FeryX Trades

ビットコインの鍵は、常に自分自身の出力を支払える――それが前提です。

Babylonは、誰もその鍵を保持しないようにしました。

ステークを支えるTaproot出力では、鍵による支払い（key-spend）経路が無効化されており、Babylonの仕様書ではそれを行う正確な数を明記しています。内部公開鍵Pは固定で、P = lift_x(0x50929b74c1a04954b78b4b6035e97a5e078a5a0f28ec96d547bfee9ace803ac0)です。これは、誰もその秘密鍵を知り得ないように作られたNUMSポイントです。残るのは、スクリプトツリーのみ――タイムロック、アンボンディング、スラッシングです。

私はそれは些細な詳細だと思っていました――多くのパラメータのうちの1つに過ぎない、と。

違いました。

ウォレットが同じステーキング取引の2つのバージョンを作るとします。バージョンAは、仕様どおりに、内部鍵としてBabylonのNUMS値をそのままハードコードします。バージョンBは、Taprootライブラリの汎用実装をベースにしており、Babylonの仕様を一度も確認せず、独自の内部鍵を生成します――本物の鍵であり、その裏には本物の秘密鍵があります。

どちらも正常にブロードキャストできます。どちらも同じBTCがTaproot出力にロックされていることを示します。どちらも、ブロックエクスプローラが実行するすべてのチェックを通過します。

しかしバージョンAのコインは、鍵経路に署名できないため、タイムロック、アンボンディング、スラッシングを通るしかありません。バージョンBのコインは、秘密鍵が単一のSchnorr署名を行った瞬間に移動できます。Babylonが組み込んだ条件はすべて迂回されます。

カバナント委員会、最終性プロバイダ、スラッシングのロジックのどこにも、その違いは検知されません。なぜなら、彼らはいずれも鍵経路を監視していないからです。

この迂回は、Babylonが課すルールを破りません。破っているのではなく、プロトコルが監視しているスクリプトには一度も入らないだけです。

つまり、ステーキングモデル全体は、32バイトの定数が、最終性プロバイダやカバナントの署名が登場する前に、構築時に正しくハードコードされているかどうかに依存しています。

Babylonの、ビットコイン級のセキュリティのうち、プロトコル自身の強制によるものはどれくらいで、そして「誰かが使えないように設計された数を、各ウォレットが正しくハードコードする」という前提によるものはどれくらいなのでしょうか？

@BabylonLabs_io #baby $BABY

最終性プロバイダーは1つのサービスである、という前提です。

しかし、それは違います。

本番環境の構成は2つの別個のデーモン、fpdとeotsdに分かれており、バビロンの説明の多くは、その分岐をそのまま飛ばしてしまいます。

fpdはネットワークに面したワーカーです。バビロンのブロックを監視し、公開ランダムネスのコミットメントを準備し、最終性投票トランザクションを送信します。

eotsdは署名者（サイナー）です。EOTSの署名鍵を保持しており、設定で定義されたアドレスであるEOTSManagerAddressを通じてのみfpdと通信します。デフォルトは127.0.0.1:12582です。

この分離は、ペーパー上では良いセキュリティ設計です。チェーンRPCに公開されているデーモンは、そもそも署名鍵をまったく保持する必要がありません。

私は、それは「リスクはチェーン側に面した通信のどこかに存在する」という意味だと考えました。つまり、fpdを監視し、ブロックを監視していれば大丈夫だ、と。 ですが、それは完全には正しくありません。

fpdが健全でも、そのアドレスでeotsdに到達できないなら、fpd自体がどれほど良好に動いていても関係ありません。署名フローが単に止まるだけです。

eotsdが生きていても、その鍵の保管、ホスト権限、あるいはリスナーが弱い場合、誰も確認しない静かなサービスが、健全そうに見えるノードと「投票の見逃し」を隔てる唯一の砦になってしまいます。

バビロンは、この一点の障害（シングルポイント障害）を1つにはしませんでした。2つ作り、それぞれを互いに依存させて、仕事を完了させるようにしたのです。

つまり、実際の運用者の問いは「最終性プロバイダーがオンラインに見えるか」ではありません。重要なのは、両方のデーモンと、それらをつなぐその1つのアドレスが、同時に同じ障害に遭遇する状況に耐えられるかどうかです。

このように署名者を切り出すことで、本当にリスクは減るのでしょうか。たとえfpdが侵害されても鍵に触れられないから、ということです。 それとも、単一の障害点を、ほとんどの監視設定ではそもそもチェックされない接続に移し替えただけなのでしょうか？
@BabylonLabs_io #baby $BABY

@BabylonLabs_io #BABY $BABY

ビットコインの言葉は最終だ。そういう前提です。

バビロンは、その歴史をビットコインに結びつけます。チェックポイントはBTCにコミットされ、チェーンの状態がこっそり書き換えられないようにするのです。私は、チェックポイントが一度ビットコイン上に着地したら、それはロックされるものだと思いました。永久に。これで終わり。

しかし、コードはそう動きません。

バビロンは、軽量クライアント上で毎ブロック、HaltIfBtcReorgLargerThanConfirmationDepth という関数を実行します。ビットコインが、設定された確認深度より深いリオーグを起こした場合、その関数は状態エントリをいくつか静かに巻き戻すのではなく、バビロンのチェーン全体を停止します。コードコメントによれば、これは理論上、バビロン自身がビットコインのブロック時間における確認深度の2倍以上の期間オフラインになる場合に限って起きるはずだとされています。

つまり、「BTCアンカーの最終性」は単なるセキュリティ特性ではありません。停止条件でもあるのです。結局のところ、比較は一つだけです。ビットコインが、私たちの確認深度が許容する以上に、こちらに不利な方向へ進んだかどうか。

この違いは、聞こえる以上に重要です。停止は静かな修正ではありません。ビットコインの履歴が、事前に誰かが選んだある数値を超えて分岐した結果、すべてのバリデータが一斉にフリーズするのです。その数値を低くしすぎれば、通常のリオーグノイズでも稼働中のチェーンが固まってしまう可能性があります。高くしすぎれば、誰かが気づくころにはすでに陳腐化したビットコインの見方のまま、バビロンは動き続けてしまいます。

その数値がどこに置かれているのか、また実際のリオーグの深さに対してどれくらい頻繁にストレステストされてきたのか、その根拠は誰も公開していません。

では、「ビットコインが自分自身と食い違ったときにチェーンが完全に停止する」のであれば、「BTCアンカーの最終性」のうちどれだけがセキュリティ保証で、どれだけが、誰も圧力テストしていない脆いトリップワイヤーなのでしょうか？

@BabylonLabs_io #baby $BABY

リレーネットワークとは冗長性を意味します。それが前提です。

バビロンの自警者スイートは、バビロンとビットコインの間でデータを中継します。Vigilante Submitter（自警者投稿者）が、OP_RETURN出力を用いてビットコインにチェックポイントを投稿し、Vigilante Reporter（自警者レポーター）がビットコインを監視してヘッダーとチェックポイントの包含を報告します。ほとんどの分散型リレーネットワークでは、同じ仕事を多数のノードに分散して割り当てるため、単一の障害が問題になりません。

しかし、ここでの設計は違います。

バビロン自身のドキュメントでは、その要件を直接こう述べています。"安全に動作させるには、各プログラムのうち少なくとも1人の誠実なオペレーターが存在する必要がある"。多数派でもありません。しきい値でもありません。1人です。

その1人が暗転したらどうなるかは未定義ではありません。Checkpointing Monitor（チェックポイント監視）が、バビロンのBTCライトクライアントが追跡しているヘッダーチェーンが、ビットコインの実際の正規（canonical）チェーンとまだ一致しているかを監視します。BLSマルチ署名として有効な食い違うチェックポイントが2つとも表面化した場合、警告が発火します。そしてタイブレークは投票でも委員会の決定でもありません。ビットコイン・レジャーに最初に包含されたチェックポイントが、バビロンの有効なメインブランチを決めます。

つまり、フォールバックは判断によるものではありません。固定されたルールを伴うレースコンディションです。ビットコインに最初に到達したものが勝つ。そこに「バビロンのバリデータが実際に合意した“真の状態”を反映しているチェックポイントかどうか」は関係ありません。

アラームは、2つの履歴が存在することを知らせます。最初に包含されたルールが、どちらが「実」として扱われるかを決めます—誠実だったのがどちらかではありません。

では、フォークがビットコインに最初に到達したチェックポイントによって解決されるとしたら、それはバビロンの履歴をビットコイン自身のタイムスタンプ順序と同等に信頼できるものにするのでしょうか。それとも、単に最速の投稿者が（正しいものではなく）記録を書き込むだけということなのでしょうか？

@BabylonLabs_io #baby $BABY

🚨🚨🚨 $BTC 今、彼らはクマに見せたくない秘密を隠しているんだ！
今日の下落トレンドはもう古いニュースになり、弱気な予想とは正反対に、価格が力強く主導権を取り戻してきてる。まるで大きな動きの前にいつも起きることみたいにね！私は今、本気のポジションに入ってる—すぐに私とロングを開いて、待たないで！

📈 $BTC /USDT
エントリー: 64615 – 64683
ストップ: 63885
目標1: 65220 | 目標2: 65607 | 目標3: 66200

みんな、私と一緒に買い手側の陣営へようこそ 🎯 狼のハンター 🐺

$SNDK
$COTI

🚨🚨🚨 ご覧の通り、まさに予想通り！ $BULLA が本格的に上昇の爆発を開始し、買い手が市場を完全に支配しています 📈
これは以前あなたたちに警告したのと同じシナリオで、勢いはまだ序盤です。私は今、本物のポジションに入っています――すぐに私と一緒にロングを開いて、遅れないで！

📈 $BULLA
エントリー: 0.0180 – 0.0185
ストップ: 0.0175
目標1: 0.0193 | 目標2: 0.0204

買い手の仲間のみんな、ようこそ 🎯 ハンター 🐺

$BANK
$ON

接続し直せば、また戻ってくる——それが前提です。

バビロンのファイナリティ・プロバイダは、そんな簡単に手番をスキップできません。ファイナリティ・プロバイダは、将来のブロック高に向けて、公開ランダムネスをあらかじめバッチ単位でコミットしておく必要があります。これは些細なことではなく、EOTS署名が機能するための根本そのものです。TimestampingDelayBlocks は、そのコミットがどれだけ先に到達している必要があるかを定めており、推奨値は 10,000 ブロック超です。ランダムネス自体は、ビットコインでタイムスタンプが付けられるまで使えないためです。

事前にコミットしたウィンドウより長くオフラインになるFPは、投票を逃すだけでは済みません。完全に運用の余力が尽きます。

たとえば、あるプロバイダが高さ H までのランダムネスをコミットしていたとして、その後オフラインになり、H に 100 を足した時点で復帰するとします。これは、予定していた範囲の端を越えています。単に、投票を再開するだけでは済みません。新しいコミットを提出する必要があり、そのコミットも有効化される前に、BTCのタイムスタンプに追いつくのを待たなければなりません。停止と復旧という2つの遅延が、互いに重なって積み上がるのです。

最初は逆に感じました。私の前提は、稼働時間（アップタイム）が問題のすべてだということでした——ノードをオンラインに戻せば、それで仕事に復帰できる。ですが、アップタイムと投票資格は別の時計で動いており、後者は、障害が起こるはるか前、数日あるいは数週間も前に設定されていたのです。

つまり、オペレータとしての本当の耐障害性は「どれだけ速く再起動できるか」だけではありません。「何かが起きる前にどれだけ前倒しで計画していたか」です。これは、回復すべき障害がまだ一度も起きていない時点から、コンフィグ値に組み込まれた判断です。

障害の後に再び投票できる能力が、障害が起きる前に設定しておいたある数値で決まるのだとしたら、オペレータの「信頼できるアップタイム」という評判のうち、実際には事前に立てた賭けに過ぎない部分はどれくらいで、本当にその場での耐障害性がどれくらいなのでしょうか？

@BabylonLabs_io #baby $BABY

🚨🚨🚨 誰も監視していない $LAB ――それは静かに出血している。まさにこの瞬間、カーペットが引き剥がされる！本当の崩壊の前に、勢いが静かに薄れ始めている。この水準を破れば、直接の下落への扉が開く。大きな動きの前にいつも起きるのと同じだ！今すぐショートを開け、すぐに、遅れるな。まだ入っていないなら急げ！

📉 $LAB /USDT
エントリー: 0.1400 – 0.1412
ストップ: 0.1500
目標1: 0.1340 | 目標2: 0.1297 | 目標3: 0.1230

私の売り手チームへようこそ 🎯 ハンター 🐺

バビロンの「選択的な斬り払い」に対する防御に少し時間を費やしたのですが、「処罰」メカニズムとしては、想像していたものとは違いました。

選択的な斬り払いは最悪のケースです――終局性プロバイダが、誠実な過失ではなく特定の1人の被害者のステークを、こっそり「罰する」こと。ほとんどのシステムなら、その後に事後的にそれを見つけるには委員会が必要でしょう。バビロンは、誰かが見つけるのを待ちません。

この攻撃は、プロバイダが自らの秘密鍵を使って、コベナント・アダプタ署名をシュノー署名へ復号し、その後その斬り払いトランザクションをビットコインに投入することを要求します。アダプタ署名には、復号が追跡可能になる性質があります。つまり、誰かがその一組――アダプタ署名と、その結果得られるシュノー署名――を観測すれば、それを生成した秘密鍵を抽出できます。委員会でもありませんし、バリデータの投票でもありません。チェーンを見ている誰でもです。

つまり、攻撃と「告白」は同じ行為です。

それを運ぶために特別に組まれたメッセージがあります。MsgSelectiveSlashingEvidence は2つのフィールドだけを持ちます――staking_tx_hash と recovered_fp_btc_sk（攻撃を仕掛けたプロバイダが取り出した秘密鍵）。証拠は状況証拠ではありません。攻撃者自身の鍵であり、そもそも攻撃を成立させるために数学的に実行しなければならなかった作業から回収されたものです。

その種のセキュリティを抱えて座っているのは、妙な感じです。多くの暗号学的な防御は、攻撃が成立するのを止めます。これは、攻撃がちょうど1回成立することを可能にし、その1回の実行の過程で攻撃者自身の認証情報を自己破壊させます。

攻撃を可能にするのと同じ署名スキームに、処罰を組み込むことで、合理的な行為者にとって選択的斬り払いを試みることは事実上不可能になるのでしょうか。それとも、自分の鍵を燃やすことをいとわない最初の人物が、システムが反応する前に一度だけそれを実行できる、ということを意味するだけなのでしょうか？

@BabylonLabs_io #baby $BABY

🚨 $UNI 上昇6.4% 今日停止、3.95でデッドストップ — そして漁師（仕掛け）がまさに天井で罠を見てる

3.90〜3.94のショート、その同じレベルで今日2回拒否された場所 🔻

ストップ 4.00（リスクはわずか2% — 今週見つけた中で一番きれいな比率）
目標: 3.82 → 3.77

今、誰かが天井を買ってる… 俺は言う、天井こそが罠だ 🐺

$UNI