BitVM und das Brückenproblem

Neugier

1. Wie kann Bitcoin das Ergebnis einer beliebigen Berechnung durchsetzen, ohne den Code on-chain auszuführen?
2. Warum ermöglicht ein Challenge-Response-Spiel aus Taproot-Skripten eine nahezu Turing-vollständige Verifikation ohne Soft Fork?
3. Welcher Sicherheitskompromiss entsteht, wenn die Liveness davon abhängt, dass jemand aufpasst, um einen betrügerischen Anspruch anzufechten?

Erkunden

Teil IBitVM

1. Die Konsensregeln von Bitcoin schließen die Ausführung beliebigen Codes bewusst aus. Dieses Design verhindert Schwachstellen komplexer Smart Contracts, beschränkt Skripte jedoch auf Bedingungen wie Signaturen, Multisig, Timelocks und Hashlocks. Im Oktober 2023 stellte Robin Linus BitVM vor, ein Protokoll, das Off-Chain-Berechnungen ermöglicht, während das Endergebnis on-chain überprüfbar bleibt. Es erlaubt Parteien, Bitcoin in einer Transaktion zu sperren, deren Ausgabe von einer externen Berechnung abhängt, die außerhalb der Blockchain durchgeführt wird.
2. Der Kernmechanismus bildet ein NAND-Logikgatter mit den vorhandenen Opcodes von Bitcoin nach: OP_BOOLAND fungiert als AND-Gatter und OP_NOT als NOT-Gatter. Da NAND-Gatter universell sind, können daraus gebaute Schaltungen im Prinzip jede Berechnung ausdrücken, und das ganz ohne Änderung der Konsensregeln. Dieser Ansatz verlagert die Rechenlast off-chain und wahrt zugleich die On-Chain-Sicherheit.
3. Diese komplexen NAND-Rechensequenzen werden als Blätter im Merkleized Abstract Syntax Tree (MAST) einer Taproot-Transaktion gespeichert. Dabei werden die Vorteile von Taproot bei Privatsphäre und Effizienz genutzt (Taproot wurde im November 2021 bei Block 709.632 aktiviert), sodass komplexe Skripte verborgen bleiben, bis sie benötigt werden. Die Struktur unterstützt die großen Skriptbäume, die für mehrstufige Verifikationsspiele erforderlich sind.
4. Behauptet der Beweisführer ein betrügerisches Ergebnis der Off-Chain-Berechnung, kann der Prüfer es on-chain anfechten. Der Beweisführer muss dann auf die Anfechtung antworten; erweist sich ein Schritt als inkonsistent oder antwortet der Beweisführer nicht rechtzeitig, erhält der Prüfer die gesperrten Mittel. Dieses „optimistische“ Verifikationsmodell verlagert den Großteil der Arbeit off-chain und wahrt die Sicherheit durch die Drohung eines Streitverfahrens.
5. Die erste Version funktionierte zwischen zwei Parteien, doch BitVM2 (2024) erlaubt es jedem, eine Behauptung anzufechten, und ist damit ein Schritt hin zu erlaubnisfreier Verifikation. Das Hauptziel sind vertrauensminimierte Bridges, bei denen on-chain gesperrte Bitcoin nur freigegeben werden können, wenn ein behaupteter Zustand eines anderen Systems gültig ist.
6. Die wichtigsten Einschränkungen sind ein aufwendiges Setup, große Off-Chain-Datenanforderungen und Liveness-Annahmen. Jemand muss aktiv aufpassen, um betrügerische Behauptungen innerhalb der vorgegebenen Frist anzufechten; tut das niemand, kann ein falscher Zustand finalisiert werden. Dieser Kompromiss zwischen Dezentralisierung und Betriebsaufwand bestimmt die derzeitigen praktischen Grenzen von BitVM-Implementierungen.

Teil IIBitVM und das Bridge-Problem

7. Die Konsensregeln von Bitcoin prüfen Signaturen und die Gültigkeit von UTXOs, können aber keine beliebigen Off-Chain-Zustandsübergänge ausführen. Um Werte auf einen Layer 2 zu verschieben, braucht es eine Bridge, die den Zustand der externen Chain in Bitcoin verankert. Herkömmliche Bridges stützen sich auf Föderationen von Unterzeichnern; spricht sich die Mehrheit ab, verlieren die Nutzer ihre Mittel. Dieses zentralisierte Vertrauensmodell widerspricht dem erlaubnisfreien Design von Bitcoin; daraus ergibt sich der Bedarf an Mechanismen, die das Verwahrungsrisiko minimieren, ohne die Konsensregeln zu ändern.
8. Robin Linus stellte BitVM im Oktober 2023 vor und zeigte, wie sich beliebige Berechnungen über optimistische Anfechtungsspiele on-chain verifizieren lassen. Das Protokoll zerlegt komplexe Logik in bitweise Operationen, konkret NAND-Gatter, die für digitale Schaltungen universell sind. Diese Operationen werden in der MAST-Struktur einer Taproot-Transaktion kodiert. Bitcoin führt nicht das gesamte Programm aus; stattdessen prüft es die Korrektheit einzelner Schritte nur, wenn ein Streitfall eröffnet wird.
9. BitVM beruht auf einer optimistischen Annahme: Berechnungen gelten als korrekt, solange nicht das Gegenteil bewiesen wird. Reicht ein Betreiber einen ungültigen Zustandsübergang ein, kann ein anderer Teilnehmer einen Gegenbeweis einreichen, um ihn anzufechten. Dadurch verlagert sich das Vertrauensmodell von einer vertrauenswürdigen Föderation auf eine 1-von-n-Ehrlichkeitsannahme. Mindestens ein ehrlicher Validator muss existieren, um Betrug aufzudecken. Das verringert zwar das Kollusionsrisiko im Vergleich zu Föderationen, setzt aber voraus, dass jemand fortlaufend wacht und bereit ist, für eine Anfechtung zu bezahlen.
10. Der Mechanismus verursacht erhebliche Kosten. Betreiber strecken eigenes Kapital vor, um Auszahlungen zu leisten, und holen es sich später zurück, was Liquidität bindet. Anfechtungstransaktionen sind wegen der Komplexität bitweiser Beweise groß und beanspruchen erheblichen Blockplatz. Zudem nutzen viele Implementierungen feste Peg-Beträge, um die Zustandsverwaltung zu vereinfachen, was die Flexibilität einschränkt. Diese Einschränkungen bedeuten: BitVM ist zwar vertrauensminimiert, aber nicht vertrauenslos; Nutzer sind weiterhin auf die wirtschaftlichen Anreize und die technische Korrektheit des Anfechtungsprotokolls angewiesen.
11. Neuere Entwicklungen wie BitVM2 verfeinern diese Anfechtungen, verringern die Transaktionsgrößen und steigern die Effizienz. Projekte wie Citrea bauen auf diesem Framework Rollups mit dem Ziel von Sicherheitsgarantien, bei denen eine einzige ehrliche Partei Betrug verhindern kann. Das Bridge-Problem bleibt jedoch bestehen: Bitcoin kann die State Roots anderer Chains nicht nativ interpretieren. Die Bridge ist ein Anreizspiel, das auf Bitcoin aufsetzt, nicht etwas, das Bitcoin selbst durchsetzt. Nutzer müssen das geringere Kollusionsrisiko gegen die höhere Komplexität und den höheren Kapitalbedarf abwägen.
12. Ein Blick auf eine BitVM-basierte Transaktion offenbart ihre Struktur. Öffnen Sie einen Block-Explorer und suchen Sie einen Taproot-Output, der zu einer Rollup-Bridge gehört. Taproot verbirgt ungenutzte Skriptpfade, sodass nur der tatsächlich ausgegebene Pfad offengelegt wird; im Streitfall trägt dieser Pfad weit mehr Witness-Daten als eine einfache Signatur. Dieser greifbare Unterschied im Transaktionsgewicht spiegelt den Rechenaufwand wider, der nötig ist, um optimistische Sicherheit auf dem festen Blockplatz von Bitcoin aufrechtzuerhalten.

Kernfakten

Übung neun, sechs, drei, eins

Faktcheck

Datumsangaben, Zahlen und Behauptungen wurden mit den unten aufgeführten veröffentlichten Quellen abgeglichen.

• R. Linus, 'BitVM: Compute Anything on Bitcoin' (October 2023)
• R. Linus et al., 'BitVM2: Bridging Bitcoin to Second Layers' (2024)
• Bitcoin Optech, 'Accountable Computing Contracts' topic page (BitVM)
• Citrea Clementine bridge documentation
• BIP-341: Taproot