Довга стаття від Vitalik: вихідна стратегія EVM Validiums і повернення Plasma

Plasma дозволяє нам повністю обійти проблему доступності даних, значно знижуючи вартість транзакцій.

Автор: Vitalik Buterin

Переклад: jk, Odaily

 

Plasma — це клас рішень для масштабування блокчейнів, який дозволяє зберігати всі дані та обчислення (за винятком депозитів, виведень і коренів Меркля) поза ланцюгом. Це відкриває двері до величезної масштабованості, не обмеженої доступністю даних на ланцюгу. Plasma вперше була запропонована у 2017 році і зазнала кількох ітерацій у 2018 році, зокрема Minimal Viable Plasma, Plasma Cash, Plasma Cashflow та Plasma Prime. На жаль, через (i) значні витрати на зберігання даних клієнтами та (ii) фундаментальні обмеження Plasma, які ускладнюють її застосування поза платежами, Plasma була значною мірою замінена rollups.

 

Поява доказів коректності (також відомих як ZK-SNARKs) дає нам підстави переглянути це рішення. Найбільший виклик для Plasma у сфері платежів — зберігання даних клієнтами — може бути ефективно вирішений за допомогою доказів коректності. Крім того, докази коректності надають набір інструментів, які дозволяють створювати Plasma-подібні ланцюги, що виконують EVM. Гарантії безпеки Plasma не охоплюють усіх користувачів, оскільки фундаментальні причини, що ускладнюють розширення Plasma-стилю виходу на багато складних застосунків, залишаються. Проте на практиці можна захистити дуже велику частку активів.

 

Далі я детально розповім, як Plasma досягає цього.

 

Огляд: як працює Plasma

Найпростішу версію Plasma для розуміння — це Plasma Cash. Plasma Cash працює, розглядаючи кожен окремий токен як незалежний NFT і відстежуючи окрему історію для кожного токена. У Plasma-ланцюзі є оператор, який створює та періодично публікує блоки. Транзакції в кожному блоці зберігаються у вигляді розрідженого дерева Меркля: якщо транзакція передає право власності на токен k, вона з’являється у позиції k дерева. Коли оператор Plasma-ланцюга створює новий блок, він публікує корінь дерева Меркля на ланцюгу та безпосередньо надсилає кожному користувачу гілку Меркля, що відповідає токенам, якими він володіє.

 

 

Припустимо, це останні три дерева транзакцій у Plasma Cash-ланцюзі. Тоді, якщо всі попередні дерева були дійсними, ми знаємо, що Eve наразі володіє токеном 1, David — токеном 4, George — токеном 6.

 

Основний ризик у будь-якій системі Plasma — це недобросовісна поведінка оператора. Це може статися двома способами:

 

1. Публікація недійсного блоку (наприклад, оператор включає транзакцію, яка передає токен 1 від Fred до Hermione, навіть якщо Fred на той момент не володів цим токеном);

 

2. Публікація недоступного блоку (наприклад, оператор не надіслав одну з гілок Меркля Bob, унеможлививши для нього довести іншим, що його токен досі дійсний і не витрачений).

 

Якщо дії оператора стосуються активів користувача, користувач повинен негайно вийти (конкретно, протягом 7 днів). Коли користувач («той, хто виходить») виходить, він надає гілку Меркля, що доводить включення транзакції, яка передала токен від попереднього власника йому. Це запускає 7-денний період оскарження, протягом якого інші можуть оскаржити цей вихід, надавши одну з трьох гілок Меркля:

 

1. Неактуальний власник: наступна транзакція, підписана тим, хто виходить, яка передає токен іншій особі;

 

2. Подвійна оплата: транзакція, яка передає токен від попереднього власника іншій особі, включена до транзакції, що передує передачі токена тому, хто виходить;

 

3. Недійсна історія: транзакція, яка передає токен за останні 7 днів, але не має відповідної витрати. Той, хто виходить, може відповісти, надавши відповідну витрату; якщо ні — вихід не відбудеться.

 

 

Згідно з цими правилами, кожен, хто володіє токеном k, повинен бачити всі гілки Меркля у позиції k у всіх історичних деревах за останній тиждень, щоб переконатися, що він дійсно володіє токеном k і може його вивести. Вони повинні зберігати всі гілки, що містять передачі активів, щоб мати змогу відповісти на оскарження та безпечно вивести свої токени.

 

Розширення на замінні токени

Вищезазначений дизайн підходить для незамінних токенів (NFT). Проте набагато поширенішими є замінні токени, такі як ETH і USDC. Один зі способів застосувати Plasma Cash до замінних токенів — розглядати кожен дрібний номінал токена (наприклад, 0,01 ETH) як окремий NFT. На жаль, у такому випадку вартість gas для виходу буде занадто високою.

 

Одне з рішень — оптимізувати обробку багатьох сусідніх токенів як одного блоку, який можна передати або вивести за раз. Є два способи це зробити:

 

1. Використовувати Plasma Cash майже без змін, але застосовувати складні алгоритми для дуже швидкого обчислення дерева Меркля для великої кількості об'єктів, якщо багато сусідніх об'єктів однакові. Це, несподівано, не так вже й складно; тут можна побачити реалізацію на Python.

 

2. Використовувати Plasma Cashflow, яка просто представляє багато сусідніх токенів як один об'єкт.

 

Однак обидва ці підходи стикаються з проблемою фрагментації: якщо ви отримали по 0,001 ETH від сотень людей, які купували каву, ви будете мати 0,001 ETH у багатьох місцях дерева, тому фактичний вихід цих ETH все одно вимагатиме подання багатьох окремих виходів, що робить вартість gas надто високою. Протоколи дефрагментації вже були розроблені, але їх впровадження досить складне.

 

Інший підхід — перепроектувати систему, використовуючи більш традиційну модель «невикористаних виходів транзакцій» (UTXO). Коли ви виводите токен, ви повинні надати історію цих токенів за останній тиждень, і будь-хто може оскаржити ваш вихід, довівши, що ці історичні токени вже були виведені.

 

 

Виведення UTXO на 0,2 ETH у правому нижньому куті може бути скасовано, якщо показати виведення будь-якого з UTXO в його історії, як показано зеленим кольором. Особливо зверніть увагу, що UTXO у середньому ліворуч і нижньому ліворуч є предками, а UTXO у верхньому ліворуч — ні. Цей підхід схожий на ідею послідовного фарбування у протоколах кольорових токенів приблизно 2013 року.

 

Існує кілька технічних способів реалізувати це. У всіх випадках мета — відстежувати певне поняття «однакових токенів» у різних точках історії, щоб запобігти дворазовому виведенню «однакових токенів».

 

Виклики розширення на EVM

На жаль, розширити це на EVM поза платежами набагато складніше. Ключова проблема полягає в тому, що багато об'єктів стану в EVM не мають чіткого «власника». Безпека Plasma залежить від того, що кожен об'єкт має власника, який відповідає за моніторинг і забезпечення доступності даних у ланцюгу та вихід у разі проблем. Проте багато застосунків Ethereum працюють інакше. Наприклад, пул ліквідності Uniswap не має єдиного власника.

 

Ще одна проблема — EVM не намагається обмежити залежності. У блоці N ETH, що зберігається на рахунку A, може походити з будь-якого місця у блоці N-1. Щоб вийти до узгодженого стану, Plasma-ланцюг EVM повинен мати гру на вихід, у крайніх випадках користувач, який хоче вийти, використовуючи інформацію з блоку N, може бути змушений оплатити публікацію всього стану блоку N у ланцюгу: вартість може сягати мільйонів доларів. UTXO-based Plasma не має цієї проблеми: кожен користувач може вийти зі своїми активами з останнього блоку, для якого у нього є дані.

 

Третя проблема — нескінченні залежності в EVM ускладнюють створення узгоджених стимулів для доказу коректності. Коректність будь-якого стану залежить від усього іншого, тому доведення будь-чого вимагає доведення всього. У такій ситуації через проблему доступності даних зазвичай неможливо зробити стимулювання сумісним із відмовою. Особливо дратує те, що ми втрачаємо гарантію, яка існує у UTXO-based системах: стан об'єкта не може бути змінений без згоди його власника. Ця гарантія дуже корисна, оскільки означає, що власник завжди знає останній доведений стан своїх активів і спрощує гру на вихід. Без неї створення гри на вихід стає набагато складнішим.

 

Як докази коректності пом’якшують ці проблеми

Найбільш базова функція доказів коректності — це доведення коректності кожного Plasma-блоку на ланцюгу. Це значно спрощує простір дизайну: нам потрібно турбуватися лише про атаки оператора з недоступними блоками, а не про недійсні блоки. Наприклад, у Plasma Cash це усуває занепокоєння щодо історичних оскаржень. Це зменшує обсяг стану, який користувач повинен завантажити, з однієї гілки на кожен блок за останній тиждень до однієї гілки на кожен актив.

 

Крім того, виведення з останнього стану (у звичайному випадку, коли оператор чесний, усі виведення відбуваються з останнього стану) не підлягає оскарженню неактуальним власником, тому у Plasma-ланцюгах з доказами коректності такі виведення взагалі не підлягають оскарженню. Це означає, що у нормальних умовах виведення можна здійснювати негайно.

 

Розширення на EVM: паралельний граф UTXO

У випадку EVM докази коректності дозволяють нам робити ще дещо розумне: їх можна використати для реалізації паралельного графу UTXO для ETH і ERC 20 токенів і довести еквівалентність між графом UTXO та станом EVM за допомогою SNARK. Як тільки це буде зроблено, можна реалізувати «звичайну» систему Plasma на графі UTXO.

 

 

Це дозволяє нам обійти багато складнощів EVM. Наприклад, у системі на основі акаунтів хтось може змінити ваш акаунт без вашої згоди (надіславши вам токени, збільшуючи баланс), але це неважливо, оскільки Plasma будується не на самому стані EVM, а на паралельному до EVM стані UTXO, і будь-які отримані вами токени будуть незалежними об'єктами.

 

Розширення на EVM: повний вихід стану

Вже були запропоновані простіші схеми для створення «Plasma EVM», наприклад Plasma Free, а також ця стаття 2019 року. У цих схемах будь-хто може надіслати повідомлення на L1, змусивши оператора або включити транзакцію, або зробити певну гілку стану доступною. Якщо оператор цього не зробить, ланцюг починає відкочувати блоки. Як тільки хтось опублікує повну копію всього стану, або принаймні всі дані, які користувачі позначили як потенційно відсутні, ланцюг припиняє відкочування. Для здійснення виведення може знадобитися оголосити винагороду, яка покриє частку вартості gas для користувача, що опублікує таку велику кількість даних.

 

Такі схеми мають недолік: у звичайних умовах вони не дозволяють здійснювати миттєве виведення, оскільки завжди існує ймовірність необхідності відкочування до останнього стану.

 

Обмеження схем Plasma для EVM

Такі схеми потужні, але не можуть забезпечити повні гарантії безпеки для всіх користувачів. Найочевидніший випадок невдачі — коли певний об'єкт стану не має чіткого економічного «власника».

 

Розглянемо випадок CDP (позиції забезпеченого боргу), смарт-контракту, в якому користувач блокує токени, які можна розблокувати лише після погашення боргу. Припустимо, користувач заблокував 1 ETH у CDP (за ціною на момент написання статті близько 2000 доларів США) і має борг у 1000 DAI. Тепер Plasma-ланцюг припиняє публікацію блоків, а користувач відмовляється виходити. Користувач може просто ніколи не виходити. Таким чином, у користувача з'являється безкоштовна опція: якщо ціна ETH впаде нижче 1000 доларів, він відмовиться від CDP, якщо ціна ETH залишиться вище 1000 доларів, зрештою він його забере. У середньому такий зловмисний користувач буде на цьому заробляти.

 

Інший приклад — системи приватності, такі як Tornado Cash або Privacy Pools. Розглянемо систему приватності з п'ятьма вкладниками:

 

 

У системах приватності ZK-SNARKs приховують зв'язок між власником токенів, що входять у систему, і власником токенів, що виходять із системи.

 

Припустимо, що лише оранжевий вже вивів, і в цей момент оператор Plasma-ланцюга припиняє публікацію даних. Припустимо, ми використовуємо підхід графу UTXO з правилом FIFO, тому кожен токен відповідає токену під ним. Тоді оранжевий може вивести свої токени до і після мікшування, і система розглядатиме їх як два незалежні токени. Якщо синій спробує вивести свій токен до мікшування, оновлений стан оранжевого його замінить; водночас синій не матиме інформації для виведення свого токена після мікшування.

 

Якщо дозволити іншим чотирьом вкладникам вивести сам контракт приватності (що замінить депозит), а потім вивести токени на L1, цю проблему можна вирішити. Однак фактична реалізація такого механізму вимагає додаткових зусиль від розробників системи приватності.

 

Існують й інші способи вирішення проблеми приватності, наприклад підхід Intmax, який передбачає розміщення кількох байтів у стилі rollup на ланцюгу, а оператор Plasma-подібної системи передає інформацію між користувачами.

 

Позиції Uniswap LP мають подібну проблему: якщо ви обміняли ETH на USDC у позиції Uniswap, ви можете спробувати вивести свої USDC до обміну та ETH після обміну. Якщо ви змовитеся з оператором Plasma-ланцюга, постачальники ліквідності та інші користувачі не зможуть отримати доступ до стану після обміну, тому вони не зможуть вивести свої USDC після обміну. Потрібна спеціальна логіка, щоб запобігти цьому.

 

Висновок

Навіть у 2023 році Plasma залишається недооціненим дизайном. Rollups досі є золотим стандартом і мають неперевершені властивості безпеки. Це особливо стосується досвіду розробників: ніщо не зрівняється із простотою, коли розробнику застосунку навіть не потрібно думати про граф власності та потоки стимулів у своєму застосунку.

 

Однак Plasma дозволяє нам повністю обійти проблему доступності даних, значно знижуючи вартість транзакцій. Для ланцюгів, які інакше були б validiums, Plasma може стати значним підвищенням безпеки. ZK-EVMs нарешті реалізовані цього року, що дає нам чудову можливість знову дослідити цей простір дизайну та запропонувати ефективніші способи побудови, щоб спростити досвід розробників і захистити кошти користувачів.

Особлива подяка Karl Floersch, Georgios Konstantopoulos та Martin Koppelmann за внесок у відгуки, рецензії та обговорення.