Proof of Work uitgelegd: hoe Bitcoin consensus bereikt

Een digitaal grootboek is gemakkelijk te kopiëren en gemakkelijk te bewerken. Als iedereen vrij transacties zou kunnen toevoegen, zouden ze ook dezelfde munten twee keer kunnen uitgeven — het klassieke "double-spend"-probleem. In een systeem zonder centrale beheerder heb je een manier nodig waarop onafhankelijke deelnemers het eens worden over welke transacties hebben plaatsgevonden en in welke volgorde, zelfs wanneer sommigen van hen oneerlijk of offline zijn.

Eerdere pogingen tot digitaal geld vertrouwden op een vertrouwde partij om de boekhouding bij te houden. Bitcoins ontwerp, beschreven in de whitepaper uit 2008, verving die vertrouwde partij door een openbare competitie: deelnemers besteden echte middelen om blokken toe te voegen, en het netwerk volgt een gedeelde regel om de winnende keten te kiezen. Consensus ontstaat uit kosten en wiskunde in plaats van uit autoriteit.

Elk kandidaat-blok bevat een reeks transacties, een verwijzing naar het vorige blok, en een klein veranderbaar getal dat een nonce wordt genoemd. Miners voeren deze data door de SHA-256-hashfunctie, die elke invoer omzet in een uitvoer met vaste lengte die er onvoorspelbaar uitziet. Het doel is een invoer te vinden die een hash produceert onder een bepaalde doelwaarde — in de praktijk een hash die begint met een specifiek aantal nullen.

Omdat hash-uitvoer niet kan worden voorspeld of teruggerekend, is de enige manier om een geldige hash te vinden vallen en opstaan: verander de nonce, hash opnieuw, herhaal, miljarden keren per seconde. Die brute-force-zoektocht is het "werk". Het is met opzet moeilijk om te doen, maar triviaal voor ieder ander om te controleren — één enkele hashberekening bevestigt dat het antwoord geldig is. Deze asymmetrie (moeilijk te produceren, gemakkelijk te verifiëren) is de kern van proof of work.

Bitcoin streeft naar een nieuw blok gemiddeld ongeveer elke tien minuten. Naarmate er meer rekenkracht (hash rate) aan het netwerk wordt toegevoegd, zouden blokken doorgaans sneller aankomen, dus past het protocol periodiek de moeilijkheid aan — hoe laag de doelhash moet zijn — om het gemiddelde tempo stabiel te houden. Ongeveer elke twee weken (2.016 blokken) herberekent elke node de moeilijkheid op basis van de recente bloktijden.

Deze zelfaanpassing is de reden waarom meer miningkracht op termijn niet snellere blokproductie betekent; het betekent vooral dat er meer werk wordt besteed om dezelfde gestage stroom blokken te beveiligen. De exacte timing van een afzonderlijk blok is willekeurig, dus tien minuten is een langetermijngemiddelde, geen schema.

Een geldig blok vinden is slechts het halve verhaal. Nodes moeten het nog steeds eens worden over één geschiedenis wanneer twee miners bijna op hetzelfde moment blokken vinden. De regel is dat nodes de geldige keten volgen met het grootste totaal opgebouwde proof of work — vaak samengevat als de "langste keten", hoewel het eigenlijk de zwaarste is qua cumulatief werk.

Elke full node verifieert onafhankelijk elk blok aan de hand van Bitcoins regels: geldige handtekeningen, geen double-spends, correcte blokbeloning, en een hash die aan het doel voldoet. Blokken die de regels overtreden worden simpelweg afgewezen, ongeacht hoeveel werk erin is gestoken. Tijdelijke meningsverschillen (forks) lossen op naarmate het volgende blok één tak verlengt, en eerlijke miners convergeren erop omdat het bouwen op de geaccepteerde keten is waar de beloning ligt.

Om een transactie uit het verleden te herschrijven, zou een aanvaller het proof of work voor dat blok en elk blok daarna opnieuw moeten doen, en vervolgens het hele eerlijke netwerk moeten overtreffen om een langere keten te bouwen. Hoe dieper een transactie begraven ligt, hoe meer werk opnieuw gedaan zou moeten worden — daarom wachten handelaren vaak op meerdere bevestigingen. De kosten schalen mee met de totale hash rate van het netwerk.

Dit is de intuïtie achter de "51%-aanval": het beheersen van een meerderheid van de hash-kracht zou iemand in staat kunnen stellen recente transacties te herordenen of te censureren. Maar het is duur om die hardware aan te schaffen en te draaien, het kan geen handtekeningen vervalsen of munten regelrecht stelen, en een zichtbare aanval zou de waarde kunnen ondermijnen van juist het activum dat de aanvaller middelen besteedt om te minen. De prikkels zijn zo op elkaar afgestemd dat eerlijk deelnemen doorgaans winstgevender is dan aanvallen. Beveiliging is hier economisch en probabilistisch, geen absolute garantie.

De kracht van proof of work — echte, externe kosten — is ook de bron van de meest voorkomende kritiek: energieverbruik. Schattingen van Bitcoins elektriciteitsgebruik lopen sterk uiteen en veranderen in de loop van de tijd, en het beeld wordt gecompliceerd door het groeiende aandeel gestrande, overtollige of hernieuwbare energie dat sommige miners gebruiken. Redelijke mensen zijn het oneens, en de specifieke details verschuiven; het is de moeite waard om actuele, betrouwbare bronnen te raadplegen in plaats van één enkel cijfer.

Alternatieve consensusontwerpen zoals proof of stake beveiligen sommige andere netwerken met veel minder energie door economisch onderpand te gebruiken in plaats van berekening. Ze brengen andere aannames en afwegingen met zich mee, en ze eerlijk vergelijken is een onderwerp op zich. Specifiek voor Bitcoin blijft proof of work het mechanisme, en de beveiliging en het uitgifteschema zijn eraan verbonden.