Pagamentos sem confiança – Consenso – Ethereum Research

DR
Somos a favor de manter o componente de pagamentos sem confiança do EIP-7732. Embora o design possa ser melhorado, as limitações não são contundentes, podem ser melhoradas e não superam a importância da ausência de permissão.

Trabalho conjunto com @jcschlegel ,@quintuskilbourn, @boz1 e @LuisVCorreia. Obrigado @tripoli pelo extenso feedback. E, finalmente, todos os membros da Associação ePBS thinkboi.

Nesta postagem, fornecemos uma visão geral das implicações dos pagamentos sem confiança introduzidos pelo EIP-7732 e justificamos nosso apoio ao EIP. Nós apenas refletimos nossos pontos de vista e não fornecemos uma posição para toda a organização Flashbots.

Comecemos com o que acreditamos ser evidente: a separação proponente-construtor continuará a ser a arquitetura de construção de blocos do Ethereum no futuro próximo. A maneira eficiente de organizar a interação proponente-construtor é através de um leilão de blocos just-in-time (JIT). Mesmo que quiséssemos consagrar uma estrutura de mercado diferente (por exemplo, através de APS), a eficiência dita que surgirá um mercado JIT fora do protocolo para alcançar a eficiência. A questão central é como a rede Ethereum deve interagir com este mercado.

Atualmente, os validadores mantêm listas de “relés” confiáveis ​​que são externos ao protocolo e fornecem blocos. As distinções entre relés e construtores aqui não são inerentes (e claramente desaparecem) – o que importa em última análise é quem tem acesso ao proponente. Garantir o acesso ao proponente atualmente envolve o desenvolvimento de negócios e a construção de confiança com os operadores de nós. Este é exatamente o tipo de coordenação de alto atrito que Ethereum pretende evitar. Para ter um protocolo que seja robusto e resiliente em toda a pilha, não devemos deixar que partes importantes que são essenciais para sua funcionalidade efetiva sejam executadas puramente com base na confiança. A única escolha viável a longo prazo é consagrar o papel do construtor no protocolo e oferecer uma forma para os construtores e proponentes contratarem no protocolo sem confiança.

O que se segue do anterior é que devemos implementar construtores consagrados e pagamentos sem confiança agora com o EIP-7732 e a proposta disponível para nós ou esperar e implementá-los mais tarde. A única razão para esperar, na nossa opinião, seria se 1) a proposta actual tivesse uma falha grave ou 2) existisse uma concepção alternativa viável e suficientemente detalhada que possamos implementar em breve. Falhas menores não devem ser motivo para interromper o processo e podem ser repetidas ou melhoradas em futuras atualizações de protocolo. Adiar ainda mais um mecanismo de pagamentos sem confiança no futuro apenas tornará mais difícil a sua introdução, uma vez que o ecossistema circundante fora do protocolo se estabelecerá ainda mais. A opção 2) não está disponível para nós, portanto precisamos determinar se há alguma falha grave e, no caminho, verificar se as falhas menores podem ser mitigadas ou removidas.

Então, vamos examinar os possíveis problemas com pagamentos sem confiança, conforme proposto, e ver se algum deles seria uma falha grave:

Custo de capital para construtores

A licitação dentro do protocolo exige que os construtores apostem, o que introduz custos adicionais. Especificamente, eles precisam executar um validador e se tornarem uma infraestrutura crítica para a rede, o que requer o bloqueio de 32 ETH ao protocolo. Além disso, precisam de garantir adicionalmente as propostas, à semelhança do que já fazem com os relés optimistas. Essa combinação de custos poderia eliminar uma longa fila de construtoras que fazem lances dentro do protocolo e que não querem ou não podem se dar ao luxo de bloquear dinheiro por um período de tempo desconhecido.

Esses custos não são negligenciáveis, no entanto, as funções do validador geram rendimento em todo o saldo do construtor 0x03, de modo que o custo é efetivamente apenas o custo de oportunidade, os custos operacionais e os custos de obtenção de capital. A maioria das ofertas dos blocos não são muito grandes (<0,02ETH) (99% das ofertas dos blocos são <0,46ETH). Estes custos também podem ser parcialmente evitados, uma vez que é provável que os serviços de retransmissão continuem a existir (através de variantes apostadas e não apostadas), proporcionando acesso ao proponente para os intervenientes não apostados. A garantia de licitações é, em qualquer caso, necessária para qualquer sistema de licitação sem permissão que não dependa de reputação ou uso de serviços adicionais de DA.

Além disso, muitos dos custos de capital podem ser mitigados através da melhoria das ineficiências técnicas, quer na actual PEI, quer no futuro. Por exemplo, forçar os construtores a executar um validador e apostar 32ETH não faria sentido se projetássemos um sistema do zero. Ele existe por causa da dependência do caminho e da dívida tecnológica, e é idealmente removido no futuro (por exemplo, por meio de futuras atualizações de protocolo para reduzir os requisitos de participação do validador).

Figura: Recompensas MEV (<1 ETH) entre os blocos 20000000 e 23984511.

Custo tecnológico e complexidade operacional

A introdução de pagamentos sem confiança exigirá trabalho dos construtores e retransmissores para se adaptarem à mudança e introduzirá mais estado para os clientes de consenso acompanharem.

As licitações no protocolo passam por um fluxo mais lento usando os recursos de depósito e retirada parcial da camada de consenso Ethereum. Isto elimina a flexibilidade do financiamento e liquidação de propostas JIT, uma vez que os construtores precisam inicialmente registar-se no protocolo e financiar a sua conta para propostas. Este é um artefato de implementação da lógica do construtor inteiramente na camada de consenso que não foi construída para pagamentos entre validadores. Isso torna o recurso mais complicado de usar, mas não inutilizável, e sujeito a melhorias futuras.

Melhorias adicionais, como descoberta e gerenciamento de endpoints do construtor programático para validadores, também devem ser consideradas.

Embora tudo isto represente um esforço adicional, não acreditamos que este custo não seja justificado, especialmente porque qualquer forma de terceirização confiável da produção de blocos exigirá parte deste trabalho. Também vale a pena notar que os pagamentos sem confiança eliminam a necessidade de gerenciar relacionamentos com operadores de nós, necessária para que os relés ganhem e mantenham participação de mercado. Portanto, isso remove essa sobrecarga.

Estrutura de mercado

O mercado de construção de blocos Ethereum já está altamente concentrado hoje, levantando preocupações quanto à neutralidade da cadeia a longo prazo. Uma preocupação razoável a ser abordada é se o EIP-7732 pode aumentar a concentração devido aos custos de capital e à gestão de riscos.

Tal como mencionámos na secção sobre custos de capital, acreditamos que estas preocupações provavelmente não serão tão graves como previsto. Mais fundamentalmente, acreditamos que é melhor transferir o risco e a complexidade para os participantes externos do mercado em vez de para os proponentes. Sem o proponente EIP7732, o gerenciamento de riscos se manifesta como gerenciamento de listas de permissões. Com o EIP7732, os proponentes não precisam confiar de forma alguma nos relés. É importante ressaltar que o EIP-7732 não impede que os blocos sejam provenientes de construtores sem piquete.

Em ambos os casos, acreditamos que o desafio da neutralidade deve ser abordado mais aprofundadamente a nível do protocolo, através de mecanismos como o FOCIL, que fortalecem a resistência à censura.

Implicações para o problema da opção gratuita

Pipelining introduziu o “Problema da Opção Livre” e o problema não não desaparecerão se removermos os pagamentos sem confiança. Na prática, o problema da opção gratuita pode funcionar de forma diferente: se forçarmos as ofertas através de retransmissores, então os retransmissores podem ajudar a policiar o problema da opção gratuita. Mecanismos de mitigação no nível de retransmissão poderiam ser medidas como exigências de depósito para construtores para policiar falhas na entrega de carga útil, permitindo apenas propostas de um conjunto autorizado de construtores (ou listas de bloqueio de construtores que não conseguiram entregar cargas úteis no passado) ou permitir propostas “otimistas” apenas para um conjunto autorizado de construtores.

Tais mecanismos de mitigação são, em princípio, também possíveis no protocolo, por exemplo, através de requisitos de depósito do construtor que poderiam ser usados ​​para punições em caso de falhas nas cargas úteis. Defendemos e especificamos isso neste post. Neste contexto, a lista de permissões ou a lista de bloqueios são mais complicadas, uma vez que os proponentes geralmente não têm incentivo para utilizá-las. No entanto, não devemos confiar neles a longo prazo ao nível do retransmissor, pois isto conduz efectivamente a um conjunto autorizado de ou à discriminação entre construtores (sobre quais os serviços aos quais podem aceder) geridos por intervenientes fora do protocolo ou a retransmissores novos (ou existentes) que oferecem o que é lucrativo aos proponentes – acesso aos construtores utilizando a “opção gratuita” juntamente com um mecanismo de pagamento incondicional mediado pelo retransmissor.

Lances selados

Se a comunicação direta for empregada e os relés forem contornados, o formato do leilão efetivamente muda do status quo – um leilão aberto com um prazo aleatório – para um leilão com lances selados.

Embora alguns argumentem que os leilões de propostas seladas no âmbito do ePBS têm um impacto negativo na estrutura do mercado de construtores, pensamos que os efeitos são neutros ou, mais provavelmente, positivos. Especificamente, o atual leilão de licitação aberta favorece os construtores com vantagens de latência, permitindo-lhes superar os concorrentes momentos antes do prazo. Esta assimetria promove a concentração do mercado. Por outro lado, um leilão com lance selado nivela o campo de jogo ao neutralizar essas vantagens de latência, resultando em um mecanismo mais justo. Licitações seladas levam a menos propostas a serem processadas por construtor e, portanto, são mais amigáveis ​​em termos de largura de banda.

Embora se possa argumentar que o mecanismo carece de credibilidade – especificamente, que os validadores podem ter incentivos para divulgar propostas para aumentar a receita, a menos que o leilão tenha um impacto significativo e componente de valor comum desconhecido, os validadores geralmente não têm incentivo para divulgar informações em um leilão de primeiro preço com lance selado. Notavelmente, isto leva a um resultado de leilão mais eficiente, aumenta as receitas em equilíbrio e é mais justo para todos os participantes do mercado.

Ninguém vai usá-los?

Como argumentamos até agora, o custo adicional da utilização de pagamentos sem confiança parece ser pequeno e há também potenciais ganhos de eficiência. Os relés otimistas podem nos dar alguma intuição sobre o que podemos esperar: atualmente, a maioria dos blocos são propostos através do caminho otimista e os construtores ficam felizes em depositar com relés otimistas, mas para blocos de alto valor eles podem seguir o caminho pessimista. Poderíamos esperar que coisas semelhantes acontecessem com pagamentos sem confiança: uso paralelo de ambos os caminhos, dependendo da situação.

A diferença de valor entre licitações dentro e fora do protocolo para construtoras parece marginal, o que nos leva ao possivelmente maior bloqueador: custo de mudança. Em outras palavras, é necessário um esforço de engenharia para que os construtores integrem o caminho do protocolo. Portanto, vamos salientar o óbvio: isto depende em grande parte da boa vontade dos participantes do ecossistema (principalmente construtores e retransmissores) em quererem fazê-lo funcionar. Estamos muito otimistas neste ponto, já que historicamente as pessoas intervieram para fazer o Ethereum funcionar e priorizar a economia de custos no longo prazo em detrimento do curto prazo. Como provavelmente você não perdeu a atenção, estamos perto de um dos principais construtores e obviamente faríamos lobby para que eles adotassem o caminho do protocolo e alocassem capacidade de engenharia para fazê-lo funcionar.