Kann ein "Rollback" durchgeführt werden, und ist das legitim?

[hodlcoins]

Da würde man ja für eine Zeit lang den Leuten das Geld klauen, auch wenn es später mal wiederkommen soll, solange man nicht in die Missgunst der Miner fällt.

1. nein, man würde (im Gentlemen's Agreement Szenario) niemandem das Geld klauen.

Helf mir mal kurz. Oder auch: Man möge mich korrigieren. Bitte.

Jetzt mal ohne hürden, nur der logische Ablauf.
Wir finden heute einen Hack und machen den Rollback. Hackdatum war der 1.Mai.
Also müssen "alle" Miner ab Block "1. Mai" eine neue Chain aufbauen, nur ohne die bösen Transaktionen und mit allen guten. Also: Alle überweisungen aus dieser speziellen geknackten Wallet sind nil.
Die Hashleistung der Hackchain fällt schlagartig ab, die Cleanchain dagegen bekommt 100%.
Ich habe aber jetzt eben eine Überweisung gemacht, vor dem Rollback.
Die Miner packen rein was geht, da sie satt Gebühren kassieren können, aber irgendwann sind Blocks voll. Du kannst die ganzen Transaktionen aus den letzten 10 Tagen nicht in einen Block defragmentieren.
Geh also davon aus, das alle Blöcke voll waren und wirklich nur die eine Transaktion fehlt, die aus der Knackwallet die 1 Mio BTC abgeführt hat. Worst case halt.
Dann brauchen die Miner doch wieder so ungefähr 10 Tage, um die ganzen "guten" Transaktionen wieder nachzuspielen.
Meine Überweisung von heute morgen steht also im Client als ausgeführt, aber irgendwie bekommt der keine Blocks mehr und weitermachen kann ich auch nicht, da Hashleistung 0.
In etwa 10 Tagen, wenn die Miner die Cleanchain aufgeholt haben, merkt mein Client das die Cleanchain länger ist und lädt sie herunter. Das dauert dann auch noch ein bissel, wenn auch nur Stunden.
Aber:
10 Tage lang war das Netz platt, weil die Miner auf der Cleanchain waren, diese aber wegen der Länge von den Clients  ignoriert wurde.
Auf der Hackchain dagegen geht nichts mehr, weil die Hashleistung "0" ist.

Wenn du den Rollback via Announcement an die Clients verteilst und die ab dem Moment des Rollbacks die Cleanchain verwenden, wird's auch nicht wirklich besser:
Meine Überweisung von heute morgen ist da nicht drin, d.h. ich könnte einen Doublespend machen.
Wen immer ich bezahlt habe ist auch gearscht: Mit "Smartclient" hat er sein Geld noch nicht, ohne kann er es nicht weiterverwenden.

Effektiv bleibt alles so wie es ist, aber in der Übergangszeit wird es erhebliche Probleme geben weil das System außer Gefecht ist.

Evtl. müsste die Diff angepasst werden, so das die Blocks in wenigen Minuten durch die Miner rauschen. Dann ginge das, weil es keiner merken würde. "Oh, die Confirmations kommen heute aber nicht so..."
Wie man das Hacksicher macht weiß ich aber auch nicht.

Oder bin ich da auf dem falschen Dampfer? Überseh ich was?

[trantute2]

Oder bin ich da auf dem falschen Dampfer? Überseh ich was?

Imho liegst Du vollkommen richtig. Wenn der Hack nicht instantan erkannt wird so kannst Du eine 51%-Attacke bei Proof of Work knicken, weil das gesamte Netzwerk durcheinander gewürfelt wird.

Schon die Idee, die alten "guten" Transaktionen in die "gute" Chain mit aufzunehmen ist nicht praktikabel weil dafür die Börse ihre Transaktionshistorie für alle "guten" Miner veröffentlichen muss. Prinzipiell reicht natürlich die Veröffentlichung der "schlechten" Transaktionen. Aber an diesen hängen ja auch wieder zeitlich dahinter liegende Transaktionen. Bei vielen Stunden zwischen Hack und Rollback sind diese Transaktionen im Bitcoin-DAG auch schon wieder mit "guten" Transaktionen verbandelt (gewaschen). Wie dröselt man das bitte nachträglich auf sodass allen Genüge getan ist?

Geht nicht!

Was die zeitliche Aufholjagd angeht so war meine Idee, dass man parallel immer eine alternative Chain miniert, man müsste dann alle Börsentransaktionen per default rauslassen. Je länger aber der Startpunkt der alternativen Chain in der Vergangenheit liegt, desto leerer werden die Blöcke, da Transaktionen weggelassen werden müssen, welche von den Börsentransaktionen "erben". Wenn man die Hauptchain überholt kann man alle "guten" Transaktionen auf der neuen Hauptchain broadcasten. Dann fehlen aber wieder alle Transaktionen, welche auf diesen aufbauen. Ein heilloses Durcheinander auch in diesem Fall.

Ich halte solch einen nachträglichen Rollback so wie Du ihn beschreibst und was in meiner Birne so vor sich geht für nicht machbar. Bei einem Rollback, so wie d5000 ihn beschreibt, also bei instantaner Erkennung des Hack, wären die Chance jedoch relativ gut. Wobei solch ein Fall wohl sehr unwahrscheinlich ist bzw. wenn eine Börse einen Hack so schnell erkennen kann, dann ist ein Rollback gar nicht nötig.

Wenn man jedoch Börsenbetreiber ist und eine gute Verbindung zum Chef der Tocken-Entwickler hat, so kann man diesen bitten, das Protokoll derart zu ändern, dass die "schlechte" Chain ignoriert wird. Fertig ist die Laube. Und nur das wäre ein wirkliches Problem bei einem PoW-Token.

[LibertValance]

Also zur rein technischen Machbarkeit kann ich nicht viel sagen, da ich technisch nicht so stark drin bin, wie manch anderer hier. Sehr interessant übrigens, eure Gedankengänge von technischer Seite.

Aber von fundamentaler Seite kann ich nur sagen:
Ein Rollback wäre eine Katastrophe für den BTC und würde dessen herausragendes Merkmal, nämlich die Unabänderlichkeit der vergangenen Blöcke, zerstören.
Den Vertrauensverlust, der daraus ensteht KANN die Rückabwicklung eines Diebstahls gar nicht aufwiegen. Egal ob es um 7k BTC geht, um 70k oder 700k.
Das wäre ungefähr so, wie wenn die Alchemisten doch noch einen Weg finden, Eisen in Gold zu verwandeln. Was wäre Gold dann noch wert?

Wer sollte dieses übermächtige Instrument je richtig dosiert einsetzen?
Wer hat das letzte Wort in der Angelegenheit?
Rollback für welchen Fall? Hacks? Wie weist man einen Hack nach? Senden an falsche Adresse? Zählt das auch?
Als nächstes kommt jemand daher, der seine Privkeys verloren hat. Er hat aber noch den Key der Adresse, von der er es an die nun verlorene Adresse gesendet hat, bittet also um Rücknahme der Transaktion.

Wo zieht man die Grenzen und wo beginnt vogelfreie Willkür?
Das ist fast wie mit der Einführung von Todesstrafe und Folter... manchmal würde man wünschen, es gäbe sie, weil es einem gerecht erscheint. Aber die Konsequenzen sind dramatisch und nicht kontrollierbar. Also: Finger weg. Die Geister die wir riefen werden wir sonst nicht mehr los.

[Chris601]

Ein Rollback wäre eine Katastrophe für den BTC und würde dessen herausragendes Merkmal, nämlich die Unabänderlichkeit der vergangenen Blöcke, zerstören.

Du hast ein paar Denk- oder Verständnisfehler in deinen Vorstellungen.

Der wichtigste ist eben genau dieser zitierte Satz.

Vergangene Blöcke sind -und waren nie- unveränderbar. Mit jedem fortschreitenden Block wird es eben nur teurer, das rückwirkend zu tun. Und bei Bitcoin gelangen wir da eben schnell in sehr große Dimensionen.

btw: Vielen Dank für dieses tolle Thema und die vielen Gedanken dazu. Im Grunde finde ich QWKs Startposting absolut passend und schließe mich diesen Gedanken weitestgehend an. Gleichzeitig wäre es für das BTC-Ökosystem auch hier besser, wenn sich kein Kartell bilden würde.

[qwk]

Wenn ich einen "Rollback" fahren wollte ohne das Protokoll zu ändern, also (nur) eine 51%-Attacke durchführen wollte, dann muss ich doch parallel zur Hauptchain auch auf einer alternativen Chain minen. D.h. ich muss meine Hashleistung aufteilen.

Nein. Wenn "ich" eine 51%-Attacke durchführe, mine ich nur noch auf meiner alternativen Chain.

Dieser Fall ist in meiner Aussage enthalten.

Du sprichst einfach von einem anderen "Szenario".
Du gehst von einer Art "Backup-Chain" aus, die immer parallel zur Main-Chain läuft, und bei Bedarf wird auf die umgeschalten.
Das ist bei POS prinzipiell (theoretisch) machbar, wenn auch praktisch auch unmöglich.
Man müsste schließlich für jede einzelne Transaktion stets eine neue Alternativ-Chan bilden, und diese dauerhaft weiterführen, um für jede zu rollbackende Transaktion einen Fallbach zu haben. Das werden sehr schnell sehr viele Alt-Chains, und irgendwann reicht auch die Speicherkapazität aller Google Rechenzentren zusammen dafür nicht mehr aus.

Insofern ist der Ansatz zum Scheitern verurteilt.
Abgesehen davon ist er natürlich auch in PoW unnötig teuer.

Du hast einfach deinen eigenen "Ansatz" entworfen, und gehst nun in deiner Argumentation von diesem aus.
Das ist aber nicht das Szenario für einen Rollback, den ich hier anspreche.
Und das ist der Grund, weshalb wir hier ein wenig aneinander vorbei reden.

"Mein" Rollback ist letztlich nichts anderes als eine "stinknormale" 51%-Attacke.
Man entscheidet sich nachdem ein Hack passiert ist, dazu, ab dem Block vor dem Hack neu zu minen, und hat irgendwann eine längere Kette als die aktuell gültige.

Dann rechne mal nach 7000 BTC verloren aber 100 BTC pro Block. Das macht 70 Böcke oder ca. 12h. Wenn der Hack länger als 12h her ist, macht dieses Vorgehen keinen Sinn.

Ja, ganz genau, davon reden wir hier.
Dieser nachträgliche Rollback ist sehr kostspielig, und er wird umso kostspieliger, je mehr Blöcke ich rollbacken muss.
Das bedeutet eben auch, dass es sich nur bei sehr großen Beträgen überhaupt lohnt, also tatsächlich realistisch nur als Option in Frage kommt, wenn z.B. einer Börse zehntausende BTC geklaut werden und dies frühzeitig bemerkt wird.

Solange sich die Protokollentwickler, also die Bitcoin-Entwickler, da raushalten bleibt so ein Rollback praktisch unmöglich.

Komplett falsch. Die Entwickler haben in diesem Fall nichts damit zu tun.

Komplett richtig! Da die Entwickler nämlich bei einem Hardfork hardcoden können, welche Chain die richtige ist.

Das ist wieder eine andere Variante des Rollback, und hat nichts mit der hier beschriebenen, vom Bitcoin-Protokoll so vorgesehenen, und auch in der Praxis regelmäßig vorkommenden* Variante zu tun.

* jeder orphaned Block führt zu so einem Rollback, wenn auch i.d.R. nur für eine einzige Confirmation

[qwk]

Ich würde ergänzen, dass (sinnvollerweise) noch vor dem Hack steht:
- Vereinbarung zwischen Minern und Börse wird getroffen, im Falle eines Hacks so einen Rollback durchzuführen.
Ich halte es nicht für sinnvoll möglich, erst nach dem Hack die Diskussion zu führen, ob man nun den Rollback durchführen soll oder nicht.
Also sollte man sich im Hinterzimmer schon lange vorher darauf geeinigt haben "okay, wenn ein Hacker 100.000 BTC klaut, und das binnen 24 Stunden gemeldet wird, dann machen wir einen Rollback" oder ähnliches.

Sehe ich auch so. Zu erörtern wäre, ob "im Hinterzimmer" in dem Fall besser oder schlechter wäre als "öffentlich und transparent". Im zweiteren Fall würden weniger Spekulationen aufkommen, ob nicht doch die chinesische Regierung (oder irgend ein anderer "böser" Akteur) dahintersteckt.

Genau deswegen will ich die Diskussion hier führen, damit so etwas eben nicht notwendigerweise nur im Hinterzimmer ablaufen muss.

Letztlich muss einem klar sein, dass es solche Absprachen in den Hinterzimmern bereits heute geben kann, und somit die Möglichkeit besteht, dass wir eines Tages einen solchen Rollback erleben werden, ob uns das gefällt oder nicht.
Das ist somit eine Eigenschaft von Bitcoin, und ich denke, jeder Nutzer hat das Recht, darüber informiert zu sein.
Wenn ihm das nicht "gefällt", muss er sich eben im Zweifelsfall eine andere Coin suchen, wo so etwas nicht möglich ist (sofern es so etwas gibt)

Sich mit der Originalchain abzuspalten, erfordert in jedem Fall einen Hardfork der Bitcoin-Software.
Schließlich müsste man eine Protokolländerung einbauen, die plötzlich nicht mehr die längste Kette als "richtig" ansieht, sondern eine "willkürlich" gewählte Kette, die kürzer ist, aber bestimmte Transaktionen enthält (nämlich genau die, die vom Rollback "gelöscht" werden).

Man nimmt einfach einen Block als "checkpoint", in dem sich die anderen abgespalten haben. Da braucht man nicht explizit "die Hackertransaktion legitimieren".

Je länger ich darüber nachdenke, umso mehr lehne ich eine solche "Nicht-Rollback-Coin" ab.
Ich lasse mich auf das "Spiel" Bitcoin ein, weil ich der Überzeugung bin, dass die unbestechliche Entscheidung des Protokolls die Grundlage einer Währung ist, der ich ein bestimmtes, berechenbares Vertrauen entgegen bringen kann.
Wenn das (auch aus noch so gutgemeinten Gründen) durch eine "Community-Entscheidung" darüber, welche Coin denn nun die "Richtige" ist, ersetzt wird, öffnet das IMHO der Willkür Tür und Tor.

So wenig mir also ein Rollback "schmecken" mag, so sehr muss ich ihn in letzter Konsequenz akzeptieren.

Damit sind die Anhänger der Originalchain dann die eigentlichen "Spalter", "Ungläubigen", "Frevler"

Nicht, wenn sie erheblich mehr sind als die "Rollbacker". Siehe den nächsten Punkt ...

Präzisierung: wenn sie mehr Rechenleistung dauerhaft auf ihre Chain anwenden können.

Nehmen wir aber einmal an, die Entscheidung sei äußerst umstritten. Eine Gruppe anderer großer Akteure, z.B. Börsen und große Hodler, kündigt an, einen Hardfork zu unterstützen, die den Rollback ignoriert und stattdessen den Hack-Block als Checkpoint nutzt.

Dieser Hardfork ist dann eben nicht mehr Bitcoin.
Es mag sogar sein, dass in der öffentlichen Wahrnehmung dieser Hardfork als der "echte" Bitcoin angesehen wird, so wie der Hardfork heute als der "echte" Ether angesehen wird.
Nur ist das eben etwas, was wir bei Ethereum zu Recht als "Sündenfall" kritisieren.

Es zeichnet sich die Möglichkeit ab, dass diese Chain mehr wert werden könnte als die "nach dem Konsensmechanismus längste".
Allein diese Drohung könnte die Nicht-Kartell-Miner nun davon abhalten, an der Rollback-Chain teilzunehmen, und eventuell sogar das Kartell zerfallen lassen.

Klar, sofern die Miner nach Abwägung aller dieser Gedanken, zu dem Ergebnis kommen, dass es sich für sie auf lange Sicht nicht lohnt, am Rollback teilzunehmen, wird der Rollback scheitern.
Aber das ist trivial.
Die Frage ist also eigentlich: ab wann lohnt sich der Rollback für die Miner?

Ein solches Szenario ist imho ebenfalls als Teil des Konsenses und der Anreizmechanismen anzusehen, die Bitcoin so stark machen. Nicht nur die "Längste-Chain-Regel". Sondern auch die "Macht der Massen".

Genauer: die "Unsichtbare Hand des Marktes".
Bitcoin ist Code gewordene Ökonomie

Eigentlich geht es um die Frage, ob man das Prinzip "die längste Kette ist die richtige Kette" als fundamental für PoW ansieht, oder ob man gewillt ist, eine externe "Deutung" der "Wahrheit" stärker zu gewichten.
Wenn man Bitcoin wirklich ernst nimmt, sollte man IMHO zu ersterer Deutung neigen.

Mir geht es um das Rollback-Agreement. Meines Erachtens handelt es sich hier durchaus um eine "externe Deutung einer Wahrheit". Diese wird nun mit Macht und Geld in Konsens ("längste Chain") umgesetzt.

Jein.
Ich betrachte hier stets nur die Sichtweise der Bitcoin-Blockchain selbst.
Für diese gibt es keine "externe Realität".
Als "Bitcoin-Gläubiger" habe ich mich an das Gebot zu halten, diese interne Sichtweise der Blockchain als endgültigen Schiedsrichter über die Frage der "richtigen" Transaktion anzusehen.
Wenn ich davon abweiche, bin ich eben kein Bitcoiner mehr.
Insofern sind die wahren Ketzer eben gerade nicht die Rollbacker, sondern die anderen

Sie verwenden die ganz normale, vollständig unveränderte Bitcoin-Software.
Sie müssten lediglich ihre Mining-Software dahingehend "einstellen", dass sie von einem bestimmten Ursprungsblock aus mint.

Zwar kann man das tatsächlich auch mit einem Double Spend erreichen. Das habe ich in der ersten Antwort nicht bedacht.
Das Ergebnis ist aber das gleiche. Es wird willkürlich von einem mächtigen Akteur oder Kartell festgelegt, dass es eine bestimmte Transaktion nicht geben darf.

Ja, das ist der Ausgangspunkt.
Nur ist das eben in jedem einzelnen "normalen" Block der Bitcoin-Blockchain auch schon so.
Dieses "Kartell" ist nur für gewöhnlich ökonomisch nicht daran interessiert, irgendwelche Transaktionen rückwirkend zu zensieren.

Nun kommt einfach ein zusätzlicher ökonomischer Anreiz hinzu, weil die gehackte Börse eben sagt "liebe Miner, wenn ihr den Rollback macht, bezahlen wir euch gut dafür".

Die Frage ist, eben, ob das nicht vom "Markt" sogar als "positiv" gewertet würde, wenn solche "Sicherheitsmechanismen" in Bitcoin "greifen".
Wir reden ja nicht nur von den "Idealisten", sondern vom Markt als ganzem, und da tummeln sich eben viele, die z.B. nach dem MtGox-Hack auch eher nach der "starken Hand" geschrien haben.

Die Gefahr besteht sicherlich. Die Idealisten würden sich aber wohl abwenden. Und die sind m.E. ziemlich wichtig.

Ich denke auch, dass die Idealisten sich abwenden, nur bleibt eben die Frage: wohin?
Diese spezifische Variante des Rollback ist eine Eigenschaft jeder POW-Blockchain (und wohl auch aller POS-Blockchains, wobei ich mir da nicht ganz sicher bin).
Wenn der "Idealist" also tatsächlich "Idealist" in dem Sinne ist, dass er daran glaubt, dass eine Software / ein Protokoll die endgültige Entscheidungshoheit darüber haben soll, welche Transaktionen korrekt sind, und welche nicht, dann steht er IMHO vor einem echten Dilemma.

Das Problem wäre, dass das in jeder PoW-Coin möglich ist.
Wohin willst du dann wechseln?

Wenn es eine "Anti-Rollback-Hardfork-Chain" gibt, dann diese. Denn dann dürfte klar sein, woher die User dieser Chain stammen: von der Gruppe, die solche Aktionen ablehnen.
Aber mathematisch beweisbar ist das natürlich nicht. Man müsste eben "auf der Hut" bleiben, das solche Rollbacks im neuen Coin nicht mehr vorkommen, und jeden Versuch energisch durch weitere Hardforkdrohungen bekämpfen.

Damit schließt du dich dann letztlich einer Gruppierung an, die ihrerseits willkürlich "extern" festlegt, welche Transaktionen in einem bestimmten Netzwerk gültig sein sollen

Wegen dieser "traumhaften Aussichten" würde ich behaupten, dass ein einziger erfolgreicher Rollbackversuch in jedem Fall zu Instabilität und zu einer Schwächung von Bitcoin insgesamt führen würde, und deshalb schon der erste Versuch bekämpft werden sollte.

Und ich komme immer mehr zu dem Ergebnis, dass ein solcher Rollback als inhärente Eigenschaft von Bitcoin anzusehen ist.
In diesem Sinne werde ich es mir zur Aufgabe machen, Nutzer darauf hinzuweisen.
Schließlich kann es nicht in unserem Interesse sein, den Menschen Märchen über unser System zu erzählen.
Das überlassen wir doch lieber den Shitcoins

Ich denke, die Diskussion sollte einfach geführt werden, damit der Nutzer informiert ist.
Eine Entscheidung "Rollback bad" ist in diesem Sinne gar nicht nötig.


Rollback Bad!

[qwk]

Wir finden heute einen Hack und machen den Rollback. Hackdatum war der 1.Mai.
Also müssen "alle" Miner ab Block "1. Mai" eine neue Chain aufbauen, nur ohne die bösen Transaktionen und mit allen guten. Also: Alle überweisungen aus dieser speziellen geknackten Wallet sind nil.
[...]
10 Tage lang war das Netz platt, weil die Miner auf der Cleanchain waren, diese aber wegen der Länge von den Clients  ignoriert wurde.
Auf der Hackchain dagegen geht nichts mehr, weil die Hashleistung "0" ist.

Richtig.
U.a. deshalb ist ein solcher Rollback für lange Zeiträume extrem unwirtschaftlich.
Schließlich schadet auch der Stillstand dem Kurs, und treibt damit die Kosten für die Miner.

Man muss einfach klar sehen: der Rollback wird sicher nur dann stattfinden, wenn unter Berücksichtigung aller Faktoren die Miner zu dem Ergebnis kommen, dass er sich für sie lohnt.
Deshalb ist er auch für 7.000 BTC sicher nicht machbar.

Wenn aber nun hypothetisch 1 Mio. BTC geklaut werden, dann verursacht auch dieser Hack voraussichtlich Schäden für die Miner, da er sicherlich gravierende Konsequenzen für den Kurs hätte.
Irgendwann kommen die Miner dann eben an einen Punkt, an dem sie unter Abwägung aller Kosten zu dem Ergebnis kommen, dass der Rollback möglicherweise das kleinere Übel ist.

Wenn du den Rollback via Announcement an die Clients verteilst und die ab dem Moment des Rollbacks die Cleanchain verwenden, wird's auch nicht wirklich besser:
Meine Überweisung von heute morgen ist da nicht drin, d.h. ich könnte einen Doublespend machen.
Wen immer ich bezahlt habe ist auch gearscht: Mit "Smartclient" hat er sein Geld noch nicht, ohne kann er es nicht weiterverwenden.

Nein, du wirst nicht in der Lage sein, einen Doublespend zu machen.
Wenn so ein Rollback "angekündigt" wird, wird sicherlich niemand deine Zahlung akzeptieren.
Tatsächlich dürfte das Bitcoin-Netzwerk in so einem Fall entweder stillstehen, oder aber die Miner erklären vorab, dass sie alle Transaktionen auch in ihrer neuen Chain abwickeln werden. Vermutlich werden sie letzteres tun, da somit das Netzwerk weniger Schaden nimmt, was wiederum in ihrem eigenen Interesse ist.
Damit sind Zahlungen, die dann noch im "alten" Netzwerk stattfinden, möglicherweise zunächst längere Zeit "Zero Confirmation", aber mit dem Versprechen, dass sie von den Minern nachträglich berücksichtigt werden. Damit werden manche Leute diese Zahlungen akzeptieren, andere nicht, da sie dann eine Art "Vertrauensbasis" haben, und nicht mehr.

Effektiv bleibt alles so wie es ist, aber in der Übergangszeit wird es erhebliche Probleme geben weil das System außer Gefecht ist.

Ja.

Evtl. müsste die Diff angepasst werden, so das die Blocks in wenigen Minuten durch die Miner rauschen. Dann ginge das, weil es keiner merken würde. "Oh, die Confirmations kommen heute aber nicht so..."

Die Diff anzupassen, geht nicht ohne Hardfork, das wäre dann tatsächlich der Super-Gau.
Dann lieber ein paar Tage Stillstand, bzw. nur Zero-Conf Zahlungen.

[trantute2]

Wenn ich einen "Rollback" fahren wollte ohne das Protokoll zu ändern, also (nur) eine 51%-Attacke durchführen wollte, dann muss ich doch parallel zur Hauptchain auch auf einer alternativen Chain minen. D.h. ich muss meine Hashleistung aufteilen.

Nein. Wenn "ich" eine 51%-Attacke durchführe, mine ich nur noch auf meiner alternativen Chain.

Dieser Fall ist in meiner Aussage enthalten.

Du sprichst einfach von einem anderen "Szenario".
Du gehst von einer Art "Backup-Chain" aus, die immer parallel zur Main-Chain läuft, und bei Bedarf wird auf die umgeschalten.
Das ist bei POS prinzipiell (theoretisch) machbar, wenn auch praktisch auch unmöglich.
Man müsste schließlich für jede einzelne Transaktion stets eine neue Alternativ-Chan bilden, und diese dauerhaft weiterführen, um für jede zu rollbackende Transaktion einen Fallbach zu haben. Das werden sehr schnell sehr viele Alt-Chains, und irgendwann reicht auch die Speicherkapazität aller Google Rechenzentren zusammen dafür nicht mehr aus.

Im Extremfall ja, aber man könnte sich immer auf die letzten 14 Tage u.ä. beschränken. Eine Börse, die den Hack erst nach 14 Tagen erkennt ist wohl so oder so zum scheitern verurteilt.

Desweiteren gilt, ob nun bei PoW oder PoS, und unabhängig davon, dass imho schon ein mehrstündiger Rollback technisch aussichtslos und reine Stromverschwendung ist, dass sich die Miner/Minter ins eigene Fleisch schneiden, wenn sie die Glaubwürdigkeit der Blockchain unterminieren. Es macht keinen Sinn, die Blockchain durch Konkurrenz abzusichern (minieren), um dann aber über die Hintertür doch noch ein Kartell zu bilden (unterminieren). Die zentralen und somit unsicheren Börsen selbst sind nur Hilfskonstrukte, welche mangels Alternativen auf das Bitcoin-Ökosystem draufgesetzt wurden. Bitcoin kann, mit der richtigen dezentralen Technologie, auf solche Börsen verzichten und trotzdem den Wertfluss von Fiat zu Bitcoin und vice versa abbilden. Jeder Miner mit Verstand weiss dies und weiss auch, dass es unfähige zentrale Börsen nicht wert sind durch einen Rollback gerettet zu werden. Natürlich kann ein Miner auch vom Hack der Börse betroffen sein, aber eben nicht alle Miner.

Bitcoin braucht eine glaubwürdige und sichere Blockchain. Börsen brauchen Bitcoin. Aber Bitcoin braucht keine zentralen Börsen.

Oder noch kürzer:

Die Miner schulden den Börsen gar nichts, die Börsen den Minern und Fullnodebetreibern aber alles.

[LibertValance]

Ein Rollback wäre eine Katastrophe für den BTC und würde dessen herausragendes Merkmal, nämlich die Unabänderlichkeit der vergangenen Blöcke, zerstören.

Du hast ein paar Denk- oder Verständnisfehler in deinen Vorstellungen.

Der wichtigste ist eben genau dieser zitierte Satz.

Vergangene Blöcke sind -und waren nie- unveränderbar. Mit jedem fortschreitenden Block wird es eben nur teurer, das rückwirkend zu tun. Und bei Bitcoin gelangen wir da eben schnell in sehr große Dimensionen.

btw: Vielen Dank für dieses tolle Thema und die vielen Gedanken dazu. Im Grunde finde ich QWKs Startposting absolut passend und schließe mich diesen Gedanken weitestgehend an. Gleichzeitig wäre es für das BTC-Ökosystem auch hier besser, wenn sich kein Kartell bilden würde.

Nein, Freundchen... du verstehst mich miss. Vielleicht habe ich mich auch unklar ausgedrückt.
Mir ist vollkommen klar, dass die Änderung eines Vergangenen Blockes theoretisch möglich ist - wenn sie das das nicht wäre, so würde dieser Thread ja auch keinen Sinn machen. Bloß wurde das in der Praxis eben noch nie gemacht, und sollte mMn auch nicht, weil es die "Marke" BTC beschädigen würde.

[d5000]

Letztlich muss einem klar sein, dass es solche Absprachen in den Hinterzimmern bereits heute geben kann, und somit die Möglichkeit besteht, dass wir eines Tages einen solchen Rollback erleben werden, ob uns das gefällt oder nicht.
Das ist somit eine Eigenschaft von Bitcoin, und ich denke, jeder Nutzer hat das Recht, darüber informiert zu sein.
Wenn ihm das nicht "gefällt", muss er sich eben im Zweifelsfall eine andere Coin suchen, wo so etwas nicht möglich ist (sofern es so etwas gibt)

Will den Post jetzt nicht zu weit zerfasern, also antworte ich auf das meiste hier, da hier genau der Hase im Pfeffer liegt.

Bitcoin wurde aus meiner "idealistischen" Sicht mit einem bestimmten Hintergrund "erfunden": Double-Spends zu verhindern. Da dies aber informationstechnisch in einem dezentralen System nicht hundertprozentig möglich ist, wurde er so designt, dass man dafür eine erhebliche Rechenleistung benötigt und diese auch "berechenbar" wird.

Du sagst, du vertraust im Zweifel eher dem Double-Spend als einer "Community-Entscheidung", weil der Doublespend "Teil des Protokolls" und "berechenbar" sei. Die Community-Entscheidung ist aber in dem Fall der Gegensatz zu einer Kartell-Entscheidung, die dem Doublespend vorausgeht. Beide sind m.E. willkürlich und hängen von externen Einflüssen ab.

Ich denke da liegt unser grundliegend unterschiedliche Meinung:
- Für dich ist die Möglichkeit des Doublespends in gewisser Weise ein "Feature", der auch gezielt eingesetzt werden kann,
- für mich ist sie ein Bug, der leider nicht anders gelöst werden kann.

Deswegen stehe ich in dem Fall auf der Seite der "Community" oder der "unsichtbaren Hand" gegenüber dem "Kartell", und würde alles tun, damit das Kartell sein Ziel gar nicht erreicht. Also z.B. in dem Fall mit dem Hardfork drohen. damit die Miner gar nicht erst abspringen. Schafft die Community als "unsichtbare Hand", den Double Spend damit zu verhindern, ist das für alle die beste Lösung (bis auf die "gehackte" Exchange).

Es gibt natürlich "nicht verhinderbare Double Spends", beispielsweise bei einem Orphan, oder wenn sich ein Teil der Miner für eine kurze Zeit vom Rest abspaltet.

Man könnte deshalb z.B. - ob bei Bitcoin oder einem Coin - für die Community folgende "inoffizielle Regel" festlegen:
- Ein Double Spend ist dann illegitim, wenn es dem Netzwerk allgemein bekannt ist, dass die Transaktion ein Double Spend ist.
Man kann das natürlich weiter präzisieren - z.B. wenn die Originaltransaktion vor dem Rollback 100 Confirmations hat. Das ist zwar dann willkürlich, aber kann bei der Lösung eventueller Konflikte helfen.

Es gibt ja PoS-Coins, die das sogar so im Code vorsehen. Da gibt es dann tatsächlich ein hartes Limit, über das kein Rollback möglich ist. Für einen Rollback über das Limit müsste man dort das Protokoll ändern, was zu einem Hardfork führen würde.

Das könnte der Ausgangspunkt für die Antwort auf die Frage sein, wohin ich (und andere "Idealisten") ziehen würden , wenn ein solcher Rollback stattfinden würde. Es muss kein PoS-Coin sein. Ein solches Rollback-Limit würde auch bei PoW funktionieren, als Zusatzregel zur "längsten Chain". Ist es hoch genug, gibt es kein realistisches Szenario, bei dem es etwa einer Abspaltung der Miner/User einer Region im Weg stehen würde und der Coin als "werthaltiges" System trotzdem erhalten bliebe (also als Zahlungsmittel funktionieren und nicht in Grund und Boden gedumpt würde).

Die Frage ist also eigentlich: ab wann lohnt sich der Rollback für die Miner?

In diese Frage fließt aber gerade auch die Haltung des "Marktes" oder der "Community" ein.

Gibt es eine Mehrheit (im Bezug auf "Macht" im Bitcoin-Netzwerk, wozu ökonomische Mehrheit und Hashrate gehört), die denken, dass ein Rollback legitim ist, wenn tatsächlich die Miner-Mehrheit daran teilnimmt, dann wird die Antwort auf die Frage anders ausfallen (also der Betrag, der "bestochen" werden müsste, wäre womöglich deutlich geringer) als wenn es eine Mehrheit "Idealisten" gibt, die Rollbacks ganz ablehnen.

Vereinfacht gesagt: Besteht der Markt zu 70% aus qwk's, dann ist der Rollback-Preis deutlich niedriger, als wenn er zu 70% aus d5000's besteht (zumindest wenn man die Haltung aus diesem Thread nimmt)

Man kann Bitcoin nicht von dern "sozialen Hintergründen" entkoppeln. Dewegen ist die Frage auch so spannend und es auch tatsächlich wert sie auszudiskutieren.

Diese spezifische Variante des Rollback ist eine Eigenschaft jeder POW-Blockchain (und wohl auch aller POS-Blockchains, wobei ich mir da nicht ganz sicher bin).

Bei "PBFT"-PoS-Algorithmen (die Tendermint-Abkömmlinge, also z.B. NEO) geht ein Rollback tatsächlich nicht. Ob man diese als wirkliche dezentrale Kryptowährungen ansieht, ist aber die andere Frage, da bei diesen 66% "ehrliche" Validatoren (im Bezug auf die Blockchain-Macht, also Stake) notwendig ist. Das wird bei den mir bekannten Algorithmen so gelöst, dass quasi ständig ein "legitimes Oligarchen-Kartell" gebildet und akzeptiert wird. Diese Blockchains funktionieren jedenfalls grundlegend anders als Bitcoin.

[qwk]

Ich denke da liegt unser grundliegend unterschiedliche Meinung:
- Für dich ist die Möglichkeit des Doublespends in gewisser Weise ein "Feature", der auch gezielt eingesetzt werden kann,
- für mich ist sie ein Bug, der leider nicht anders gelöst werden kann.

So kann man es formulieren.

Ich würde einen Schritt weitergehen, und die Frage stellen, wodurch die Sicherheit in Bitcoin gekennzeichnet ist.

Es gibt hier genau genommen zwei Teile:
1. die Private Keys, diese sind gesichert durch Kryptographie
2. die Transaktionen, diese sind gesichert durch den Konsensmechanismus

Wodurch ist nun dieser Konsensmechanismus abgesichert?
Nicht durch Kryptographie jedenfalls, sondern über eine ökonomische Funktion:

6. Incentive
[...]
The incentive may help encourage nodes to stay honest. If a greedy attacker is able to assemble more CPU power than all the honest nodes, he would have to choose between using it to defraud people by stealing back his payments, or using it to generate new coins. He ought to find it more profitable to play by the rules, such rules that favour him with more new coins than everyone else combined, than to undermine the system and the validity of his own wealth.

Der "Attacker" in unserem Szenario ist hierbei eine Gruppe von Personen, die gemeinsam zu der Auffassung gelangen, dass es für sie eben "more profitable" ist, an einer veränderten, längeren Kette zu arbeiten.


Betroffen vom Rollback sind jedenfalls nur die Transaktionen.
Für diese gilt, dass sie stets nur als "abgeschlossen" zu betrachten sind, wenn die Kosten für einen Double-Spend erheblich höher sind als der Wert der Transaktion.
Soweit ist das Bitcoin-Protokoll eigentlich eindeutig.
Als "guter Kompromiss" aus der Frühzeit des Bitcoin-Systems hatte sich die Regel eingebürgert, 6 Confirmations als ausreichend sicher zu erachten.
Es war (den "Experten") jedoch immer schon bewusst, dass diese 6-Confirmation-Regel nur eine Faustformel ist, und im Einzelfall nicht gültig sein kann.

Insofern war der "Experte" nie der Auffassung, dass eine Transaktion über z.B. eine Milliarde Euro bereits nach 6 Confirmations als "sicher" zu betrachten ist.
Also kann ich auch die Auffassung, dass es sich nun bei dieser bereits früher bekannten Eigenschaft um einen "Bug" handeln soll, nicht ganz teilen.


Zugegebenermaßen bin auch ich nie ernsthaft davon ausgegangen, dass so etwas wie ein "Rollback" in Bitcoin möglich sein könnte, schlicht und ergreifend deshalb, weil sich die Frage nie ernsthaft gestellt hat.
Im Zuge des hier vorliegenden Falls habe ich eben darüber nachgedacht, und bin zu dem Ergebnis gekommen, dass ein solcher aber eben doch nicht nur möglich, sondern von den Mechanismen von Bitcoin quasi "vorgesehener" Fall ist.

Deswegen stehe ich in dem Fall auf der Seite der "Community" oder der "unsichtbaren Hand" gegenüber dem "Kartell", und würde alles tun, damit das Kartell sein Ziel gar nicht erreicht. Also z.B. in dem Fall mit dem Hardfork drohen. damit die Miner gar nicht erst abspringen. Schafft die Community als "unsichtbare Hand", den Double Spend damit zu verhindern, ist das für alle die beste Lösung (bis auf die "gehackte" Exchange).

Genau diese Auffassung halte ich persönlich für "gefährlicher" als den eigentlichen "Rollback".
Wer bestimmt, wer diese "Community" ist?

Jedenfalls sind damit die eigentlichen Regeln von Bitcoin außer Kraft, nicht länger bestimmt ein unbestechliches Protokoll über die Wahrheit, auf die wir uns einigen, sondern ein wie auch immer zustande gekommener "menschlicher" Konsens.

Man könnte deshalb z.B. - ob bei Bitcoin oder einem Coin - für die Community folgende "inoffizielle Regel" festlegen:
- Ein Double Spend ist dann illegitim, wenn es dem Netzwerk allgemein bekannt ist, dass die Transaktion ein Double Spend ist.
Man kann das natürlich weiter präzisieren - z.B. wenn die Originaltransaktion vor dem Rollback 100 Confirmations hat. Das ist zwar dann willkürlich, aber kann bei der Lösung eventueller Konflikte helfen.

Solche "inoffiziellen Regeln" könnte es geben, und gerade dafür bräuchte es dringend eine Diskussion über die Möglichkeit des Rollback.
Mein selbst vorgeschlagenes "Gentlemen's Agreement" wäre Teil solcher Regeln.


Dennoch muss einem klar sein: wenn es sich rein rechnerisch (in erheblichem Maße) lohnt, gegen diese Regeln zu verstoßen, dann wird gegen diese Regeln verstoßen werden.

Und das ist der eigentliche Kern meines Gedankens:
Die Miner handeln nicht aus "Überzeugung"*, sondern weil sie knallharte wirtschaftliche Interessen haben.
Wenn eine Gruppe von Minern, die zusammen über (erheblich) mehr als 50% der Rechenleistung verfügen, zu dem Ergebnis kommen, dass ein "Rollback" ihnen z.B. eine Milliarde Euro in die Kassen spült, während sie mit dem gleichen Aufwand in den kommenden fünf Jahren z.B. nur einhundert Millionen Euro verdienen, dann werden sie den Rollback machen.
Natürlich werden sie dabei alle möglichen Szenarien durchrechnen, u.a., wie sich das auf den Kurs auswirkt, welches Risiko eines User-Hardforks es gibt etc. pp.

Zusätzlich werden die "Rollbacker" alles unternehmen, um ein möglichst hohes Maß an Akzeptanz ihrer Maßnahme zu erreichen, deshalb auch das "Gentlemen's Agreement", keine anderen Transaktionen zu löschen außer den wirklich relevanten, und sogar bisherige Block-Rewards an die selben Inhaber auszuzahlen.
Damit wird der Schaden für alle anderen deutlich minimiert, und die Wahrscheinlichkeit reduziert, dass sich die User abwenden.


* zugegeben, es mag einzelne Miner geben, die aus Überzeugung handeln, Slush käme mir da in den Sinn

Es gibt ja PoS-Coins, die das sogar so im Code vorsehen. Da gibt es dann tatsächlich ein hartes Limit, über das kein Rollback möglich ist. Für einen Rollback über das Limit müsste man dort das Protokoll ändern, was zu einem Hardfork führen würde.

Ist zwar wieder mal off-topic, aber ganz kurz: das ist nicht möglich.
Einen solchen "harten" Checkpoint kann man nur in der Software festschreiben, nicht in der Blockchain.
D.h. eine Regel wie "maximal 100 Blöcke" geht nicht, es sei denn, man hat einen zusätzlichen "Wächter" außerhalb der Blockchain (hat jemand "Coordinator" oder "Masternode" gesagt?).
Natürlich können die Nodes selbst einen Reorg von mehr als 100 Blöcken "verbieten", das führt aber automatisch zu einem fragmentierenden Netzwerk, wenn Nodes über längere Zeit vom Netzwerk getrennt bleiben.

Die Frage ist also eigentlich: ab wann lohnt sich der Rollback für die Miner?

In diese Frage fließt aber gerade auch die Haltung des "Marktes" oder der "Community" ein.

Natürlich, sogar in erheblichem Maße.
Wenn die Miner "nur" ein paar mehr Bitcoins bekämen, der Bitcoin aber nur noch ein Zehntel seines Werts hat, machen sie selbstverständlich nicht mit.
Es muss sich für die "Angreifer" unter Berücksichtigung aller Faktoren lohnen. Und zwar so sehr, dass sie auch ggf. das Risiko eines Totalverlusts bereit sind, einzugehen.
Es kann gut sein, dass das auch bei einem Rollback über eine Million Bitcoins nicht der Fall wäre, das ist schwer zu sagen.
Ich selber würde "aus dem Bauch raus" aber schätzen, dass es sich "schon" bei "nur" 100.000 BTC lohnen könnte.

[d5000]

6. Incentive
[...]
The incentive may help encourage nodes to stay honest. If a greedy attacker is able to assemble more CPU power than all the honest nodes, he would have to choose between using it to defraud people by stealing back his payments, or using it to generate new coins. He ought to find it more profitable to play by the rules, such rules that favour him with more new coins than everyone else combined, than to undermine the system and the validity of his own wealth.

Der "Attacker" in unserem Szenario ist hierbei eine Gruppe von Personen, die gemeinsam zu der Auffassung gelangen, dass es für sie eben "more profitable" ist, an einer veränderten, längeren Kette zu arbeiten.

Das Wörtchen "the rules" ist m.E. aber hier der Hinweis darauf, dass auch meine Interpretation valide ist

In dieser Phrase sagt ja Satoshi im Umkehrschluss aus, dass ein Angreifer, der den 51%er einsetzt, um Coins "zurückzustehlen", "gegen die Regeln" spielt. Dies würde aber auch auf den Börsenbetreiber zutreffen. Aus der Sicht der Blockchain hat er genau das gleiche getan, wie der Angreifer in Satoshis Beispiel.

("Die Regeln" von denen hier die Rede ist - also die Rechnung Block Rewards > Double-Spend-Profit  - wurden, wie ich aus dem Text interpretiere, festgelegt, damit die Angreifer keine Anreize haben, einen Double Spend auszuführen)

Selbst "moralisch" (was ja immer willkürlich ist) sehe ich wie schon mal erwähnt keinen großen Unterschied: Der Börsenbetreiber hat sich ja schließlich sich um Kosten gedrückt (Absicherung der Wallets) und stiehlt sich jetzt Coins zurück, die er verloren hat, weil er die Security-Gepflogenheiten seiner Zunft missachtet hat.

Ist in etwa so, als würde sich ein Baumeister eine Schadenersatzforderung zurückstehlen, weil er billiger als von der Physik erlaubt eine Brücke gebaut hat, die eingestürzt ist.

Ein "Gentlemen's Agreement" zwischen Börsen und Minern könnte daher auch schädlich sein, da es Anreize dafür geben könnte, geringere Sicherheits-Investitionen zu tätigen.

Für [die Transaktionen] gilt, dass sie stets nur als "abgeschlossen" zu betrachten sind, wenn die Kosten für einen Double-Spend erheblich höher sind als der Wert der Transaktion.

Das kann man natürlich "rein von den Bitcoin-Regeln" so interpretieren, und es ist jedenfalls jedem, der große TX plant, anzuraten diese "Regel" zu kennen und zu berücksichtigen.
Diese "mathematische" Interpretation würde aber auch bedeuten, das große Transaktionen immer in Gefahr kommen, von einem Kartell double-gespendet zu werden.
Wenn es also einen Konflikt welcher Art auch immer zwischen einem Sender der Transaktion und 50+% der Miner kommt, ist Bitcoin nicht für eine solche Transaktion geeignet.

Es sei denn, "der Markt" stemmt sich dagegen, um Anreize für ein "regelkonformes" (s.o.) Verhalten der Miner zu setzen. Das ist m.E. die Intention, die man aus der Stelle herauslesen kann, die du oben aus dem Whitepaper zitiert hast.

Dieses mögliche "Entgegenstemmen des Marktes" sollte daher auch bedacht werden bei der Sicherheit. Es ist natürlich nicht einfach quantifizierbar, man kann aber Anhaltspunkte dafür aus dem Kommunikationsverhalten der "Community" erhalten.

(Nur zur Klarstellung: Es ist völlig klar, das die "6-confirmation-Regel" nur eine Krücke ist.)

Wir kommen also wieder zum "Markt" oder der "unsichtbaren Hand":

Deswegen stehe ich in dem Fall auf der Seite der "Community" oder der "unsichtbaren Hand" gegenüber dem "Kartell", und würde alles tun, damit das Kartell sein Ziel gar nicht erreicht.

Genau diese Auffassung halte ich persönlich für "gefährlicher" als den eigentlichen "Rollback".
Wer bestimmt, wer diese "Community" ist?

"Der Markt". Er ist es ja, der den Rollback mit akzeptieren muss, d.h. die Rollback-Chain nicht als Regelverletzung ansehen darf, die einen Hardfork, Dump oder anderes "währungsschädliches Verhalten" rechtfertigen würde. Entscheidend ist also das Ergebnis des "Armdrückens".

Wenn "die Idealisten" in dem Fall durch Kommunikations-Ressourcen genug ökonomische Power rekrutieren können, um den Rollback aussichtslos zu machen (weil die großen Player einen eventuellen Hardfork unterstützen würden), und daraus dann resultiert, dass der Rollback nicht stattfindert, hätten auch sie "nach den Bitcoin-Regeln" gewonnen.

Jedenfalls sind damit die eigentlichen Regeln von Bitcoin außer Kraft, nicht länger bestimmt ein unbestechliches Protokoll über die Wahrheit, auf die wir uns einigen, sondern ein wie auch immer zustande gekommener "menschlicher" Konsens.

Nein, im Fall, den ich meine, würde der "menschliche Konsens" dazu führen, dass die Bitcoin-Regeln eben nicht außer Kraft gesetzt werden.
Wie der Konsens zustande kommt ist ja egal, ob durch ein Kartell oder "die Community" (man kann beides ja nicht sauber trennen).
Es ist aber legitim, für eine der beiden Seiten zu "trommeln", um das Ergebnis zu beeinflussen.
Aus meiner Sicht ist immer die Anti-Rollback-Fraktion zu unterstützen. Egal wie "böse" der Hacker ist. Wenn diese Ansicht von der großen Mehrheit der Marktteilnehmer geteilt wird, ist jeder Rollback (ausgenommen extrem kurze) aussichtslos, da er niemals profitabel sein würde.

Das Szenario erinnert mich etwas an die Segwit2x-Diskussion, wo ja tatsächlich von Teilen der Community aus zeitweise mit der "nuclear option" eines PoW-Algo-Wechsels gedroht wurde - was imo völlig legitim ist, um ein Kartell in die Schranken zu verweisen.

Solche "inoffiziellen Regeln" könnte es geben, und gerade dafür bräuchte es dringend eine Diskussion über die Möglichkeit des Rollback.
Mein selbst vorgeschlagenes "Gentlemen's Agreement" wäre Teil solcher Regeln.

Es ist in der Tat sinnvoll, darüber mal "im Großen" zu diskutieren, und nicht nur hier in einem Hinterzimmer des deutschen Forums

Es wird sich ja dann durchaus herausstellen, ob ein solches Gentlemen's Agreement genug Unterstützung vom Markt hätte. Wenn ja, müsste die Gegenseite (also z.B. ich) klein beigeben, da sie nur durch Hardforks Rollbacks verhindern könnte.

Es gibt natürlich keine Möglichkeit, genau hier die Mehrheiten zu erfassen. Aber über Äußerungen von z.B. Börsenbetreibern und großen Hodlern ließe sich schon eine Tendenz erfassen. Die Binance-Stance kennen wir ja schon, das wäre also 1:0 für dich

Dennoch muss einem klar sein: wenn es sich rein rechnerisch (in erheblichem Maße) lohnt, gegen diese Regeln zu verstoßen, dann wird gegen diese Regeln verstoßen werden. [...]
Wenn eine Gruppe von Minern, die zusammen über (erheblich) mehr als 50% der Rechenleistung verfügen, zu dem Ergebnis kommen, dass ein "Rollback" ihnen z.B. eine Milliarde Euro in die Kassen spült, während sie mit dem gleichen Aufwand in den kommenden fünf Jahren z.B. nur einhundert Millionen Euro verdienen, dann werden sie den Rollback machen.

Ja, das ist klar. Auf diese Rechnungen würde man dann aber eben von allen Seiten Einfluss nehmen wollen.

Noch kurz zum "off topic" (imo nicht ganz OT, da es ja als mögliche Lösung für das Problem angesehen werden könnte):

Einen solchen "harten" Checkpoint kann man nur in der Software festschreiben, nicht in der Blockchain.
D.h. eine Regel wie "maximal 100 Blöcke" geht nicht, es sei denn, man hat einen zusätzlichen "Wächter" außerhalb der Blockchain (hat jemand "Coordinator" oder "Masternode" gesagt?).
Natürlich können die Nodes selbst einen Reorg von mehr als 100 Blöcken "verbieten", das führt aber automatisch zu einem fragmentierenden Netzwerk, wenn Nodes über längere Zeit vom Netzwerk getrennt bleiben.

Es wird beides gemacht: Checkpoints in jeder Version und die Node-Software verbietet einen Rollback. Das kann natürlich jeder Node-Betreiber anders konfigurieren, aber einen Anreiz dafür gibt es nicht. Und durch den Checkpoint verhindert man eine Fragmentierung. Bei PoW ist das ja noch viel einfacher, da dort ein längerer Disput, welche die "längste chain" ist, nicht so oft auftritt. Bleibt eine Region länger abgeschnitten vom Rest, ist es unerheblich, ob sie ein Reorg-Limit hat oder nicht. Beim Reorg-Limit müssten sie zwar neu syncen, ohne Reorg-Limit aber wären ihre Transaktionen durch den Reorg ebenso erst mal wieder unconfirmed.