Compte à rebours du hard fork BNB : démantèlement de la séparation de la “conscience” entre dusk et $BNB par les vétérans de la couche la plus profonde !
​Hier soir, dans un appartement à Tokyo, je suis resté éveillé tard à rejouer et analyser le code source de l’upgrade de BNB Chain en août, celui du Pasteur. La fusion de la proposition BEP-675 m’a fait transpirer des sueurs froides, moi qui ai tapé du code bas niveau pendant dix ans. Le cœur de la proposition est d’une brutalité extrême : dissocier totalement la production de blocs et leur vérification. Les constructeurs doivent assembler de force les blocs, tandis que les nœuds de vérification ne font la diffusion qu’avec la signature selon les règles de consensus ; la validation complète de l’état est repoussée à la suite. Ce genre d’architecture “monter d’abord dans le train puis réclamer le billet” de type PBS, je le connais par cœur : n’est-ce pas précisément le consensus à trois rails que dusk a poussé au maximum ? Et en plus, Dusk le démonte encore plus radicalement.
​En disséquant le code source de @Dusk , on voit que son SBA (preuve concise) se présente en réalité comme un jeu de répartition du pouvoir extrêmement lourd. Tout le flux de production de blocs est découpé en trois barrières de fer : le nœud proposant doit compter sur une saisie aveugle par preuve à connaissance nulle pour s’arracher en douce le droit de produire des blocs, afin de parer et d’empêcher les attaques ciblées DoS ; le comité de vérification contrôle la légalité des données ; et le comité d’approbation effectue la relecture finale. La “concision” ne fait que renvoyer à l’unique reçu chiffré obtenu après compression du circuit PLONK ; en dessous, la machine d’état doit, dans un environnement réseau extrême, faire jusqu’à 50 itérations sans relâche.
​Cet équilibre dépend entièrement du modèle économique de dusk. L’accès au réseau est fixé à un seuil de mise sous nantissement “dur” de 1000 DUSK, et le droit de vote des nœuds est verrouillé dans un poids constant de 64 Credits. Tenter de mal signer ou faire tomber la connexion en panne ? Le mécanisme de Slashing punit impitoyablement en confisquant le capital. Ce n’est donc pas simplement un découpage de processus : c’est une ligne de défense anti-malveillant soudée avec de l’argent réel.
​Mais, selon les vieilles habitudes quand je fais l’analyse de sécurité des protocoles, je dois quand même regarder par-dessous pour voir les risques. À chaque fois qu’on coupe une étape du consensus, la quantité de signature BLS agrégée et de diffusion des messages P2P dans le réseau explose de façon exponentielle ; la surface d’attaque du code monte directement à son maximum. Dusk concentre fortement le droit de vote entre des dizaines de membres de comités : sur le papier, cela résiste aux défaillances à point unique, mais en pratique, cela transfère le risque de collusion des nœuds vers “le dark web”. À l’inverse, du côté BNB, cette fois-ci c’est “signer avant de vérifier” : même si des vérifications asynchrones offrent un TPS extrême, dans cette fenêtre extrêmement courte de validation des blocs, les constructeurs peuvent facilement injecter des états malveillants, les transformant directement en cibles toutes prêtes pour du MEV et même pour des opérations d’embuscade inter-chaînes.
​Désaccoupler la production de blocs et leur vérification, c’est une manœuvre de premier plan pour l’extension de capacité des chaînes publiques aujourd’hui. Dusk remplace trois équipes par une répartition du pouvoir ; BNB remplace la vérification asynchrone par du TPS ? #dusk $DUSK