BitVM et le problème du pont

Curiosité

1. Comment Bitcoin peut-il imposer le résultat d’un calcul arbitraire sans exécuter le code sur la chaîne ?
2. Pourquoi un jeu de défi-réponse construit à partir de scripts Taproot permet-il une vérification quasi Turing-complète sans soft fork ?
3. Quel est le compromis de sécurité lorsque la liveness dépend de la présence de quelqu’un qui surveille pour contester une affirmation frauduleuse ?

Explorer

Partie IBitVM

1. Les règles de consensus de Bitcoin excluent délibérément l’exécution de code arbitraire. Ce choix évite les vulnérabilités complexes propres aux smart contracts, mais limite les scripts à des conditions comme les signatures, le multisig, les timelocks et les hashlocks. En octobre 2023, Robin Linus a présenté BitVM, un protocole qui permet des calculs hors chaîne tout en gardant le résultat final vérifiable sur la chaîne. Il permet aux parties de verrouiller des bitcoins dans une transaction dont la dépense dépend d’un calcul externe effectué en dehors de la blockchain.
2. Le mécanisme de base reproduit une porte logique NAND à l’aide des opcodes existants de Bitcoin : OP_BOOLAND joue le rôle d’une porte ET, et OP_NOT celui d’une porte NON. Les portes NAND étant universelles, les circuits construits à partir d’elles peuvent en principe exprimer n’importe quel calcul, le tout sans modifier les règles de consensus. Cette approche déplace la charge de calcul hors chaîne tout en conservant la sécurité sur la chaîne.
3. Ces séquences complexes de calcul NAND sont stockées sous forme de feuilles dans l’arbre syntaxique abstrait merklisé (MAST) d’une transaction Taproot. Cela tire parti des gains de confidentialité et d’efficacité apportés par Taproot, activé en novembre 2021 au bloc 709 632, qui permet aux scripts complexes de rester cachés jusqu’à ce qu’ils soient nécessaires. Cette structure prend en charge les grands arbres de scripts qu’exigent les jeux de vérification en plusieurs étapes.
4. Si le prouveur affirme un résultat frauduleux issu du calcul hors chaîne, le vérificateur peut le contester sur la chaîne. Le prouveur doit alors répondre à la contestation ; si une étape se révèle incohérente ou si le prouveur ne répond pas à temps, le vérificateur récupère les fonds verrouillés. Ce modèle de vérification « optimiste » déplace l’essentiel du travail hors chaîne tout en maintenant la sécurité grâce à la menace d’une contestation.
5. La première version fonctionnait entre deux parties, mais BitVM2 (2024) permet à n’importe qui de contester une affirmation, ce qui va vers une vérification sans permission. La cible principale est celle des ponts à confiance minimisée, dans lesquels des bitcoins verrouillés sur la chaîne ne peuvent être libérés que si l’état revendiqué d’un autre système est valide.
6. Les principales limites sont une mise en place lourde, d’importants besoins en données hors chaîne et des hypothèses de liveness. Quelqu’un doit surveiller activement pour contester les affirmations frauduleuses dans le délai imparti ; si personne ne le fait, un état incorrect peut être finalisé. Ce compromis entre décentralisation et charge opérationnelle définit les limites pratiques actuelles des implémentations de BitVM.

Partie IIBitVM et le problème du pont

7. Les règles de consensus de Bitcoin vérifient les signatures et la validité des UTXO, mais ne peuvent pas exécuter de transitions d’état arbitraires hors chaîne. Transférer de la valeur vers une couche 2 exige un pont qui ancre l’état de la chaîne externe à Bitcoin. Les ponts traditionnels reposent sur des fédérations de signataires ; si la majorité s’entend, les utilisateurs perdent leurs fonds. Ce modèle de confiance centralisé contredit la conception permissionless de Bitcoin, d’où le besoin de mécanismes qui minimisent le risque de garde sans modifier les règles de consensus.
8. Robin Linus a présenté BitVM en octobre 2023, en montrant comment un calcul arbitraire peut être vérifié sur la chaîne grâce à des jeux de contestation optimistes. Le protocole décompose une logique complexe en opérations bit à bit, plus précisément en portes NAND, qui sont universelles pour les circuits numériques. Ces opérations sont encodées dans la structure MAST d’une transaction Taproot. Bitcoin n’exécute pas le programme complet ; il vérifie seulement l’exactitude d’étapes individuelles lorsqu’un litige est soulevé.
9. BitVM repose sur une hypothèse optimiste : les calculs sont considérés comme corrects par défaut, sauf preuve du contraire. Si un opérateur soumet une transition d’état invalide, un autre participant peut soumettre une contre-preuve pour la contester. Le modèle de confiance passe ainsi d’une fédération de confiance à une hypothèse d’honnêteté « 1-sur-n ». Il doit exister au moins un validateur honnête pour détecter la fraude. Si cela réduit le risque de collusion par rapport aux fédérations, il faut néanmoins que quelqu’un continue de surveiller et soit prêt à payer pour lancer une contestation.
10. Le mécanisme entraîne des coûts importants. Les opérateurs avancent leur propre capital pour honorer les retraits et le récupèrent plus tard, ce qui immobilise des liquidités. Les transactions de contestation sont volumineuses en raison de la complexité des preuves bit à bit et consomment beaucoup d’espace dans les blocs. De plus, de nombreuses implémentations utilisent des montants de peg fixes pour simplifier la gestion de l’état, ce qui limite la flexibilité. Ces contraintes signifient que si BitVM minimise la confiance, il n’est pas pour autant trustless : les utilisateurs dépendent toujours des incitations économiques et de l’exactitude technique du protocole de contestation.
11. Des avancées récentes comme BitVM2 affinent ces contestations, en réduisant la taille des transactions et en améliorant l’efficacité. Des projets comme Citrea construisent des rollups sur ce cadre, avec pour objectif des garanties de sécurité où une seule partie honnête peut empêcher la fraude. Le problème du pont persiste pourtant : Bitcoin ne peut pas interpréter nativement les racines d’état d’autres chaînes. Le pont est un jeu d’incitations construit au-dessus de Bitcoin, et non quelque chose que Bitcoin fait respecter lui-même. Les utilisateurs doivent mettre en balance la réduction du risque de collusion avec la complexité et les besoins en capital accrus.
12. L’examen d’une transaction basée sur BitVM en révèle la structure. Ouvrez un explorateur de blocs et repérez une sortie Taproot associée à un pont de rollup. Taproot masque les chemins de script inutilisés, de sorte que seul le chemin effectivement dépensé est révélé ; en cas de litige, ce chemin transporte bien plus de données witness qu’une simple signature. Cette différence tangible de poids de transaction reflète la surcharge de calcul liée au maintien d’une sécurité optimiste dans l’espace de bloc fixe de Bitcoin.

Faits clés

Exercice neuf, six, trois, un

Vérification des faits

Les dates, les chiffres et les affirmations ont été vérifiés à l’aide des sources publiées listées ci-dessous.

• R. Linus, 'BitVM: Compute Anything on Bitcoin' (October 2023)
• R. Linus et al., 'BitVM2: Bridging Bitcoin to Second Layers' (2024)
• Bitcoin Optech, 'Accountable Computing Contracts' topic page (BitVM)
• Citrea Clementine bridge documentation
• BIP-341: Taproot