данных

Шифрование тихого порога вообще не бесплатно. Оно требует общей строки ссылки такого вида: (g,g^τ,г^τ2,…,g^τn−t) , похожий на то, что используется в схеме обязательства полиномиального коммитмента KZG.

Кроме того, каждый проверяющий с открытым ключом BLS в форме gsk публикует набор групповых элементов, которые мы называем «подсказками»: (g^sk⋅τ,...,г^{ск⋅τn−t}. Эти подсказки нужны только для агрегирования открытых ключей и расшифровки шифротекстов. Шифрование использует только константный агрегированный открытый ключ.

На момент написания этого поста количество валидаторов составляет примерно 1 миллион. Если мы установим n=128 и t=n/2, каждому валидатору необходимо опубликовать ≈ 3 КБ подсказок. Таким образом, для хранения подсказок всех валидаторов требуется 3 ГБ.

Это требование, вероятно, существенно уменьшится с активация MaxEB, что позволяет валидаторам, управляющим >32 ETH, удерживать большие балансы под тем же ключевой парой (вместо их разделения на несколько вкладов по 32 ETH). Сокращение множества валидаторов, которое будет реализовано, находится на обсуждении. Возможно, мы сможем снизить его до ~1 ГБ.

Наконец, в зависимости от будущих изменений архитектуры консенсуса Ethereum (например, дальнейшего сокращения размера набора валидаторов или альтернативной конвейерной завершенности), размер хинтов, которые необходимо хранить, может еще сократиться.

Живучесть

Ethereum хочет оставаться активным даже в условиях неблагоприятной сети. Одной из проблем этой схемы является возможность появления блоков, которые невозможно расшифровать из-за отсутствия определенной доли комитета в сети.

Одно из решений - позволить строителю решить, какую долю комитета (𝑡) следует использовать для расшифровки. Существует баланс между конфиденциальностью (возможностью распаковки и MEV-кражей) и вероятностью, что порог комитета будет находиться в сети. Для строителей максимизация дохода заключается в том, чтобы их блоки были включены, а не отклонены, поэтому им следует определить оптимальные настройки порога.^[4]

Кроме того, использование этой схемы шифрования должно быть добровольным. В условиях неблагоприятной сети, когда ни одного комитета приемлемого размера нет постоянно доступного, предлагающие и строители могут вернуться к использованию реле, самостоятельной сборки или любого другого механизма, который предпочтителен в данной ситуации.

1. Конкретное утверждение здесь заключается в том, что для блока строителя отрицательная экономическая эффективность существует, если его разделяют (они не получают от него дохода), и крайне отрицательная экономическая эффективность, если его не упаковывают. Если вы даете строителю возможность выбрать t в [0,128], его должны естественным образом стимулировать выбрать t достаточно высоким, чтобы риск разделения был очень низким, а вероятность удовлетворения была высокой (по крайней мере, t членов комитета онлайн). Некоторые блоки могут быть разделены даже при нормальных сетевых условиях, но мы отмечаем, что это уже происходит с играми по времени, и живость цепи остается приемлемой.↩

Недоступные блоки

В качестве альтернативы, комитет может быть онлайн, но строитель может создать ситуацию, при которой блок не может быть расшифрован или является недействительным после расшифровки (например, с фальшивыми доказательствами).

С точки зрения протокола, разветвление этих блоков допустимо. Более широкий набор валидаторов просто не мог подтвердить их или любые блоки, которые на них ссылались. Наилучший способ обработки такой ошибки, вероятно, заключается в том, чтобы сделать консенсусный клиент осведомленным об этой возможности и способным отказаться грациозно. Для этого потребуется дальнейшее изучение.

Структура рынка

Победивший строитель узнает содержимое блока раньше других до тех пор, пока не будет достигнут порог, что может создать несправедливое преимущество в последующих слотах. Тем не менее, комитет аттестеров должен действовать до конца следующего слота, а большая часть стоимости блока находится в конце слота, поэтому влияние этого преимущества должно быть как можно более минимальным.

Чисто криптографические доказательства

В долгосрочной перспективе может оказаться возможным заменить доказательства TEE доказательствами с нулевым разглашением (ZK). В настоящее время доказательства ZK слишком медленные, но достижения в области криптографии, программного обеспечения и специализированного оборудования (ASIC) могут в конечном итоге сделать возможным создание доказательств ZK в рамках необходимых ограничений задержки. Примечательно, что ZK-пруфы, сопровождающие блоки, уже являются основная часть долгосрочной дорожной карты Ethereum.

Принятие

С текущим размером и темпом роста набора валидаторов, эту схему, возможно, не стоит публиковать на L1 из-за объема необходимых данных. Однако Ethereum уже планирует существенно сократить количество валидаторов с помощью MaxEB.

Лучшим подходом, вероятно, было бы обновление наряду с или после MaxEB, в котором клиенты консенсуса осведомлены о возможности зашифрованных семантик блоков, а валидаторы стимулируются к публикации подсказок. Например, после MaxEB может потребоваться, чтобы только вновь входящие валидаторы публиковали подсказки, и старым валидаторам могут быть предоставлены стимулы для обновления.

Строители начнут использовать механизм, как только достаточная часть набора валидаторов примет его, чтобы иметь достаточный размер комитета (т.е. приемлемую конфиденциальность и вероятность расшифровки).

Если наш подход действительно имеет более выгодную задержку по сравнению с многохоповой ретрансляцией, рынок должен принять его без необходимости принуждения протокола к использованию или утверждения определенной параметризации.

Основание

Реле - один из наиболее значительных источников централизации Ethereum, создающий возможности для аренды и искажения географической децентрализации протокола.

Нам нужно удалить реле, и, кажется, это относительно элегантный способ сделать это. Это требует изменений на уровне консенсуса, но не требует нового оборудования или ключевого материала со стороны валидаторов.

Недостаток заключается в том, что это сложное изменение уровня согласия для механизма, который (если выбрать, как предложено) может быть или не быть принятым рынком. Однако многие потенциальные изменения в конвейере MEV вызывают аналогичные вопросы принятия и оптимизации доходов (например, списки включения). И могут быть иные будущие случаи использования, которые зависят от того, чтобы валидаторный набор имел доступную инфраструктуру порогового шифрования.

Disclaimer：

1. Эта статья взята из [парадигма]. Все авторские права принадлежат оригинальному автору [Чарли НойсГуру, Вамси Поличарла]. Если есть возражения против этой перепечатки, пожалуйста, свяжитесь с Gate Learnкоманда, и они незамедлительно справятся с этим.
2. Ответственность за отказ: Взгляды и мнения, выраженные в этой статье, являются исключительно мнениями автора и не являются инвестиционными советами.
3. Переводы статьи на другие языки выполняются командой Gate Learn. Если не указано иное, копирование, распространение или плагиат переведенных статей запрещены.