Kann ein "Rollback" durchgeführt werden, und ist das legitim?

[qwk]

In Anbetracht der jüngsten Schlagzeilen will ich mal die Diskussion zu so etwas grundsätzlichem wie einem "Rollback" bei Bitcoin anstoßen.

Natürlich war auch mein erster Gedanke "geht nicht, darf nicht", aber ganz so einfach sollten wir es uns als kritisch denkende Beobachter der Bitcoin-Welt vielleicht nicht machen.
Jetzt habe ich ein bisschen darüber nachgedacht, und bin mittlerweile zu der Erkenntnis gelangt "geht schon, darf auch".
Blasphemie! Frevel! Er lästerte Satoshi auf infame Weise!

Ein "Rollback" der Bitcoin-Blockchain ist prinzipiell möglich, im Sinne einer erfolgreichen 51%-Attacke.
Damit ist auch klar, dass die Kosten für einen solchen Rollback enorm sind, und stark ansteigen, je weiter man zurück-rollen will.

Mein Gedankengang ist nun aber folgender:
1. ich betreibe eine große Börse
2. ich spreche mich bereits heute mit mehreren großen Mining-Pools ab
3. ich einige mich mit ihnen auf eine Art "Versicherung"

Dann kann ich also eine Vereinbarung mit den Minern treffen, dass sie mir eine 51%-Attacke "fahren", wenn ich einen schwerwiegenden Hack melde.
Natürlich sollte ich den Hack so schnell wie möglich bemerken, denn die Kosten steigen mit jeder einzelnen Confirmation.

Ich kann auch in einer Art "Gentlemen's Agreement" vereinbaren, dass z.B. Block Rewards, die in den Blöcken verteilt wurden, die "rollbacked" werden, erneut an die Adressen geschickt werden, die sie in der "Original-Chain" erhalten haben. Damit würde ich vermeiden, dass ich auf hohen Widerstand derjenigen Miner treffe, die nicht direkt am Rollback beteiligt sind.
Natürlich sollten die Miner auch alle (nicht spezifisch vom Rollback betroffenen) Transaktionen der "Original-Chain" wiederholen.

Wenn das so vereinbart ist, und nach Möglichkeit nach Außen hin auch so kommuniziert wird, sehe ich persönlich darin nicht einmal einen echten Schaden für Bitcoin.
Es stellt auch nicht, wie man auf den ersten Blick meint, einen Angriff auf die Dezentralität dar.
Schließlich nutzt man so nur eine der inhärenten Eigenschaften des Bitcoin-Netzwerks aus.
Und letztlich ist (IMHO) eines der wichtigsten "Ziele" der Dezentralität, dass man eben sehr wohl alles mit Bitcoin machen darf, was man mit Bitcoin machen kann.

Auch für den "normalen" Nutzer ergibt sich kein Nachteil.
Seine Transaktionen sind weiterhin exakt genau so sicher, wie sie in einem Netzwerk ohne solche Rollback-Vereinbarungen sind.
Die Sicherheit einer Transaktion ist stets definiert als Relation der Kosten für einen Angriff und deren Wert, daran ändert sich exakt gar nichts.

Und im Ergebnis wird es wesentlich unattraktiver, große Börsen mal eben um einen erheblichen Teil ihrer Coins zu erleichtern, womit die "Einlagen" der User in gewisser Weise "solidarisch" geschützt sind.

Alles in allem:
Bitcoin bietet die Funktion eines (teuren) Rollback an.
Bitcoin soll frei von jedem genutzt werden, wie er es für richtig hält.
Damit sind Rollbacks möglich und legitim.

Discuss!

[yesiam6]

Wäre schon legitim, würde nur dem Image von Bitcoin denke ich enorm Schaden und den Preis in die 3 stellige Preiskategorie zurückkatapultieren

[hodlcoins]

Ih.

Da würde man ja für eine Zeit lang den Leuten das Geld klauen, auch wenn es später mal wiederkommen soll, solange man nicht in die Missgunst der Miner fällt.
Ähm, nö.

Du kannst doch nicht ernsthaft gutheißen, das die Blockchain einfach mal ne Woche zurückgesetzt wird nur weil MtGox schreit "Hilfe Hack" und das ganze Netz hat erstmal "Guthaben Null" und das baut sich dann wieder auf.
OK, man packt de Blöcke randvoll, aber trotzdem würde das ganze replay ja einige Blocks brauchen, also auch u.U. 1:1 der Zeit. Vielleicht weniger wenn gerade nix los war und die Originalblocks halbleer waren, aber eben nur vielleicht.
Ich glaube, das du mit 3-stellig nicht hinkommst. In dem Moment wo das zum ersten Mal gemacht wird ist der Fiatgegenwert im Keller und wird da auch bleiben.

Und wie willst du den Clients kommunizieren das sie noch nicht synchron sind? Sonst würde ja jeder den Kurs mit der gerade aufholenden Chain ausnutzen und Geld ausgeben, das er nachher nochmal ausgeben muss...

Zudem: Wie lange? 1 Stunde? 1 Tag? 1 Woche? 1 Monat?

[fronti]

Möglich ja, Teuer auch ja.
Aber so wie es diskutiert wurde denke ich das es da schon zu spät war.
(war ja schon ein paar blocks zu spät) und damit dann
- vermutlich zu teuer
- zu viele implikationen auf die anderen user.
 gut das mit den implikationen kann man ja ausschliessen wie du ja auch anmerktest, dsas man die selben, nicht "bösen" transaktionen einfach wieder einbaut..

aber dennoch, ich denke wenn das passiert wird es keinen Bitcoin mehr geben wie gedacht.
Obwohl es ist immer nich der Bitcoin wie wir ihn haben nur sind die User und deren Consens dann vermtlich gespalten..

daher denke ich, macht es nicht. Und zum glück ist die Hashrate derzeit so hoch, das das auch richtig teuer wird wenn man es nicht schnell merkt.

[d5000]

Sorry, ich finde es zwar gut auch unkonventionelle Vorschläge zu diskutieren, aber eine geplante Re-Org nach einem Hack sehe ich weiterhin als "Frevel" an. Denn wer sagt, das ein solches Agreement nur von einem "guten" Akteur durchgeführt werden könnte?
Das könnte auch jemand sein, der sich z.B. Satoshis Coins (oder auch jeden beliebigen größeren Coin-Schatz) in langjähriger Hackarbeit unter die Finger gerissen hat und dann damit die Miner besticht, wenn es ihm recht ist und er gute Double-Spend-Gelegenheiten findet.

War da nicht mal was mit einem gewissen "DAO" und "ETC", das (völlig berechtigterweise) in der Bitcoin-Community als Zentralismus verdammt wurde? Was unterscheidet den Aufruf von Ethereum-Boss Vitalik vom Aufruf eines mächtigen Börsen-Bosses? Was, wenn es sich um eine Scam-Börse handelt, die aber viele Coins hält?

Allerdings:

Du kannst doch nicht ernsthaft gutheißen, das die Blockchain einfach mal ne Woche zurückgesetzt wird nur weil MtGox schreit "Hilfe Hack" und das ganze Netz hat erstmal "Guthaben Null" und das baut sich dann wieder auf.

Beim 51%-Angriff werden ja erstmal Blöcke "privat" parallel neben der Blockchain gefüllt, d.h. die in der alten Chain bestätigten Transaktionen, die nicht durch den Hack betroffen waren, sind dann wahrscheinlich, wenn die neue Chain "übernimmt" auch schon in der neuen Chain bestätigt.

Nur die Hacker-Coins, die schon ausgegeben wurden, werden zurückgedreht. Das heißt: Hat der Hacker schon irgendwo was gekauft oder getradet, geht der Händler/Exchange leer aus.

In dem Moment wo das zum ersten Mal gemacht wird ist der Fiatgegenwert im Keller und wird da auch bleiben.

Das glaube ich allerdings schon. Die einzige Chance sehe ich, wenn es sich wirklich nur um weniger als 6 Blocks handelt, also die normale Confirmation-Zeit. Dann ist nahezu ausgeschlossen, dass der Hacker Schaden anrichten konnte. Es gibt allerdings Altcoinbörsen die sich schon mit 2 Confirmations begnügen ...

PS: Noch mal ein kurzer Gedanke: Wenn man "legitim" ansieht, was dank des Anreizmodells von Bitcoin "möglich" ist, kann man eigentlich auch BCH und Co. als "legitim" ansehen, und in letzter Konsequenz auch "bösartige" Kartellangriffe. Ich als User würde dann aber meine Konsequenzen ziehen und auch dafür trommeln, dass sowas nicht passiert. Am Ende würden nämlich nur die, die eh eine große Marktmacht haben, von solchen Mechanismen profitieren können (und selbst wenn sie nur Gutes im Sinn haben z.B. deshalb weniger in Sicherheit investieren).

[mole0815]

Ich denke mal es wird (obwohl möglich) nie passieren... und das ist auch gut so.
Aber spannend das alles mal so durchzudenken

[lassdas]

Ich seh das ganz ähnlich,
es ist möglich und auch legitim, weil, wie angesprochen, quasi ein Feature von Bitcoin,
wegen der Kosten und der absoluten Unberechenbarkeit der Auswirkungen auf die zukünftige Nutzung und nicht zuletzt den Kurs halte ich es aber für äußerst unwahrscheinlich.

Denkbar isses in jedem Fall.

[trantute2]

Langsam! Wir reden hier von Proof of Work!

Wenn ich einen "Rollback" fahren wollte ohne das Protokoll zu ändern, also (nur) eine 51%-Attacke durchführen wollte, dann muss ich doch parallel zur Hauptchain auch auf einer alternativen Chain minen. D.h. ich muss meine Hashleistung aufteilen.

Bei der aktuellen Problematik müsste genug Hashpower hinter der alternativen Chain stehen sodass diese nicht sonderlich hinter der Hauptchain hinterher hängt. Auch muss das parallele Hashing durchgängig laufen weil man ja nie weiss, wann man gehackt wird und wann man zurück drehen muss. Und dann müßte man, wenn ein Hack passiert ist, alle für den Angriff verfügbare Hashpower auf die alternative Chain konzentrieren um die Hauptchain, was den Proof of Work angeht, zu überholen.

Ausserdem muss die Alternativchain die Realtität abbilden. Da müssen also Transaktionen drauf sein, welche irgendwie Sinn machen. Denn was bringt eine Alternativchain, wenn sie leer ist? Man könnte sicherlich immer eine konstante Anzahl an Blöcken "angreifen", also z.B. die Anzahl an Blöcken, welche an einem Tag gefunden werden. Fängt ein neuer Tag an, beginnt man den Angriff am aktuellen Block der Hauptchain. Wenn der Hack innerhalb des gegeben Tags passiert, so kann man die Chain diesen einen Tag zurückdrehen. Das setzt aber voraus, dass man den Hack rechtzeitig entdeckt und dies ist selten gegeben.

D.h., dass man im Idealfall immer eine Hashverteilung von nahe 51% für die Hauptchain und 49% für die Alternativchain für ein bestimmtes Zeitintervall bräuchte. Je kürzer das Zeitintervall, desto niedriger kann wohl die Hashleistung für die Alternativchain ausfallen. Nur ... alle Miner, welche auf der Alternativchain bzw. Fallbackchain hashen, verdienen nichts, solange kein Hack passiert. Wer würde sowas für irgendeine Kackbörse machen, welche nicht in der Lage ist, die ihr anvertrauten Funds sicher zu verwahren? Wer würde sowas im allgemeinen machen?

Mal abgesehen vom Schaden, welcher durch einen Rollback entsteht, wenn er denn funktionierte! Man könnte, solange der Rollback diskutiert wird, lustig mit dem entsprechenden Token einkaufen gehen. Nach dem Rollback wäre die Kohle wieder da. So funktioniert das nicht.

Oder um das kurz zu machen:

Was ihr hier diskutiert ist ein Problem von Proof of Stake und nicht von Proof of Work und deshalb auch nicht von Bitcoin.

Ein Sturm im Wasserglas. Und deswegen hat der Kurs bei dieser Ankündigung auch mit Recht nicht gezuckt. Solange sich die Protokollentwickler, also die Bitcoin-Entwickler, da raushalten bleibt so ein Rollback praktisch unmöglich.

End of story.

[d5000]

Wenn ich einen "Rollback" fahren wollte ohne das Protokoll zu ändern, also (nur) eine 51%-Attacke durchführen wollte, dann muss ich doch parallel zur Hauptchain auch auf einer alternativen Chain minen. D.h. ich muss meine Hashleistung aufteilen.

(Editiert) Eine Alternativchain dauerhaft zu minen wäre wohl nahezu unmöglich (da die Miner meistens unnötig Hashleistung abzweigen würden) und auch unnötig.

In der Praxis würde eine solche Attacke zeitlich wohl so ablaufen:
- Hack wird durchgeführt.
- Hack wird bemerkt (vermutlich nach mehreren Blöcken)
- Börse bringt mindestens 50% der Miner auf ihre Seite und bildet sozusagen ein "Kartell". Für eine effiziente Durchführung sollten es deutlich mehr (>66%) sein. Sonst würde der Angriff sehr lange dauern.
- Das "Kartell" beginnt nun seine Alternativchain zu minen. Ausgangspunkt ist der Block direkt vor dem Hack. Der erste Block entspricht genau dem Hack-Block minus der Hack-Transaktion(en), dann werden weitere Blöcke mit den Transaktionen der folgenden Blöcke der alten Chain gefüllt (minus die Derivate der Hack-Transaktionen).
- Die Kartell-Chain startet natürlich mit Rückstand auf die Hack-Chain, also die alte Haupt-Chain. Solange sie zurückliegt, kann sie das Mining (muss aber nicht) geheim tun, um die anderen Clients nicht zu verwirren (da bin ich noch unsicher, was für das Wohlergehen des Netzwerks besser ist).
- Währenddessen minen die weiteren Miner auf der Hack-Chain weiter. Die Clients folgen der Hauptchain, da diese noch mehr PoW als die Hack-Chain
- Irgendwann hat die Alternativchain mehr PoW als die Hack-Chain. Dann erst folgen die Clients, die nicht im "Kartell" sind, der Alternativchain.
- Reorg ist abgeschlossen. Auf der Hack-Chain könnten sich aber Miner per Hardfork abspalten (siehe ETC/ETH).

Eine sehr teure (je länger der Hack unbemerkt bleibt, um so teurer), aber nicht unmögliche Attacke. Bei Proof of Stake ginge sie sicherlich schneller, da man nach der Erlangung der 51% sofort bzw. je nach Algorithmus ziemlich schnell (aber ohne zusätzlichem Energieverbrauch) eine "längere" Alternativchain bereitstellen kann. Das heißt aber nicht, dass die Attacke bei PoW unmöglich ist.

Nachdem ich nochmal über das Szenario nachgedacht habe, bleibe ich bei meiner Meinung - Frevel!

Die Attacke hat aber tatsächlich viel mit der Ansicht zu tun, die man über das "System Bitcoin" und die Machtverhältnisse hat. Wenn man der Ansicht ist, dass "mehr Bitcoins" auch "mehr Macht" bedeuten soll, dann kann man eine solche Attacke als legitim ansehen. Dann können aber auch "maliziöse Akteure" diese Macht erhalten. Kurioserweise entspricht diese Ansicht dem Proof-of-Stake-Ansatz

Wie die "Masse der User" mit der Gefahr einer solchen Attacke umgeht, ist aber die andere Sache - diese sollten m.M. eine solche Attacke ablehnen und Konsequenzen ziehen. Schließlich kann sie sich immer auch gegen Unschuldige richten. Insofern nehme ich an meinem ersten Post nichts zurück ...

Es handelt sich übrigens nicht um eine traditionelle Double-Spend-Attacke, sondern um einen "Zensurversuch" einer Transaktion durch das Kartell. Schon das Wort "Zensur" zeigt, wohin der Hase dann irgendwann laufen könnte ... und warum die Attacke "Frevel" bleibt. Nehmen wir nur mal an, das Kartell wird nicht von Binance gebildet, sondern von der chinesischen Regierung ...

[qwk]

Mal kurz ein paar Antworten zusammengefasst.

Da würde man ja für eine Zeit lang den Leuten das Geld klauen, auch wenn es später mal wiederkommen soll, solange man nicht in die Missgunst der Miner fällt.
[...]
Du kannst doch nicht ernsthaft gutheißen, das die Blockchain einfach mal ne Woche zurückgesetzt wird nur weil MtGox schreit "Hilfe Hack" und das ganze Netz hat erstmal "Guthaben Null" und das baut sich dann wieder auf.
[...]
Und wie willst du den Clients kommunizieren das sie noch nicht synchron sind? Sonst würde ja jeder den Kurs mit der gerade aufholenden Chain ausnutzen und Geld ausgeben, das er nachher nochmal ausgeben muss...
[...]
Zudem: Wie lange? 1 Stunde? 1 Tag? 1 Woche? 1 Monat?

1. nein, man würde (im Gentlemen's Agreement Szenario) niemandem das Geld klauen.
2. ich heiße nichts gut, aber ich versuche, meiner "Linie" treu zu bleiben, nach der ich die Freiheit des Bitcoin-Systems als Freiheit jedes Teilnehmers verstehe, mit Bitcoin zu tun, was er für richtig hält.
3. dass sie "noch" nicht synchron sind, stimmt so nicht, sie sind im Rahmen der Funktionsweise von Bitcoin zu jedem Zeitpunkt synchron mit der jeweils längsten Kette, nur ändert sich die längste Kette irgendwann.
4. die Dauer ist in diesem Gedankenspiel alleine abhängig von der Summe, um die es geht.

Um mal die Kosten ganz grob einzuschätzen, gehe ich davon aus, dass ein solcher "Rollback" mit "Gentlemen's Agreement" pro Block, der rollbacked werden muss, an Kosten verursacht:
1. 12,5 BTC Block Reward
2. weitere 12,5 BTC Block Reward, die per Agreement an den Miner aus der "Original-Chain" gehen
3. "Overhead", der sich danach errechnet, über wieviel Rechenleistung die Rollback-Chain verfügt. Gehen wir mal davon aus, dass der Rollback mit rund 80% der Gesamtrechenleistung durchgeführt wird, reden wir da also von 2,5 BTC
4. Einiges an fees, die auch wieder an die Original-Chain-Miner gehen sollten, sagen wir mal 3 BTC

Also kostet so ein Rollback vermutlich irgendwo in der Größenordnung von 30,5 BTC pro Block.
Damit sich das ganze auch für die Miner lohnt, die daran teilnehmen, wollen sie natürlich aber auch einen Gewinn dabei machen, insofern sage ich mal, dass das unter 50 BTC pro Block nicht zu machen ist, und sich wahrscheinlich eher im Bereich von 100 BTC pro Block bewegt.

Will ich also z.B. 100 Blöcke rollbacken, sollte ich damit schon eher mehr als 10.000 BTC "rausholen", damit sich der Aufwand lohnt.
Wenn ich dazu noch das Risiko einkalkuliere, dass tatsächlich der Kurs enormen Schaden nehmen kann, dürfte man vielleicht noch erheblich konservativer rechnen.

[...]
Aber so wie es diskutiert wurde denke ich das es da schon zu spät war.
(war ja schon ein paar blocks zu spät) und damit dann
- vermutlich zu teuer
- zu viele implikationen auf die anderen user.
[...]
aber dennoch, ich denke wenn das passiert wird es keinen Bitcoin mehr geben wie gedacht.
Obwohl es ist immer nich der Bitcoin wie wir ihn haben nur sind die User und deren Consens dann vermtlich gespalten..

Mir ist der Gedanke gekommen, dass solche Überlegungen wie "Börse schließt mit den Minern eine Versicherung ab", möglicherweise längst in den Hinterhofzimmern zwischen den großen Playern im Markt auf dem Tisch sind. Das könnte dann letztlich der Grund dafür sein, dass in diesem konkreten Fall die Option überhaupt zur Sprache kam. Letztlich hat man sich dann dagegen entschieden, weil der Schaden zu klein war und ein Rollback eben zu spät gekommen wäre.

Ob das dann immer noch "der Bitcoin wie wir ihn haben" ist, oder nicht, ist sicherlich eine interessante Frage.
Rein technisch sind wir uns einig, dass sich nichts geändert hat.
Ob das von der "breiten Masse" akzeptiert wird, sei mal dahingestellt, meine (schwache) Vermutung wäre "ja, wenn es richtig, transparent und fair gemacht wird".

Allerdings ergibt sich natürlich die Möglichkeit, dass z.B. die Nodes die rollbackte Chain nicht akzeptieren (dazu müssten allerdings sie einen Hardfork durchführen), womit es zu einer Abspaltung kommt, in der die "Traditionalisten" dem Hardfork folgen. Verkehrte Welt.

Wäre schon legitim, würde nur dem Image von Bitcoin denke ich enorm Schaden und den Preis in die 3 stellige Preiskategorie zurückkatapultieren

Ich denke mal es wird (obwohl möglich) nie passieren... und das ist auch gut so.

Ich seh das ganz ähnlich,
es ist möglich und auch legitim, weil, wie angesprochen, quasi ein Feature von Bitcoin,
wegen der Kosten und der absoluten Unberechenbarkeit der Auswirkungen auf die zukünftige Nutzung und nicht zuletzt den Kurs halte ich es aber für äußerst unwahrscheinlich.

Ich bin mir nicht ganz sicher, ob das dem Kurs so sehr schaden würde, obwohl meine erste Vermutung auch wäre "ja".
Letztlich kommt es darauf an, ob der Markt als ganzer einen Bitcoin mit einem "quasidemokratischen" Minimalschutz gegenüber großen Hacks als wertvoller oder wertloser ansieht als den Bitcoin ohne einen solchen.

[qwk]

wer sagt, das ein solches Agreement nur von einem "guten" Akteur durchgeführt werden könnte?

Niemand. Die 51%-Attacke ist in Bitcoin (und anderen Coins) immer möglich, egal ob von Gut oder Böse.
Ob allerdings das "Ergebnis", also eine Chain, auf die eine 51%-Attacke durchgeführt wurde, von der breiten Masse noch akzeptiert wird, ist eine andere Frage.
Bei einem bösen Akteur ist das unwahrscheinlich, bei einem "guten" sicherlich zumindest wahrscheinlicher.

Das könnte auch jemand sein, der sich z.B. Satoshis Coins (oder auch jeden beliebigen größeren Coin-Schatz) in langjähriger Hackarbeit unter die Finger gerissen hat und dann damit die Miner besticht, wenn es ihm recht ist und er gute Double-Spend-Gelegenheiten findet.

Das ergibt jetzt keinen Sinn.
Wer sich Satoshis Coins unter den Nagel reißen kann, braucht nicht noch zusätzlich irgendwelche Doublespends, der ist so schon reich genug

War da nicht mal was mit einem gewissen "DAO" und "ETC", das (völlig berechtigterweise) in der Bitcoin-Community als Zentralismus verdammt wurde? Was unterscheidet den Aufruf von Ethereum-Boss Vitalik vom Aufruf eines mächtigen Börsen-Bosses?

Das ist ein himmelweiter Unterschied.
Im Falle von Ethereum hat man einen zentralisierten Hardfork durchgeführt, und damit eine neue Chain auf den Markt gebracht, in der bestimmte Transaktionen einfach ungültig waren.
In "unserem" Szenario sprechen wir davon, eine Funktion des Bitcoin-Netzwerks so zu nutzen, wie sie von den Erfindern von Bitcoin gedacht war, und wie sie auch tatsächlich regelmäßig vorkommt (bei jedem "orphaned Block").

Auch "Zentralisierung" findet hier nicht statt, denn keine zentrale Autorität führt einen solchen Rollback durch, sondern der von Bitcoin so gewollte Konsens über den freien Markt.

In Bitcoin ist die längste Kette die richtige Kette, ob einem das gefällt oder nicht.

In dem Moment wo das zum ersten Mal gemacht wird ist der Fiatgegenwert im Keller und wird da auch bleiben.

Das glaube ich allerdings schon. Die einzige Chance sehe ich, wenn es sich wirklich nur um weniger als 6 Blocks handelt, also die normale Confirmation-Zeit.

Ein weit verbreiteter Irrtum.
Die 6 Confirmations stellen keine "endgültige" Wahrheit dar.
Sie sind lediglich ein Richtwert aus der Frühzeit des Bitcoin, ab wann man mit hoher Wahrscheinlichkeit davon ausgehen kann, dass die Transaktion eben nicht mehr rückgängig gemacht werden kann.
In Wahrheit ist das aber eine Funktion der Zeit, bzw. der Anzahl der Confirmations gegen den Wert der Transaktion.
Je geringer mein Betrag, desto weniger Confirmations benötige ich für "Sicherheit".
Bei einer Milliarden-Euro-Transaktion sollte man schon erheblich länger warten als "nur" 6 Confirmations.

Dann ist nahezu ausgeschlossen, dass der Hacker Schaden anrichten konnte. Es gibt allerdings Altcoinbörsen die sich schon mit 2 Confirmations begnügen ...

Genau aus dem Grund empfehle ich das "Gentlemen's Agreement".
Sofern dieses eingehalten wird (was aber nicht erzwungen werden kann), würden alle bestehenden Transaktionen, die nicht direkt in Abhängigkeit zum Rollback stehen, auch in die "neue" Chain aufgenommen.
Natürlich wäre dennoch eine Börse betroffen, die z.B. Coins aus dem Hack entgegengenommen und ausgezahlt hat.

Selbstverständlich wäre der Rollback dann unnütz, wenn es dem Hacker bereits gelungen wäre, sämtliche gestohlenen Coins auf Börsen umzutauschen.
Da sich das mit ein wenig "Chainalysis" ermitteln lässt, kann man aber schon vor dem Rollback entscheiden, ob er sich überhaupt noch lohnt.

Ich gehe sowieso davon aus, dass, sollte es jemals zu so einer "Einer-Versicherung" kommen, im Falle eines Rollbacks sofort bei Beginn der neuen Chain eine öffentliche "Warnung" herausgegeben würde, dass ein Rollback stattfindet. Dann würden sicherlich auch alle Börsen zunächst einmal kurzfristig den Betrieb einstellen, oder entsprechende Sicherheitsmechanismen aktivieren.
Eine solche Ankündigung des Rollback dürfte auch die Kosten des Rollback reduzieren, da vermutlich auch die Miner, die nicht direkt daran beteiligt wären, kein Interesse mehr hätten, an der absehbar ungültigen Chain weiter zu minen.

Wenn man "legitim" ansieht, was dank des Anreizmodells von Bitcoin "möglich" ist, kann man eigentlich auch BCH und Co. als "legitim" ansehen,

Legitim ist es sicherlich, einen Fork von Bitcoin zu schaffen.
Bitcoin ist "free software", damit darf jeder das Ding neu compilen wie er will.
BCH ist in diesem Sinne legitim, was jedoch nicht nur illegitim, sondern sogar illegal sein dürfte, ist die Behauptung, BCH sei "Bitcoin" und es so zu verkaufen.

Am Ende würden nämlich nur die, die eh eine große Marktmacht haben, von solchen Mechanismen profitieren können (und selbst wenn sie nur Gutes im Sinn haben z.B. deshalb weniger in Sicherheit investieren).

Auch da bin ich mir nicht sicher.
Wenn morgen z.B. eine große Börse um 100.000 BTC "erleichtert" wird, ist es IMHO durchaus im Interesse der meisten Bitcoin-HODLer, wenn die daraus entstehende Störung des Marktes begrenzt bleibt.
Die Frage wäre natürlich, was mehr Schaden anrichtet, die 100.000 geklauten, und möglicherweise auf den Markt gedumpten Coins, oder ein "gutartiger" 51%-Angriff.
Meine (schwache) Vermutung wäre, dass der Rollback bei 100.000 BTC weniger Schaden anrichten könnte.

[qwk]

Wenn ich einen "Rollback" fahren wollte ohne das Protokoll zu ändern, also (nur) eine 51%-Attacke durchführen wollte, dann muss ich doch parallel zur Hauptchain auch auf einer alternativen Chain minen. D.h. ich muss meine Hashleistung aufteilen.

Nein. Wenn "ich" eine 51%-Attacke durchführe, mine ich nur noch auf meiner alternativen Chain.

Ausserdem muss die Alternativchain die Realtität abbilden. Da müssen also Transaktionen drauf sein, welche irgendwie Sinn machen. Denn was bringt eine Alternativchain, wenn sie leer ist?

Ja, ja, und "genau so viel wie eine volle Chain".
Man kann natürlich auch eine "leere" Alternativchain aufbauen, das hat sogar (fast vernachlässigbare) Performance-Vorteile.
Aber natürlich wird man, schon aus Gründen der Akzeptanz, aber auch der Fees wegen, die bereits in der Original-Chain existierenden Transaktionen aufnehmen.

D.h., dass man im Idealfall immer eine Hashverteilung von nahe 51% für die Hauptchain und 49% für die Alternativchain für ein bestimmtes Zeitintervall bräuchte.

Nein. Je mehr Rechenleistung ich für meine Alternativchain aufwenden kann, desto besser.

Je kürzer das Zeitintervall, desto niedriger kann wohl die Hashleistung für die Alternativchain ausfallen.

Jein. Je weniger Rechenleistung ich habe, desto länger dauert es, bis ich die längere Kette habe, damit steigen die Kosten für meinen Rollback erheblich an.

alle Miner, welche auf der Alternativchain bzw. Fallbackchain hashen, verdienen nichts, solange kein Hack passiert.

Nein, sie "verdienen" in der Alternativchain genauso viel wie in der Original-Chain.
Da die Alternativchain insgesamt weniger Rechenleistung hat, verdienen sie eher mehr.
Nur verlieren sie ggf. die Block Rewards, die sie bereits in der Original-Chain erhalten hatten.
Wenn dazu noch das "Gentlemen's Agreement" eingehalten wird, verdienen sie tatsächlich in der Alternativchain nichts oder nur sehr wenig.
Und die Aussage "solange kein Hack passiert", ist unsinnig, da an der Alternativchain nur dann gemint wird, wenn ein Hack passiert.

Wer würde sowas für irgendeine Kackbörse machen, welche nicht in der Lage ist, die ihr anvertrauten Funds sicher zu verwahren?

Aus dem Grund müsste die Börse die Miner dafür bezahlen.
Schließlich verlieren die Miner in dem Szenario zunächst einmal Geld.
Wie ich weiter oben schätze, über 30 BTC pro Block.
Wenn aber die "Kackbörse" bereit ist, den Minern für das Minen der neuen Blockchain 100 BTC pro Block zu bezahlen, lohnt es sich für die Miner.

Das kann sogar dezentral geschehen, indem die Börse einfach eine sinnlose Leertransaktion mit einer Fee von z.B. 100 BTC in jeden Block packt.
Damit diese Transaktionen dann nur in der Alternativchain gemint werden können, müssten diese abhängig von einem Double Spend der zu rollbackenden Transaktion sein.

Mal abgesehen vom Schaden, welcher durch einen Rollback entsteht, wenn er denn funktionierte! Man könnte, solange der Rollback diskutiert wird, lustig mit dem entsprechenden Token einkaufen gehen. Nach dem Rollback wäre die Kohle wieder da.

Nein. So funktioniert der Rollback (mit "Gentlemen's Agreement") nicht.
Wenn ich ganz normal meine Coins ausgebe, sind meine Transaktionen immer in beiden Ketten gültig, d.h., ich kann meine Coins nicht "doppelt ausgeben".

Was ihr hier diskutiert ist ein Problem von Proof of Stake und nicht von Proof of Work und deshalb auch nicht von Bitcoin.

Das ergibt keinen Sinn.
Die 51%-Attacke ist eine inhärente Eigenschaft von Proof of Work.
Sie ist, wenn man so will, die Umkehrfunktion der Sicherheitsfunktion von PoW.

Und deswegen hat der Kurs bei dieser Ankündigung auch mit Recht nicht gezuckt.

Das hat IMHO eher damit zu tun, dass die meisten Leute so reagiert haben wie ich "geht nicht".
Aber das war eine zu naive Denkweise.

Wenn wir davon ausgehen, dass die großen Börsen und die großen Miner sicherlich die eine oder andere Absprache haben, ist ein solches Szenario nicht nur denkbar, sondern auch relativ wahrscheinlich.
Die Frage ist also weniger, ob, sondern wann wir einen solchen Rollback einmal erleben
Nein, im Ernst, natürlich kann es auch sein, dass die Miner das kategorisch ablehnen.

Solange sich die Protokollentwickler, also die Bitcoin-Entwickler, da raushalten bleibt so ein Rollback praktisch unmöglich.

Komplett falsch. Die Entwickler haben in diesem Fall nichts damit zu tun.


Insgesamt habe ich den Eindruck, dass du noch nicht so ganz 100%-ig verstanden hast, wie Proof of Work tatsächlich funktioniert.
Die 51%-Attacke ist, wenn man so will, kein "Angriff", sondern der "ganz normale" Konsensmechanismus in PoW.

Zu glauben, man könnte irgendwie eine "externe Wahrheit" einer "echten Kette" über die Mechanismen des Protokolls erzwingen, ist ein Irrglaube.
In Bitcoin ist die längste Kette die richtige Kette.

[thandie]

Am Ende würden nämlich nur die, die eh eine große Marktmacht haben, von solchen Mechanismen profitieren können (und selbst wenn sie nur Gutes im Sinn haben z.B. deshalb weniger in Sicherheit investieren).

Auch da bin ich mir nicht sicher.
Wenn morgen z.B. eine große Börse um 100.000 BTC "erleichtert" wird, ist es IMHO durchaus im Interesse der meisten Bitcoin-HODLer, wenn die daraus entstehende Störung des Marktes begrenzt bleibt.
Die Frage wäre natürlich, was mehr Schaden anrichtet, die 100.000 geklauten, und möglicherweise auf den Markt gedumpten Coins, oder ein "gutartiger" 51%-Angriff.
Meine (schwache) Vermutung wäre, dass der Rollback bei 100.000 BTC weniger Schaden anrichten könnte.

Und wenn von den 100.000 BTC bereits 40% auf irgendeiner Börse in Alts der direkt in FIAT getauscht worden sind oder aber die Diebe damit auf Einkaufstour waren, was ist dann mit dem 40%igen Schaden?

Glaubst du nicht, daß irgendjemand darauf sitzen bleibt - die Händler oder die Exchanges?
Und kannst du dir nicht vorstellen, daß zumindest bei den Händlern und deren Kunden dadurch ein großer Vertrauensverlust entsteht, welcher sich durch Meinungen noch potenziert?

[qwk]

In der Praxis würde eine solche Attacke zeitlich wohl so ablaufen:
- Hack wird durchgeführt.
[...]
- Die Kartell-Chain startet natürlich mit Rückstand auf die Hack-Chain, also die alte Haupt-Chain. Solange sie zurückliegt, kann sie das Mining (muss aber nicht) geheim tun, um die anderen Clients nicht zu verwirren (da bin ich noch unsicher, was für das Wohlergehen des Netzwerks besser ist).
- Währenddessen minen die weiteren Miner auf der Hack-Chain weiter. Die Clients folgen der Hauptchain, da diese noch mehr PoW als die Hack-Chain
[...]
- Reorg ist abgeschlossen. Auf der Hack-Chain könnten sich aber Miner per Hardfork abspalten (siehe ETC/ETH).

Ich würde ergänzen, dass (sinnvollerweise) noch vor dem Hack steht:
- Vereinbarung zwischen Minern und Börse wird getroffen, im Falle eines Hacks so einen Rollback durchzuführen.
Ich halte es nicht für sinnvoll möglich, erst nach dem Hack die Diskussion zu führen, ob man nun den Rollback durchführen soll oder nicht.
Also sollte man sich im Hinterzimmer schon lange vorher darauf geeinigt haben "okay, wenn ein Hacker 100.000 BTC klaut, und das binnen 24 Stunden gemeldet wird, dann machen wir einen Rollback" oder ähnliches.

Der eigentliche Rollback sollte dann IMHO nicht geheim stattfinden, sondern öffentlich angekündigt werden, damit z.B. andere Börsen keine Transaktionen mehr akzeptieren, die von dem Rollback betroffen sein werden.
Auch die nicht am Rollback beteiligten Miner würden damit die Gelegenheit erhalten, einfach zähneknirschend zu akzeptieren, dass es für sie jetzt sinnvoller ist, im Zweifel an der neuen Rollback-Chain mitzuarbeiten, was die Kosten erheblich reduzieren würde.


Sich mit der Originalchain abzuspalten, erfordert in jedem Fall einen Hardfork der Bitcoin-Software.
Schließlich müsste man eine Protokolländerung einbauen, die plötzlich nicht mehr die längste Kette als "richtig" ansieht, sondern eine "willkürlich" gewählte Kette, die kürzer ist, aber bestimmte Transaktionen enthält (nämlich genau die, die vom Rollback "gelöscht" werden).
Damit sind die Anhänger der Originalchain dann die eigentlichen "Spalter", "Ungläubigen", "Frevler"

Nachdem ich nochmal über das Szenario nachgedacht habe, bleibe ich bei meiner Meinung - Frevel!

Mit der Meinung bist du ja offensichtlich nicht alleine, und auch ich tendiere dazu, das nicht "gut zu finden".
Andererseits ist es eben genau das "Spiel", auf das wir uns mit Bitcoin einlassen, insofern muss ich konsequenterweise sagen, dass ich zumindest kein wirklich gutes Argument dagegen finde.

Leider ist Spieltheorie nicht so meine größte Stärke.
Aber es läuft IMHO darauf hinaus, dass wir die Entscheidungsmöglichkeiten jedes Miners in einer Matrix abbilden könnten, und sich ergeben dürfte, dass es für jeden Miner sinnvoller ist, am Rollback teilzunehmen.

Wenn man der Ansicht ist, dass "mehr Bitcoins" auch "mehr Macht" bedeuten soll, dann kann man eine solche Attacke als legitim ansehen.

Nein. Mit "Macht" oder "mehr Bitcoins" hat das nichts zu tun.

Eigentlich geht es um die Frage, ob man das Prinzip "die längste Kette ist die richtige Kette" als fundamental für PoW ansieht, oder ob man gewillt ist, eine externe "Deutung" der "Wahrheit" stärker zu gewichten.
Wenn man Bitcoin wirklich ernst nimmt, sollte man IMHO zu ersterer Deutung neigen.

Es handelt sich übrigens nicht um eine traditionelle Double-Spend-Attacke, sondern um einen "Zensurversuch" einer Transaktion durch das Kartell.

Es ist eine traditionelle Double-Spend-Attacke.
Diese beinhaltet nämlich immer eine "Zensur" der zu doublespendenden Transaktion.

Nehmen wir nur mal an, das Kartell wird nicht von Binance gebildet, sondern von der chinesischen Regierung ...

Das ändert nichts. Auch die chinesische Regierung hat in dem Fall die Kosten zu tragen.

Nochmal:
Die Sicherheit einer Bitcoin-Transaktion entsteht daraus, dass es erheblich mehr kostet, eine Transaktion rückgängig zu machen, als sie bestehen zu lassen.
An dieser Gleichung ändert sich nichts.

[d5000]

War da nicht mal was mit einem gewissen "DAO" und "ETC",[..]?

Das ist ein himmelweiter Unterschied.
Im Falle von Ethereum hat man einen zentralisierten Hardfork durchgeführt, und damit eine neue Chain auf den Markt gebracht, in der bestimmte Transaktionen einfach ungültig waren.
In "unserem" Szenario sprechen wir davon, eine Funktion des Bitcoin-Netzwerks so zu nutzen, wie sie von den Erfindern von Bitcoin gedacht war, und wie sie auch tatsächlich regelmäßig vorkommt (bei jedem "orphaned Block").

Der Unterschied ist höchstens graduell. Die Miner, die die "Anti-Hack-Chain" minen, werden ebenfalls eine Software mit geänderten Regeln nutzen müssen. In dieser ist, genauso wie in der ETH-Hardfork-Variante, festgelegt, dass die "Hacker-Coins" und alle Derivate nicht in Blöcke eingeschlossen werden können.

Hatte grade im englischen Forum eine Diskussion dazu. Ein Unterschied ist sicherlich, dass Vitalik durch seine Premine-Coins einen großen Vorteil besitzt: er kann auf jeder auftauchenden Alternativchain, die sich als Hardfork manifestiert, die Coins einfach dumpen und damit den Preis ins Bodenlose sinken lassen.

Das kann aber eine entsprechend große Exchange, noch dazu im "Kartellverbund" mit Minern, genauso. Dieses Kartell könnten ja im Gentlemen's Agreement festlegen, dass wenn es zu einem Hardfork kommt, sie die Coins der Alternativchain dumpen.

Auch "Zentralisierung" findet hier nicht statt, denn keine zentrale Autorität führt einen solchen Rollback durch, sondern der von Bitcoin so gewollte Konsens über den freien Markt.

Selbst wenn ich Premine-Coins wie ETH insgesamt ablehnend gegenüber stehe: Seitdem die ETH-Chain funktioniert, ist Vitalik keine "zentrale Autorität" sondern auch nur ein Player im Konsensmechanismus. Er hat allerdings eine höhere Macht als derzeit jeder im Bitcoin-Netzwerk (außer vielleicht Satoshi, wenn der seine Coins noch halten und aktiv eingreifen würde). Zu Mt.Gox-Zeiten wäre die Macht von Karpeles - wenn seine Datenbank-Coins alle echt gewesen wären! - aber durchaus mit der von Vitalik vergleichbar gewesen.

Das mit den 6 Confirmations war nur ein Beispiel - gemeint war der Zeitpunkt, an dem die Hacker-Coins wahrscheinlich Schaden angerichtet haben könnten. Solange die Hackercoins noch auf der Originaladresse liegen, wäre der Rollback weniger problematisch, da nur eine einzige Transaktion bzw. eine überschaubare Gruppe von Transaktionen zu einer einzigen Entität (dem Hacker) "zensiert" werden müsste.

Wenn man "legitim" ansieht, was dank des Anreizmodells von Bitcoin "möglich" ist, kann man eigentlich auch BCH und Co. als "legitim" ansehen,

Legitim ist es sicherlich, einen Fork von Bitcoin zu schaffen.
Bitcoin ist "free software", damit darf jeder das Ding neu compilen wie er will.
BCH ist in diesem Sinne legitim, was jedoch nicht nur illegitim, sondern sogar illegal sein dürfte, ist die Behauptung, BCH sei "Bitcoin" und es so zu verkaufen.

Nun, die BCHler argumentierten beim Fork ja, sie seien der Originalbitcoin, weil sie weiter nach Satoshis Originalregeln arbeiteten (inzwischen stimmt das ja nicht mehr).
Die Frage ist dann, ab wann ist eine Regeländerung eine Änderung des Coins?
Ich stehe "moralisch" auf der Seite von Core, weil dort die meisten User und Miner stehen, aber über das Thema lässt sich sicher streiten.

Wenn morgen z.B. eine große Börse um 100.000 BTC "erleichtert" wird, ist es IMHO durchaus im Interesse der meisten Bitcoin-HODLer, wenn die daraus entstehende Störung des Marktes begrenzt bleibt.
Die Frage wäre natürlich, was mehr Schaden anrichtet, die 100.000 geklauten, und möglicherweise auf den Markt gedumpten Coins, oder ein "gutartiger" 51%-Angriff.
Meine (schwache) Vermutung wäre, dass der Rollback bei 100.000 BTC weniger Schaden anrichten könnte.

Ich würde das Risiko eines kurzzeitigen Dumps gegen das eines langfristigen Vertrauensverlustes abwägen.

Wie ich auf trantute2's Post geantwortet habe, könnte ein solcher Transaktions-Zensur-Angriff auch z.B. von der chinesischen Regierung ausgehen. Diese kann per Propaganda dann verbreiten, man müsste einen Hack rückgängig machen. Tatsächlich könnte man z.B. einem Dissidenten schaden wollen, der reichlich Spenden erhalten hatte und diese weiterverarbeiten wollte (nur ein Beispiel).

So ein Szenario von einem "echten Hack" zu unterscheiden dürfte nicht trivial sein, gerade weil es ja im Ernstfall relativ schnell gehen muss und profunde Recherche seine Zeit braucht. Deshalb wäre der Zensurangriff ein Paradigmenwechsel, den ich als User nicht unterstützen würde. Die Konsequenz: Bitcoin dumpen und auf eine andere Chain wechseln (entweder einen "Bitcoin Classic"-Hardfork ohne die Zensuraktion oder eine ganz andere Chain).

[qwk]

Die Frage wäre natürlich, was mehr Schaden anrichtet, die 100.000 geklauten, und möglicherweise auf den Markt gedumpten Coins, oder ein "gutartiger" 51%-Angriff.
Meine (schwache) Vermutung wäre, dass der Rollback bei 100.000 BTC weniger Schaden anrichten könnte.

Und wenn von den 100.000 BTC bereits 40% auf irgendeiner Börse in Alts der direkt in FIAT getauscht worden sind oder aber die Diebe damit auf Einkaufstour waren, was ist dann mit dem 40%igen Schaden?

Das hatten wir weiter oben schon.
Wenn es so ist, lohnt sich irgendwann der Rollback nicht.
Wenn er sich nicht lohnt, wird er sicher auch nicht durchgeführt.
Das ist trivial.

Glaubst du nicht, daß irgendjemand darauf sitzen bleibt - die Händler oder die Exchanges?

Wenn es "richtig" gemacht wird, mit "Gentlemen's Agreement", dürfte der Schaden vernachlässigbar sein, und könnte von der initiierenden Börse ersetzt werden.

Beim unbeabsichtigten "Rollback" von 0.8 auf 0.7 hat es AFAIR auch einen Schaden von rund 10.000 BTC gegeben, der dann einfach von ein paar Minern, die "zusammengelegt" haben, ersetzt wurde. Die genauen Details habe ich aber nicht mehr im Kopf.

Und kannst du dir nicht vorstellen, daß zumindest bei den Händlern und deren Kunden dadurch ein großer Vertrauensverlust entsteht, welcher sich durch Meinungen noch potenziert?

Ja.
Die Meinungen sind hier mit Sicherheit das größte Problem.
Wenn "wir" einen solchen Rollback durchführen, haben die Shitcoiner "Field Day", die Gelegenheit lassen sie sich nicht nehmen.
Die große Frage ist ja eben nicht, ob Schaden entsteht, sondern was einen größeren Schaden verursacht.

Aus genau dem Grund würde ich mir ja wünschen, dass eine solche Möglichkeit wie der Rollback bereits heute ausgiebig diskutiert wird, nach Möglichkeit vorurteilsfrei.
Dabei muss man sich auch nicht auf ein "richtig" oder "falsch" einigen, sondern man kann damit wenigstens das Bewusstsein der Leute schärfen, dass eine solche Möglichkeit existiert und auch nicht bloße Theorie sein muss.
Und dass zugleich ein solche Rollback, so er denn durchgeführt würde, eben keinesfalls einen Akt der "Zentralisierung" darstellt.


In diesem Sinne: Niemand hat die Absicht, einen Rollback zu errichten!

[qwk]

In "unserem" Szenario sprechen wir davon, eine Funktion des Bitcoin-Netzwerks so zu nutzen, wie sie von den Erfindern von Bitcoin gedacht war, und wie sie auch tatsächlich regelmäßig vorkommt (bei jedem "orphaned Block").

Der Unterschied ist höchstens graduell. Die Miner, die die "Anti-Hack-Chain" minen, werden ebenfalls eine Software mit geänderten Regeln nutzen müssen.

Nein.
Sie verwenden die ganz normale, vollständig unveränderte Bitcoin-Software.
Sie müssten lediglich ihre Mining-Software dahingehend "einstellen", dass sie von einem bestimmten Ursprungsblock aus mint.
Ich kenne mich mit Mining-Software nicht aus, aber es würde mich sehr wundern, wenn eine solche Funktion in der Mining-Software von großen Mining-Pools nicht längst existiert, schließlich kann es zahlreiche Szenarien geben, in denen man einen solchen "Admin Override" mal brauch könnte.

In dieser ist, genauso wie in der ETH-Hardfork-Variante, festgelegt, dass die "Hacker-Coins" und alle Derivate nicht in Blöcke eingeschlossen werden können.

Nein.
Es steht den Minern frei, jede beliebige Transaktion aufzunehmen oder nicht aufzunehmen.
Wenn sie im Falle eines Double-Spends (und letztlich geht es genau darum) die Transaktion mit den höheren Gebühren aufnehmen möchten, ist das ihr gutes Recht.

Hatte grade im englischen Forum eine Diskussion dazu. Ein Unterschied ist sicherlich, dass Vitalik durch seine Premine-Coins einen großen Vorteil besitzt: er kann auf jeder auftauchenden Alternativchain, die sich als Hardfork manifestiert, die Coins einfach dumpen und damit den Preis ins Bodenlose sinken lassen.

Ist zwar off-topic, aber durchaus ein gutes Argument, weshalb die meisten Prmine-Coins als "praktisch zentralisiert" betrachtet werden müssen.

Das kann aber eine entsprechend große Exchange, noch dazu im "Kartellverbund" mit Minern, genauso. Dieses Kartell könnten ja im Gentlemen's Agreement festlegen, dass wenn es zu einem Hardfork kommt, sie die Coins der Alternativchain dumpen.

Das wäre eine Möglichkeit, allerdings dürfte es in dem Fall überhaupt keinen "Sekundärmarkt" für diese Alternativchain geben.
Schließlich müsste dazu eine Börse beide Forks als eigene Währungen listen.

BCH ist in diesem Sinne legitim, was jedoch nicht nur illegitim, sondern sogar illegal sein dürfte, ist die Behauptung, BCH sei "Bitcoin" und es so zu verkaufen.

Nun, die BCHler argumentierten beim Fork ja, sie seien der Originalbitcoin, weil sie weiter nach Satoshis Originalregeln arbeiteten (inzwischen stimmt das ja nicht mehr).

Das hat noch nie gestimmt. Aber lass uns hier nicht zu off-topic werden.

Die Frage wäre natürlich, was mehr Schaden anrichtet, die 100.000 geklauten, und möglicherweise auf den Markt gedumpten Coins, oder ein "gutartiger" 51%-Angriff.
Meine (schwache) Vermutung wäre, dass der Rollback bei 100.000 BTC weniger Schaden anrichten könnte.

Ich würde das Risiko eines kurzzeitigen Dumps gegen das eines langfristigen Vertrauensverlustes abwägen.

Ganz genau.
Die Frage ist, eben, ob das nicht vom "Markt" sogar als "positiv" gewertet würde, wenn solche "Sicherheitsmechanismen" in Bitcoin "greifen".
Wir reden ja nicht nur von den "Idealisten", sondern vom Markt als ganzem, und da tummeln sich eben viele, die z.B. nach dem MtGox-Hack auch eher nach der "starken Hand" geschrien haben.

Wie ich auf trantute2's Post geantwortet habe, könnte ein solcher Transaktions-Zensur-Angriff auch z.B. von der chinesischen Regierung ausgehen.

Nochmal: die Kosten dafür trägt in dem Fall die chinesische Regierung.
Auch, wenn sie das "per Gesetz" erzwingt oder dergleichen, denn Kosten "verschwinden" nicht einfach, nur weil man sie nicht direkt "bezahlt".
Sie entstehen dann eben an anderer Stelle.
Wenn also die Frage lauten soll: kann die chinesische Regierung einem Dissidenten einen Schaden i.H.v. 10.000 EUR anrichten, indem sie 30.000 EUR ausgibt, dann lautet die Antwort sicher ja. Aber das ist trivial.

So ein Szenario von einem "echten Hack" zu unterscheiden dürfte nicht trivial sein, gerade weil es ja im Ernstfall relativ schnell gehen muss und profunde Recherche seine Zeit braucht. Deshalb wäre der Zensurangriff ein Paradigmenwechsel, den ich als User nicht unterstützen würde. Die Konsequenz: Bitcoin dumpen und auf eine andere Chain wechseln (entweder einen "Bitcoin Classic"-Hardfork ohne die Zensuraktion oder eine ganz andere Chain).

Das Problem wäre, dass das in jeder PoW-Coin möglich ist.
Wohin willst du dann wechseln?
Es wäre ja nur in Coins unmöglich, die gerade nicht einen Majority Consensus nutzen, sondern eine wie auch immer geartete "Community-Entscheidung", aber wie soll die ermittelt werden?
Deine Flucht bringt dich da nicht weiter

Satoshis brilliante Idee, die fundamentale Problematik mit dem längsten Proof of Work zu lösen, ist derzeit der einzige bekannte Ansatz, wie sich das machen lässt.
Und genau dieser Ansatz erlaubt einen Rollback wie hier beschrieben.

[trantute2]

Wenn ich einen "Rollback" fahren wollte ohne das Protokoll zu ändern, also (nur) eine 51%-Attacke durchführen wollte, dann muss ich doch parallel zur Hauptchain auch auf einer alternativen Chain minen. D.h. ich muss meine Hashleistung aufteilen.

Nein. Wenn "ich" eine 51%-Attacke durchführe, mine ich nur noch auf meiner alternativen Chain.

Dieser Fall ist in meiner Aussage enthalten.

Ausserdem muss die Alternativchain die Realtität abbilden. Da müssen also Transaktionen drauf sein, welche irgendwie Sinn machen. Denn was bringt eine Alternativchain, wenn sie leer ist?

Ja, ja, und "genau so viel wie eine volle Chain".
Man kann natürlich auch eine "leere" Alternativchain aufbauen, das hat sogar (fast vernachlässigbare) Performance-Vorteile.
Aber natürlich wird man, schon aus Gründen der Akzeptanz, aber auch der Fees wegen, die bereits in der Original-Chain existierenden Transaktionen aufnehmen.

Nur irgendwann divergiert das, das wäre dann praktisch ein Fork.

D.h., dass man im Idealfall immer eine Hashverteilung von nahe 51% für die Hauptchain und 49% für die Alternativchain für ein bestimmtes Zeitintervall bräuchte.

Nein. Je mehr Rechenleistung ich für meine Alternativchain aufwenden kann, desto besser.

Schon klar. Ich spreche aber eigentlich davon, dass jemand eine Fallbackchain nebenher miniert. Und die sollte immer ähnlich lang wie die echte Chain sein damit man die Hauptchain im Falle eines Hacks leichter überholen kann.

Je kürzer das Zeitintervall, desto niedriger kann wohl die Hashleistung für die Alternativchain ausfallen.

Jein. Je weniger Rechenleistung ich habe, desto länger dauert es, bis ich die längere Kette habe, damit steigen die Kosten für meinen Rollback erheblich an.

Wenn ich weniger als 50% habe, dann dauert es unendlich lang. Da sind wir uns wohl einig. Wenn der Rückstand an Blöcken in der Alternativchain möglichst klein ist, so minimiere ich die Hashleistung nach dem Hack um aufzuschliessen. Das sollte die Grundaussage sein.

alle Miner, welche auf der Alternativchain bzw. Fallbackchain hashen, verdienen nichts, solange kein Hack passiert.

Nein, sie "verdienen" in der Alternativchain genauso viel wie in der Original-Chain.
Da die Alternativchain insgesamt weniger Rechenleistung hat, verdienen sie eher mehr.
Nur verlieren sie ggf. die Block Rewards, die sie bereits in der Original-Chain erhalten hatten.
Wenn dazu noch das "Gentlemen's Agreement" eingehalten wird, verdienen sie tatsächlich in der Alternativchain nichts oder nur sehr wenig.

Ein Blockreward in der Alternativchain ist wertlos und demnach kein echter Reward. Ausser die Alternativchain wird auch gehandelt, dann hätten wir einen Fork und alles würde durcheinander gehen.

Und die Aussage "solange kein Hack passiert", ist unsinnig, da an der Alternativchain nur dann gemint wird, wenn ein Hack passiert.

Das setzt voraus, dass der Hack rechtzeitig entdeckt wird. Ich denke wir reden aneinander vorbei. Meine Voraussetzung ist, dass ein Hack passiert und nachträglich entdeckt wird. Und so wird das praktisch immer ablaufen. Kunden beschweren sich, die Börse prüft und der Hack wird entdeckt. Nun braucht man eine Alternativchain, welche von der Länge möglichst nah an der Hauptchain ist. Ansonsten kann man den "Angriff" vergessen.

Wer würde sowas für irgendeine Kackbörse machen, welche nicht in der Lage ist, die ihr anvertrauten Funds sicher zu verwahren?

Aus dem Grund müsste die Börse die Miner dafür bezahlen.
Schließlich verlieren die Miner in dem Szenario zunächst einmal Geld.
Wie ich weiter oben schätze, über 30 BTC pro Block.
Wenn aber die "Kackbörse" bereit ist, den Minern für das Minen der neuen Blockchain 100 BTC pro Block zu bezahlen, lohnt es sich für die Miner.

Das kann sogar dezentral geschehen, indem die Börse einfach eine sinnlose Leertransaktion mit einer Fee von z.B. 100 BTC in jeden Block packt.
Damit diese Transaktionen dann nur in der Alternativchain gemint werden können, müssten diese abhängig von einem Double Spend der zu rollbackenden Transaktion sein.

Dann rechne mal nach 7000 BTC verloren aber 100 BTC pro Block. Das macht 70 Böcke oder ca. 12h. Wenn der Hack länger als 12h her ist, macht dieses Vorgehen keinen Sinn.

Was ihr hier diskutiert ist ein Problem von Proof of Stake und nicht von Proof of Work und deshalb auch nicht von Bitcoin.

Das ergibt keinen Sinn.
Die 51%-Attacke ist eine inhärente Eigenschaft von Proof of Work.
Sie ist, wenn man so will, die Umkehrfunktion der Sicherheitsfunktion von PoW.

Natürlich gibt das Sinn da man bei PoS beliebig viele Alternativchains nebenher pflegen kann, ohne irgendwelchen Aufwand.

Solange sich die Protokollentwickler, also die Bitcoin-Entwickler, da raushalten bleibt so ein Rollback praktisch unmöglich.

Komplett falsch. Die Entwickler haben in diesem Fall nichts damit zu tun.

Komplett richtig! Da die Entwickler nämlich bei einem Hardfork hardcoden können, welche Chain die richtige ist. Hat man die Entwickler auf seiner Seite, dann bekommt man auch den Rollback hin. So lief das bei Ethereum.

Insgesamt habe ich den Eindruck, dass du noch nicht so ganz 100%-ig verstanden hast, wie Proof of Work tatsächlich funktioniert.

Dito.

Die 51%-Attacke ist, wenn man so will, kein "Angriff", sondern der "ganz normale" Konsensmechanismus in PoW.

Bestreite ich nicht.

Zu glauben, man könnte irgendwie eine "externe Wahrheit" einer "echten Kette" über die Mechanismen des Protokolls erzwingen, ist ein Irrglaube.
In Bitcoin ist die längste Kette die richtige Kette.

Wie ich oben schrieb, die Entwickler können bei einem Hardfork hardcoden, welche Chain die richtige ist. Hat man die Entwickler auf seiner Seite, dann bekommt man auch den Rollback hin. So lief das bei Ethereum.

[trantute2]

Wenn ich einen "Rollback" fahren wollte ohne das Protokoll zu ändern, also (nur) eine 51%-Attacke durchführen wollte, dann muss ich doch parallel zur Hauptchain auch auf einer alternativen Chain minen. D.h. ich muss meine Hashleistung aufteilen.

(Editiert) Eine Alternativchain dauerhaft zu minen wäre wohl nahezu unmöglich (da die Miner meistens unnötig Hashleistung abzweigen würden) und auch unnötig.

In der Praxis würde eine solche Attacke zeitlich wohl so ablaufen:
- Hack wird durchgeführt.
- Hack wird bemerkt (vermutlich nach mehreren Blöcken)

Nochmals, was, wenn der Hack erst nach mehr als einem Tag entdeckt wird? Das sind mindestens 144 Blöcke. Wie willst Du mit einem 51%-Angriff eine Alternativchain in übersichtlicher Zeit dazu bekommen, dass sie die Längste wird? Selbst bei 75% Hashleistung dauert sowas mehrere Tage. Da ist es einfacher einen Fork durchzuführen bzw. wäre das ein Fork.

Ergo stellt sich die ganze Diskussion nicht. Wenn alle bzw. fast alle Miner auf der Alternativchain minen, dann kann man die Hauptchain eh vergessen. Aber ob eine einzige Börse es hinbekommt so viele Miner hinter sich zu versammeln, für die Zeitspanne um bis zur Hauptchain aufzuholen, das bezweifel ich sehr stark.

Bei PoS kann man für jeden Block der gefunden wird eine eigene Chain nebenher forken, vielleicht immer 14 Tage rückwirkend unter der Annahme, dass man einen Hack immer innerhalb von 14 Tagen entdeckt. Ältere Chains werden dann gelöscht. So hat man eine konstante Anzahl an Alternativchains, an welcher man aktuell ansetzen kann, wenn der Hack entdeckt wird. Vorausgesetzt wiederum, dass man mehr als 50% der Forker im PoS-Netzwerk dazu bekommt die gleichen Chains nebenher zu pflegen. So zumindest meine naive Vorstellung von PoS.

[d5000]

Ich würde ergänzen, dass (sinnvollerweise) noch vor dem Hack steht:
- Vereinbarung zwischen Minern und Börse wird getroffen, im Falle eines Hacks so einen Rollback durchzuführen.
Ich halte es nicht für sinnvoll möglich, erst nach dem Hack die Diskussion zu führen, ob man nun den Rollback durchführen soll oder nicht.
Also sollte man sich im Hinterzimmer schon lange vorher darauf geeinigt haben "okay, wenn ein Hacker 100.000 BTC klaut, und das binnen 24 Stunden gemeldet wird, dann machen wir einen Rollback" oder ähnliches.

Sehe ich auch so. Zu erörtern wäre, ob "im Hinterzimmer" in dem Fall besser oder schlechter wäre als "öffentlich und transparent". Im zweiteren Fall würden weniger Spekulationen aufkommen, ob nicht doch die chinesische Regierung (oder irgend ein anderer "böser" Akteur) dahintersteckt.

Sich mit der Originalchain abzuspalten, erfordert in jedem Fall einen Hardfork der Bitcoin-Software.
Schließlich müsste man eine Protokolländerung einbauen, die plötzlich nicht mehr die längste Kette als "richtig" ansieht, sondern eine "willkürlich" gewählte Kette, die kürzer ist, aber bestimmte Transaktionen enthält (nämlich genau die, die vom Rollback "gelöscht" werden).

Man nimmt einfach einen Block als "checkpoint", in dem sich die anderen abgespalten haben. Da braucht man nicht explizit "die Hackertransaktion legitimieren".

Damit sind die Anhänger der Originalchain dann die eigentlichen "Spalter", "Ungläubigen", "Frevler"

Nicht, wenn sie erheblich mehr sind als die "Rollbacker". Siehe den nächsten Punkt ...

Aber es läuft IMHO darauf hinaus, dass wir die Entscheidungsmöglichkeiten jedes Miners in einer Matrix abbilden könnten, und sich ergeben dürfte, dass es für jeden Miner sinnvoller ist, am Rollback teilzunehmen.

Nehmen wir aber einmal an, die Entscheidung sei äußerst umstritten. Eine Gruppe anderer großer Akteure, z.B. Börsen und große Hodler, kündigt an, einen Hardfork zu unterstützen, die den Rollback ignoriert und stattdessen den Hack-Block als Checkpoint nutzt.
Es zeichnet sich die Möglichkeit ab, dass diese Chain mehr wert werden könnte als die "nach dem Konsensmechanismus längste".
Allein diese Drohung könnte die Nicht-Kartell-Miner nun davon abhalten, an der Rollback-Chain teilzunehmen, und eventuell sogar das Kartell zerfallen lassen.
Ein solches Szenario ist imho ebenfalls als Teil des Konsenses und der Anreizmechanismen anzusehen, die Bitcoin so stark machen. Nicht nur die "Längste-Chain-Regel". Sondern auch die "Macht der Massen".

Nein. Mit "Macht" oder "mehr Bitcoins" hat das nichts zu tun.

Eigentlich geht es um die Frage, ob man das Prinzip "die längste Kette ist die richtige Kette" als fundamental für PoW ansieht, oder ob man gewillt ist, eine externe "Deutung" der "Wahrheit" stärker zu gewichten.
Wenn man Bitcoin wirklich ernst nimmt, sollte man IMHO zu ersterer Deutung neigen.

Mir geht es um das Rollback-Agreement. Meines Erachtens handelt es sich hier durchaus um eine "externe Deutung einer Wahrheit". Diese wird nun mit Macht und Geld in Konsens ("längste Chain") umgesetzt.

Das kann wie gesagt jeder, der diese Macht hat, umsetzen. Da wie gesagt es nicht trivial ist, gute von bösen Absichten zu unterscheiden, ist jeder Versuch abzulehnen. Da eine Börse dadurch ab einer bestimmten Marktmacht die Möglichkeit erhält, ihre Kosten für Sicherheit zu senken und damit ihre Marktmacht noch weiter zu steigern, wäre selbst ein Schutz vor einem Hack per Gentlemen's Agreement aus meiner Sicht eine eher "böse" Absicht.

Das ändert nichts. Auch die chinesische Regierung hat in dem Fall die Kosten zu tragen.

Das ist klar, aber darum geht es mir in diesem Fall nicht. Stattdessen auf die Entscheidung der User, die Rollback-Attacke gutzuheißen oder nicht (und dann eventuell einen Hardfork gegen den Rollback zu unterstützen).

Der Unterschied ist höchstens graduell. Die Miner, die die "Anti-Hack-Chain" minen, werden ebenfalls eine Software mit geänderten Regeln nutzen müssen.

Nein.
Sie verwenden die ganz normale, vollständig unveränderte Bitcoin-Software.
Sie müssten lediglich ihre Mining-Software dahingehend "einstellen", dass sie von einem bestimmten Ursprungsblock aus mint.

Zwar kann man das tatsächlich auch mit einem Double Spend erreichen. Das habe ich in der ersten Antwort nicht bedacht.
Das Ergebnis ist aber das gleiche. Es wird willkürlich von einem mächtigen Akteur oder Kartell festgelegt, dass es eine bestimmte Transaktion nicht geben darf.
Ob das jetzt per impliziter Androhung von Verlusten wie bei ETH oder per "Bestechung" passiert, ist m.E. gleichgültig.
Im Endeffekt ist es aber tatsächlich so wie du schreibst: entscheidend ist, was die Masse an Usern interpretiert und draus macht.

Ich würde aber in einem solchen Fall die Gruppe unterstützen, die den Rollback ablehnt.

Die Frage ist, eben, ob das nicht vom "Markt" sogar als "positiv" gewertet würde, wenn solche "Sicherheitsmechanismen" in Bitcoin "greifen".
Wir reden ja nicht nur von den "Idealisten", sondern vom Markt als ganzem, und da tummeln sich eben viele, die z.B. nach dem MtGox-Hack auch eher nach der "starken Hand" geschrien haben.

Die Gefahr besteht sicherlich. Die Idealisten würden sich aber wohl abwenden. Und die sind m.E. ziemlich wichtig.

Das Problem wäre, dass das in jeder PoW-Coin möglich ist.
Wohin willst du dann wechseln?

Ist in der Tat eine schwierige Frage.
Wenn es eine "Anti-Rollback-Hardfork-Chain" gibt, dann diese. Denn dann dürfte klar sein, woher die User dieser Chain stammen: von der Gruppe, die solche Aktionen ablehnen.
Aber mathematisch beweisbar ist das natürlich nicht. Man müsste eben "auf der Hut" bleiben, das solche Rollbacks im neuen Coin nicht mehr vorkommen, und jeden Versuch energisch durch weitere Hardforkdrohungen bekämpfen.

Wegen dieser "traumhaften Aussichten" würde ich behaupten, dass ein einziger erfolgreicher Rollbackversuch in jedem Fall zu Instabilität und zu einer Schwächung von Bitcoin insgesamt führen würde, und deshalb schon der erste Versuch bekämpft werden sollte. Wenn die Rollback-Gegner Glück haben, ist schon eine Hardforkdrohung effektiv.

tl;dr: Ich verstehe deine Position schon, aber ich glaube, dass der Konsensmechanismus von Bitcoin eben auch andere Aspekte als die "Längste-Chain-Regel" umfasst, insbesondere die Reaktionen der User auf alles, was sich als Machtmissbrauch interpretieren lässt.
Wenn die Börsen dies bedenken und ihren langfristigen Erfolg nicht gefährden wollen, werden sie deshalb vielleicht von selbst von solchen Agreements Abstand nehmen. Das wäre das beste für alle, imo.