O que é Finney Attack?
Uma Finney Attack acontece quando um mineiro prepara silenciosamente um bloco que envia moedas de volta para si, depois paga um comerciante com essas mesmas moedas através de uma transação não confirmada. Se o comerciante entregar os bens antes de chegar uma confirmação, o mineiro publica o bloco preparado, anulando o pagamento. Pense nisso como mostrar uma transferência pendente no caixa e depois a instituição a reverter.
As pessoas costumam assumir que uma Finney Attack exige controlo majoritário da rede. Não é esse o caso. Isso é um ataque de 51%, que é diferente. Uma Finney Attack precisa apenas de um único mineiro encontrar um bloco em privado e depois cronometrar uma compra antes de publicar esse bloco.
Como funciona a Finney Attack
Aqui está a jogada, contada de forma direta. Um mineiro prepara um pagamento para si num bloco, mantém-no privado, depois gasta as mesmas moedas com um comerciante que aceita pagamentos não confirmados. Depois de sair com os bens, publica o bloco privado, que cancela a venda.
- Preparação: O atacante faz parte da mineração, por isso pode encontrar blocos e escolher o que vai dentro.
- Privado: Mineram um bloco em segredo que envia as moedas de volta para si. A probabilidade de encontrar esse bloco depende das taxas de hash da rede e da sorte.
- Gastar: Pagam um comerciante com as mesmas moedas usando uma transação não confirmada no balcão.
- Aceitar: Se o comerciante entregar os bens antes de qualquer confirmação, o atacante transmite o seu bloco privado.
- Reorganização: A rede aceita o bloco privado, confirma o pagamento para si próprio, e o pagamento do comerciante desaparece. O atacante fica com as moedas e com os bens.
Rápido, furtivo, e só funciona quando se aceitam pagamentos sem confirmação.
Porque a Finney Attack é relevante
O que deve reter disto?
- Benefício: Saber que isto existe ajuda a evitar que burlões fiquem com mercadoria e que você perca fundos.
- Perspetiva: É uma forma dirigida de gasto duplo, e explora a impaciência no ponto de venda.
- Relevância: Verá isto discutido em pagamentos cripto no comércio presencial, em trocas entre pares, e em mercados que aceitam transações não confirmadas.
Para qualquer coisa que seja doloroso perder, espere pelo menos uma confirmação ou use um serviço de custódia ou um pagamento via Lightning. Aceitar pagamentos sem confirmação é aceitável para compras muito pequenas, mas estabeleça limites e treine a equipa para nunca pressionar o ecrã de forma apressada.
Características principais da Finney Attack
As características distintivas são fáceis de reconhecer uma vez que as conheça:
- Carregamento prévio: Um bloco privado inclui um pagamento para si próprio antes da compra na loja.
- Mineiro: Só funciona se o atacante puder minerar um bloco, não qualquer pessoa com uma carteira.
- Temporização: A janela é curta, entre a venda e a divulgação desse bloco privado.
- Alvo: Comerciantes ou pares que aceitam transações não confirmadas.
- Âmbito: Não requer controlo majoritário; é um truque dirigido.
Variações
Movimentos relacionados que pode ouvir, e uma confusão comum:
- Corrida: O atacante publica dois pagamentos conflitantes e espera que o do comerciante seja confirmado primeiro, só para depois perder quando o outro é confirmado.
- Vector76: Uma mistura que combina a construção de blocos privados com uma corrida na rede, normalmente contra exchanges ou grandes vendedores.
- Mineração inicial: Não é o mesmo que mineração prévia de moedas, que se refere a alocar oferta antes do lançamento.
- Ferramentas: Alguns atacantes automatizam isto como um exploit, programando a publicação do bloco no momento em que a venda é concluída.
As confirmações existem por uma razão. Se aceitar um pagamento não confirmado de um completo estranho, uma Finney Attack é uma possibilidade, especialmente se a pessoa parecer demasiado ansiosa para que pressione confirmar agora.
Exemplo
Uma pequena loja de eletrónica aceita um pagamento sem confirmação por um portátil, o comprador sai, depois aparece um bloco minerado em privado que cancela a venda, um exemplo clássico de Finney Attack.
Curiosidade
Recebe o nome de Hal Finney, figura histórica do início do Bitcoin e destinatário da primeira transação de Satoshi. Ele escreveu sobre este truque para explicar porque faz sentido esperar por confirmações.
Resumo
Se lembrar de uma coisa, lembre-se disto: Finney Attack só causa danos quando se confia num pagamento não confirmado.