Книги

Больше денег: что такое Ethereum и как блокчейн меняет мир

22
18
20
22
24
26
28
30

Разработчики Bihu, по-видимому, предвидели это и добавили к механизму суперлинейную логику, по которой статьи, поддержанные бóльшим количеством KEY, получают непропорционально бóльшую награду. Предположительно это должно стимулировать продвижение самых популярных постов вместо голосования за себя. Такая практика – добавлять суперлинейности, чтобы голосование за себя не подрывало всю систему, – характерна для систем управления с голосованием монетами. Большинство схем DPoS имеют ограниченное количество слотов для делегатов, и пользователи, не набравшие достаточного количества голосов для попадания в один из слотов, получают нулевое вознаграждение, что дает аналогичный эффект. Но и у таких решений есть два слабых места.

▒ Они субсидируют плутократию, поскольку у очень богатых людей и картелей будет все еще достаточно средств для раскрутки своих постов голосованием за себя.

▒ Их можно обойти, подкупив других пользователей, чтобы они массово голосовали за конкретного кандидата.

Сценарий с подкупом может звучать надуманно (кто здесь хоть раз брал взятку в реальной жизни?), но в зрелой экосистеме он гораздо реалистичнее, чем кажется. Как правило, подкуп в среде блокчейна прикрывается эвфемизмами: для операторов это не взятка, а «пул ставок», который «делится дивидендами». В иных случаях взятки просто выдают за что-то другое: представьте себе криптовалютную биржу, которая предлагает нулевую комиссию и тратит силы на создание невероятно качественного пользовательского интерфейса, но при этом даже не пытается получить прибыль; вместо этого она использует средства, внесенные пользователями, для участия в различных системах голосования монетами. Также неизбежно найдутся люди, для которых внутригрупповой сговор – совершенно нормальное явление. Вспомним хотя бы недавний скандал с участием EOS DPoS.

Наконец, возможна «негативная взятка», когда участников шантажом или угрозами вынуждают действовать внутри механизма определенным образом.

В рамках эксперимента /r/ethtrader сообщество опасалось, что люди начнут покупать пончики, чтобы влиять на голосования по вопросам управления, и поэтому решило допускать к участию в голосовании только заблокированные (то есть не подлежащие продаже) пончики. Но для совершения атаки даже не обязательно тратиться на пончики: их можно арендовать (эту атаку можно рассматривать как своего рода скрытую взятку). Если злоумышленник уже держит ETH, он может использовать их в качестве залога на платформе вроде Compound, чтобы получить кредит в виде определенного токена и использовать эти средства на свое усмотрение, в том числе для участия в голосованиях. Когда токены выполнят свою задачу, их можно выменять обратно и вернуть залог – и все это даже без секундного риска изменения цены токена, с помощью которого злоумышленник только что повлиял на голосование, даже если механизм голосования включает временную заморозку (как, например, в Bihu). В каждом случае на удивление трудно избежать проблем из-за взяток и доминирования участников с хорошими связями и деньгами.

ИДЕНТИФИКАЦИЯ

Некоторые системы пытаются смягчить плутократические аспекты голосования монетами за счет системы идентификации. В случае системы пончиков /r/ethtrader, хотя голосования по вопросам управления и проводятся с помощью монет, механизм, определяющий, сколько пончиков (то есть монет) вы изначально получите, основан на аккаунтах Reddit: 1 голос с 1 аккаунта Reddit = N заработанных пончиков. В идеале система идентификации должна работать так, чтобы получить одну идентификацию было относительно легко, а много – трудно. В системе с пончиками в /r/ethtrader используются учетные записи на Reddit, в устройстве CRL-финансирования Gitcoin[53] – учетные записи на GitHub. Но идентификация, по крайней мере в ее сегодняшнем виде, – вещь хрупкая…

Лень сооружать огромный стеллаж с телефонами? Пожалуйста, есть и такой вариант.

Не лишним будет напомнить: сомнительные сайты могут вас обмануть (а могут и не обмануть). Изучайте их как можно внимательнее

Пожалуй, провести атаку через тысячи поддельных марионеточных аккаунтов даже проще, чем заморачиваться с подкупом людей. Если вы думаете, что решить эту проблему можно через повышение безопасности за счет перехода к идентификации на государственном уровне, имейте в виду, что специализированные преступные организации давно к этому приспособились и, даже если ликвидировать их незаконных представителей, враждебные правительства могут штамповать поддельные паспорта миллионами, если мы вдруг умудримся создать систему, в которой это будет выгодно. И мы еще не говорим об атаках в противоположном направлении, когда учреждения, выдающие удостоверения личности, перекрывают маргинализированным сообществам кислород, отказываясь выдавать им документы…

СГОВОР

С учетом того, как часто механизмы дают сбой при появлении множественных идентификаций или даже ликвидных рынков, напрашивается вопрос: не связаны ли все эти проблемы с какой-либо общей глубинной особенностью? Я бы ответил «да», и вот в чем эта особенность: создавать механизмы с желаемыми свойствами очень сложно (если вообще возможно) в тех моделях, где участники могут вступать в сговор (верно и обратное). Вероятно, большинство примерно понимает суть этого принципа; на его базе складываются нормы и даже законы, способствующие развитию конкурентных рынков, а также пресекающие создание ценовых картелей, покупку и продажу голосов и взяточничество. Но на деле все гораздо глубже и глобальнее.

В версии теории игр, которая фокусируется на индивидуальном выборе – то есть на предположении, что каждый участник принимает решения независимо от других и что группы агентов не способны действовать как единое целое на взаимовыгодных условиях, – существуют математические доказательства, что в любой игре должно быть хотя бы одно устойчивое равновесие Нэша – это обеспечивает разработчикам механизмов весьма широкие возможности для «настройки» игр под нужные результаты. Но другая версия, которая допускает возможность взаимодействия коалиций, – она же теория кооперативных игр – выделяет большие классы игр, где не существует такого стабильного результата, от которого коалиция не смогла бы отклониться ради получения выгоды.

К этим изначально нестабильным играм относятся игры большинства, то есть игры с агентами N, где любая подгруппа, включающая больше половины от всех участников, может получить фиксированное вознаграждение и разделить его между собой. Это жутко напоминает многие ситуации в корпоративном управлении, политике и других областях человеческой жизни. Другими словами: если существует фиксированный резерв ресурсов и установленный механизм их распределения и при этом ничто не мешает 51 % участников сговориться и взять его под контроль, то, независимо от текущей конфигурации, всегда возможен выгодный для этих участников заговор. Но этот заговор, в свою очередь, уязвим для нового потенциального заговора, в котором могут принять участие и заговорщики, и жертвы предыдущего… и так далее в том же духе.

Факт нестабильности игр большинства в рамках теории кооперативных игр, пожалуй, сильно недооценивается, а ведь это – упрощенная общая математическая модель, которая объясняет, почему в политике, возможно, не может быть никакого «конца истории» и удовлетворяющей всех системы. Но лично я нахожу ее более полезной, чем, например, теорема Эрроу[54].

Обойти эту проблему можно двумя путями. Первый – попытаться ограничиться классом игр, которые «не требуют идентификации» и «не допускают сговоров», чтобы не пришлось беспокоиться ни о взятках, ни об идентификации. Второй – напрямую противостоять проблемам идентификации и сговора и решить их достаточно качественно, чтобы без опаски внедрять не защищенные от сговоров игры, которые могут предложить больше возможностей.

ДИЗАЙН ИГР, НЕ ТРЕБУЮЩИХ ИДЕНТИФИКАЦИИ И НЕ ДОПУСКАЮЩИХ СГОВОРОВ

Набор игр, которые не требуют идентификации личности и не допускают сговоров, весьма широк. Даже proof of work защищен от сговоров до тех пор, пока у одного участника не будет ~23,21 % от общей хеш-мощности, и этот предел при грамотном проектировании можно увеличить до 50 %. Конкурентные рынки тоже защищены от сговоров в достаточно высоких пределах, которых в одних случаях достигнуть легко, а в других – сложно.

Для систем управления и курирования контента (и то и другое – лишь частные случаи общей проблемы определения общественных благ и общественных зол) больше всего подходит обширный класс механизмов, основанных на футархии, которую обычно описывают как «управление за счет рынка предсказаний», хотя я бы также включил в этот класс использование страховых депозитов. В самой общей форме суть работы механизмов футархии заключается в том, что «голосование» в нем – не просто выражение мнения, но и предсказание, причем за верные предсказания полагается награда, а за ложные – штраф. Например, предложенные мной полуцентрализованные «рынки предсказаний для ДАО по курированию контента» работают следующим образом: любой участник может повысить или понизить рейтинг представленного контента; контент, набравший больше голосов, становится более заметным; окончательные решения принимает «комиссия модерации». У каждого поста есть небольшой шанс (пропорциональный его общему количеству голосов «за» + «против») на то, что комиссия модерации вынесет по нему окончательное решение. Если она одобрит публикацию, то все проголосовавшие «за» получат вознаграждение, а проголосовавшие «против» должны будут выплатить штраф, в случае же неодобрения все будет наоборот. Такой механизм стимулирует участников попытаться «предсказать» суждения группы модераторов.

Еще один возможный пример футархии – система управления для проекта с токеном, при которой любой голосующий за решение в случае его победы обязан купить некоторое количество токенов проекта по цене на начало голосования. Таким образом, голосовать за плохое решение невыгодно, и если это плохое решение побеждает, то все, кто его поддержал, по сути дела выкупают токены у всех остальных участников проекта. Это делает голосование за «неправильное» решение очень затратным, исключая возможность принять выгодное для себя решение за относительно небольшую взятку.

Графическое описание одной из форм футархии, которая создает два рынка, представляющих два «возможных будущих мира», и выбирает тот, который обойдется дешевле

Однако спектр возможностей у механизмов такого типа ограничен. В приведенном выше примере курирования контента мы на самом деле не решаем проблему управления, а просто расширяем функциональность механизма управления, который уже считается надежным. Можно было бы попытаться заменить комиссию модерации рынком предсказаний цены токенизированного рекламного пространства, но на практике цены – показатель со слишком высоким уровнем шума, который подходит только для очень крупных и разовых решений. И часто ценность, которую мы стремимся максимально увеличить, имеет мало общего с максимальной стоимостью токена.