Attaque 51% à moins de $500 ça vous tente ?
Salut à tous chers amis Steemians !
Je suis tombé sur un site fort sympathique listant certains coins et le coût qu'impliquerait une attaque 51% sur le réseau.
Pour rappel une attaque 51% correspond à la probabilité qu'un individu (ou entité ou groupe d'individus) puisse détenir 51% ou plus d'un réseau dans l'optique d'attaquer ledit réseau. La notion d'attaque est très souvent une référence à la possibilité de réaliser un "double spend" soit de pouvoir dépenser deux fois le même coin et la notion de "détenir plus de 51% du réseau" fait référence par exemple dans le cas du Bitcoin à la production de plus de 51% du Hashrate global.
Jusqu'à présent les calculs de coûts de ces attaques présentaient des coûts faramineux puisque impliquant l'achat de centaines, millier ou même plus de machines de minages.
Or nos amis de chez crypto51 ont eu une autre idée car il est possible de louer de la puissance de calcul sur des sites comme Nicehash. Alors certe de pars cette aspect locatif le contrôle du réseaux ne serait que temporaire mais c'est bien là tout le but car il suffit de faire passer une transaction frauduleuse après tout !
Partant de ce constat nos confrères de chez Crypto51 ont publiés une liste de ce que cela coûterait de prendre possession de plus de 51% du hashrate de certains coins et ça fait froid dans le dos car certains coins sont attaquables pendant 1h pour des montants dérisoires (comme le Litecoin Cash pour $399 par exemple).
Le point positif c'est que les réseaux de premier plan semblent protégés car il est impossible de louer suffisamment de puissance de calcul de part leurs tailles massives (même si le site a quand même extrapolé les données pour obtenir la valeur théorique d'une attaque) :
Il existe quand même pas mal de coins dans le "top 100" dont la réalisation d'une telle attaque semble ridiculement simpliste comme par exemple :
- Bytecoin pour moins de $1500
- Bitcoin Gold pour environ $3500
- Bitcoin Private (pump par John McAffee) pour moins de $1000
- ZClassic pour moins de $5000
- Expanse pour moins de $600
Le ridicule ne tuant pas on saluera le Quark que l'on peut attaquer pendant 1h pour $2, autant dire que certains étudiants en crypto ou sécurité informatique n'auront pas besoin de petits jobs d'été ;-)
Il est important d'étendre cette logique à d'autres algos comme le DPoS de Steem par exemple car la délégation de SP rémunéré permettrait à des acteurs malicieux de "louer" une grosse partie du réseau pour un investissement modeste. L'avantage de Steem est le cooldown de 7 jours qui empêche des locations de faible durée et protège donc efficacement le réseau mais il n'en est pas de même pour tous les coins...
On voit donc de nouvelles menaces emerger et les hack de Verge ainsi que Bitcoin Gold en Mai sont la preuve que ces menaces sont de réels dangers et que les pirates sont créatifs aussi ;-)
Quelque part c'est peut-être une forme de Darwinisme numérique ou les coins les plus sécurisés mais aussi les plus chanceux survivront ? Et vous, vous en pensez quoi ?
Vraiment interessant ce site, je ne le connaissais pas !
Par contre il fait froid dans le dos, quand on se rend compte qu'il faut très peu pour pouvoir attaquer certaines monnaies ...
En effet... pour ma part c'est là qu'on se rend compte que le supply n'est pas illimité car même si on peut en théorie fork les coins à l'infini en pratique on sera limité par le hashrate (ou autre en fonction de l'algo) qui s'il est trop faible exposera le coin à des attaques et causera sa perte... Je pense que la prochaine "bulle" qui explosera sera quand on se rendra compte de ça, une époque que j'appelle "l'ère des hacks" où les projets ne tiendrons pas leurs promesses, les investisseurs se lasseront d'attendre, les chaînes se feront attaquer et où seuls les "vrais" projet avec une communauté derrière (et donc suffisamment protégée) survivront ;-)
Attention, la délégation ne permet pas de "louer" une partie du réseau.
Pour du DPOS il faudrait :
Autant dire que ça risque de coûter bonbon.
Et je ne suis pas certai qu'on puisse faire passer des transactions douteuses de cette manière (je manque de connaissance à ce sujet).
Tu as complètement raison c'est pour cela que j'ai mit "louer" entre guillemets car l'idée simpliste est de dire que l'on pourrait retourner le système à son avantage (genre flooder les trendings topics de posts publicitaires en accaparant une grosse partie du SP disponible) MAIS le coût resterait rédhibitoire vu le bénéfice potentiel car la période de cool down constituerait une pénalité supplémentaire suffisamment importante pour ne pas favoriser l'usage massif de DPoS "payant"... Je ne suis pas sur de m'exprimer correctement mais j'imagine que tu as compris l'idée ;-) Dans tous les cas ce que je dis c'est que le concept d'attaque peut être perçu différemment qu'une "simple" attaque frontale type "attaque 51%" car si l'on pervertit l'usage du système (du genre que j'ai décris précédemment) dans une certaine mesure on ne viole pas les règles tout en dégradant la qualité du service et donc ensuite nous entrons dans des notions subjectives qu'en effet les witness peuvent rectifier mais qui générerait très probablement des divergences de position comme vu avec ETC / ETH par exemple.... Dans tous les cas le risque principal que l'on essaye de couvrir en général reste le double spend et pour cela je pense que DPoS est assez fiable (plus que la plupart des petites chaînes en PoW en tout cas ;-)).
Disons qu'il n'est pas tout à fait possible facilement d'attaquer techniquement le réseau DPOS. Par conter, il est possible de "l'attaquer" fonctionnellement à travers le siphonnage du reward pool (pour steem).
Bien dit ! Du coup à voir s'il en sera de même avec le DPoS de l'EOS car là par contre 1 EOS = 1 part du réseau donc même s'il y aura l'équivalent des witness il restera possible d'avoir accès virtuellement à une grosse partie du réseau en 'location'... j'imagine qu'il y aura les même principes que sur Steem avec le cool down mais le risque d'attaque je pense plus important. Wait'n see donc ;)
Pas certain de comprendre pour EOS. La problématique est assez similaire.
Il faut contrôler les producteurs de block et les faire élire.
Pour EOS j'ai peut-être mal compris mais à priori le vote s'effectue de par la quantité du réseau que tu détiens c'est à dire le nombre d'EOS détenus (ou délégués) donc en théorie on pourrait exclure des producteurs de blocs si on a suffisamment d'EOS sans que les autres ne puissent rien y faire. Par contre lesdits producteurs seraient remplacés par ceux sur "liste d'attente" qui ne sont surement pas malicieux non plus et qu'il faudrait soit éjecter aussi soit corrompre ce qui rend l'attaque tout autant coûteuse (et longue dans le temps donc peu intéressante économiquement)... La question de "l'élection" des blocs producers n'est pas encore très claire je trouve donc à voir en pratique quel sera le process réellement mais c'est plus "centralisé" que pour Steem clairement.
Mais du coup, ça revient au même que pour steem. 1 SP = 1 voix.
Il faut donc avoir suffisamment de voix par rapport à la quantité de voix disponible.
J'ai compris que c'était plus centralisé car il y avait bien plus de contrainte technique que pour un witness. D'ailleurs ils font tourner des full nodes, ce qui n'est pas le cas sur steem.
Il y aura donc plus de full node sur EOS que sur steem.
Oui et non car 1 SP c'est techniquement un STEEM qui est 'bloqué' dans le système et à priori 1 EOS = 1 part dans le système donc pas sur d'avoir nécessaire besoin de le 'staker' pour avoir une part du système (mais j'avoue que je dois creuser un peu pour voir le fonctionnement exact). Bref la notion de staking ou de cool down joue un rôle très important je pense dans la prévention d'une potentielle attaque (du moins je pense).
Tu m'intrigues du coup avec ta dernière phrase, les witness ne font pas tourner des full nodes ? Je pensais que c'était le cas, donc qui fait tourner des full nodes et quel est l'incentive sur STEEM pour faire tourner une full node ?