Cosa succederebbe a bitcoin se Internet si interrompesse in tutto il mondo per un giorno?

Anche se dovesse scoppiare la Terza Guerra Mondiale, Bitcoin non scomparirà.

Autore: Liam 'Akiba' Wright

Traduzione: Chopper, Foresight News

Immagina che la dorsale globale di Internet crolli in un solo giorno.

Sia per errore umano, vulnerabilità catastrofica del software, virus informatici malevoli o conflitto militare diretto — se i nodi fisici di scambio di Internet che collegano il mondo dovessero improvvisamente spegnersi, quale sarebbe il destino di Bitcoin?

Se Francoforte, Londra, Virginia, Singapore e Marsiglia dovessero andare offline contemporaneamente, la rete Bitcoin si dividerebbe in tre partizioni indipendenti.

Le comunicazioni attraverso l’Atlantico, il Mediterraneo e le principali rotte transpacifiche si fermerebbero; le Americhe, il continente euro-africano, il Medio Oriente e la regione Asia-Pacifico formerebbero ciascuno una propria storia di transazioni indipendente, fino al ripristino della connessione di rete.

All’interno di ogni partizione, i miner continuerebbero a produrre blocchi in base all’hashrate residuo

Seguendo l’obiettivo di un blocco ogni 10 minuti, la regione con il 45% dell’hashrate produrrebbe circa 2,7 blocchi all’ora, quella con il 35% circa 2,1 blocchi, e quella con il 20% circa 1,2 blocchi. Poiché i nodi non possono scambiarsi header di blocco o dati di transazione tra partizioni, ogni regione estenderebbe in modo indipendente una propria blockchain valida, senza esserne a conoscenza.

Col passare del tempo e con la variazione della distribuzione dell’hashrate, la lunghezza delle biforcazioni naturali continuerebbe a crescere.

Questo ritmo di partizionamento rende inevitabile la divisione della catena. Abbiamo assegnato una stima approssimativa dell’hashrate per ciascuna regione: Americhe 45%, Asia-Pacifico 35%, Euro-Africa 20%, e simulato su questa base.

La partizione americana aggiungerebbe circa 6 blocchi ogni due ore, quella Asia-Pacifico circa 4-5, e quella euro-africana circa 2-3.

Dopo un’intera giornata, il numero di blocchi delle catene divise supererebbe il centinaio, andando oltre il normale range di riorganizzazione e costringendo i servizi a considerare le conferme regionali come temporanee.

La profondità potenziale di riorganizzazione delle partizioni fallite cresce linearmente con il tempo di isolamento

Il mempool locale si dividerebbe immediatamente. Una transazione trasmessa da New York non potrebbe raggiungere Singapore, quindi il destinatario fuori dalla partizione del mittente non vedrebbe affatto la transazione fino al ripristino della rete.

Il mercato delle commissioni in ogni partizione assumerebbe caratteristiche locali. Gli utenti dovrebbero competere con l’hashrate regionale per lo spazio limitato dei blocchi, quindi nelle regioni con bassa quota di hashrate ma alta domanda, le commissioni aumenterebbero più rapidamente.

Quando la conferma delle transazioni perde la finalità globale, exchange, processori di pagamento e wallet custodial solitamente sospendono i prelievi e i regolamenti on-chain; le controparti della Lightning Network affrontano incertezza — le transazioni confermate nella partizione di minoranza potrebbero diventare invalide.

Coordinamento automatico dopo il ripristino della rete

Quando la connessione di rete viene ripristinata, i nodi avviano un processo di coordinamento automatico: ogni nodo confronta le diverse blockchain e si riorganizza sulla catena valida con il maggior lavoro cumulativo.

I costi effettivi si concentrano principalmente su tre aspetti:

• La riorganizzazione rende invalidi i blocchi delle partizioni di minoranza, con profondità di invalidazione che dipende dalla durata della divisione;
• È necessario ritrasmettere e riordinare in base alla priorità le transazioni confermate solo sulle catene fallite;
• Exchange e custodi devono eseguire controlli operativi aggiuntivi prima di ripristinare i servizi.

In una divisione di rete di 24 ore, dopo il ripristino della connessione potrebbero essere isolati da decine a centinaia di blocchi delle partizioni di minoranza. I servizi correlati richiederebbero ulteriori ore per ricostruire il mempool, ricalcolare i saldi e riattivare i prelievi.

Poiché i canali fiat, i controlli di conformità e la gestione dei canali richiedono revisione manuale, la piena normalizzazione dell’attività economica spesso ritarda rispetto al livello di protocollo.

Simulare lo stato di isolamento in base alla “quota di hashrate raggiungibile” invece che al numero di hub rende più comprensibile la sua dinamica:

• Quando il 30% dell’hashrate è isolato, la partizione di minoranza produce circa 1,8 blocchi all’ora. Questo significa che un pagamento standard con 6 conferme in questa partizione rischia di diventare invalido dopo circa 3 ore e 20 minuti — se il restante 70% della rete costruisce una catena più lunga, questi 6 blocchi potrebbero essere isolati.
• In uno scenario di divisione quasi 50/50, il lavoro cumulativo delle due partizioni è simile; anche una breve divisione può portare a storie di transazione “confermate” e in competizione su entrambi i lati, con esito casuale dopo la riconnessione.
• In uno scenario 80/20, la partizione di maggioranza vince quasi sicuramente; i circa 29 blocchi prodotti dalla partizione di minoranza in un giorno saranno isolati al momento della fusione, annullando molte transazioni già confermate in quella regione.

Il rischio di riorganizzazione è il prodotto tra “tempo” e “hashrate della partizione di minoranza”; la situazione più pericolosa è “isolamento prolungato + divisione dell’hashrate quasi equa”

Il ruolo degli strumenti di resilienza esistenti

Esistono già diversi strumenti per aumentare la resilienza della rete, che influenzano l’impatto effettivo dopo la disconnessione:

Downlink satellitari, ripetitori radio ad alta frequenza, reti tolleranti al ritardo, reti mesh e bridge Tor sono metodi di trasmissione alternativi che possono trasmettere header di blocco o flussi di transazioni ridotti su rotte danneggiate.

Questi percorsi hanno larghezza di banda ridotta e latenza elevata, ma anche trasmissioni intermittenti di dati tra partizioni possono ridurre la profondità delle biforcazioni facendo filtrare alcuni blocchi e transazioni nelle altre partizioni.

La diversità delle connessioni tra i nodi dei mining pool e la distribuzione geografica dei pool aumentano la probabilità che alcuni dati si propaghino globalmente tramite canali laterali, limitando così la profondità e la durata della riorganizzazione quando la dorsale viene ripristinata.

Durante la divisione della rete, le linee guida operative per i partecipanti al mercato sono chiare:

• Sospendere i regolamenti tra partizioni, considerare tutte le conferme delle transazioni come temporanee e ottimizzare il calcolo delle commissioni in base all’aumento locale delle fee;
• Gli exchange possono passare alla modalità di proof-of-reserves mentre sospendono i prelievi, aumentare la soglia di conferma per gestire il rischio delle partizioni di minoranza e pubblicare politiche chiare — impostando il numero di conferme richieste in base alla durata dell’isolamento;
• I wallet dovrebbero avvisare chiaramente gli utenti del rischio di finalità regionale, disabilitare il rebalance automatico dei canali e mettere in coda le transazioni urgenti per ritrasmetterle dopo il ripristino della rete;
• I miner dovrebbero mantenere connessioni upstream diversificate ed evitare di modificare manualmente la regola standard di “selezione della catena più lunga” durante il coordinamento.

Dal punto di vista progettuale, il protocollo può sopravvivere — dopo la riconnessione dei nodi, questi convergeranno automaticamente sulla catena con il maggior lavoro cumulativo.

Tuttavia, l’esperienza utente durante la divisione peggiorerà notevolmente, poiché la finalità economica dipende dalla propagazione coerente dei dati a livello globale.

Nello scenario peggiore di disconnessione di più hub per un giorno intero, la situazione più probabile è: collasso temporaneo della disponibilità transfrontaliera, aumento drastico e disomogeneo delle commissioni, e riorganizzazioni profonde che rendono invalide le conferme regionali.

Dopo il ripristino della rete, il software correggerà in modo deterministico il ledger e, dopo i controlli operativi, i servizi riprenderanno tutte le funzionalità.

L’ultimo passo è: una volta che saldo e storia delle transazioni sulla catena vincente sono allineati, riaprire i prelievi e i canali Lightning Network.

Se la divisione non potesse mai essere riparata

Cosa succederebbe se gli hub della dorsale menzionati all’inizio non potessero mai essere ripristinati? In questo scenario distopico, il Bitcoin che conosciamo non esisterebbe più.

Sarebbe sostituito da partizioni geografiche permanenti, ciascuna come una rete Bitcoin indipendente: condividono le stesse regole, ma non possono comunicare tra loro.

Ogni partizione continuerebbe a minare, ad aggiustare la difficoltà secondo il proprio ritmo e a sviluppare economie, order book e mercati delle commissioni indipendenti. Se la connessione non viene ripristinata o non si sceglie manualmente una singola catena, non esiste alcun meccanismo per conciliare le storie di transazione delle diverse partizioni.

Consenso e aggiustamento della difficoltà

Prima che ogni partizione completi il prossimo aggiustamento della difficoltà ogni 2016 blocchi, il tempo di blocco varierà in base all’hashrate raggiungibile. Dopo l’aggiustamento, ogni partizione stabilizzerà nuovamente il tempo di blocco locale intorno ai 10 minuti.

In base alle stime precedenti delle quote di hashrate, i tempi per il primo aggiustamento della difficoltà di ciascuna partizione sono i seguenti:

Dopo il primo aggiustamento, ogni partizione manterrà un tempo di blocco di circa 10 minuti, procedendo poi con halving e aggiustamenti della difficoltà in modo indipendente.

Senza connessioni transoceaniche, ogni regione impiegherebbe rispettivamente 31, 40 e 70 giorni per raggiungere il primo obiettivo di riaggiustamento della difficoltà

Poiché la velocità di raggiungimento dell’altezza dell’halving differisce prima del primo aggiustamento della difficoltà, le date di halving delle partizioni si discosteranno gradualmente nel tempo reale.

Offerta e “definizione di Bitcoin”: commissioni, mempool e pagamenti

All’interno di ogni partizione, il limite di offerta di 21 milioni di monete per singola catena rimane valido. Ma a livello globale, la quantità totale di Bitcoin in tutte le partizioni supererà i 21 milioni — poiché ogni catena assegnerà ricompense per i blocchi in modo indipendente.

Questo crea tre asset BTC economicamente incompatibili: condividono indirizzi e chiavi private, ma hanno insiemi diversi di UTXO (output di transazione non spesi).

Le chiavi private possono controllare contemporaneamente i token di tutte le partizioni: se un utente spende lo stesso UTXO in due regioni, entrambe le transazioni sono valide sulle rispettive catene locali, creando infine “token divisi”: condividono la storia pre-divisione, ma hanno storie post-divisione completamente diverse.

• Il mempool diventerà permanentemente locale, i pagamenti tra partizioni non potranno propagarsi e qualsiasi tentativo di pagare utenti di altre partizioni non raggiungerà mai il destinatario.
• Il mercato delle commissioni raggiungerà un equilibrio locale: per il lungo periodo prima del primo aggiustamento della difficoltà, la capacità delle partizioni con bassa quota di hashrate sarà più limitata, tornando normale dopo l’aggiustamento.
• I canali Lightning Network tra partizioni non potranno essere instradati: gli HTLC (hash time-locked contracts) scadranno, le controparti pubblicheranno le transazioni di commitment e la chiusura dei canali sarà valida solo nella partizione locale, mentre la liquidità tra partizioni si bloccherà.

Sicurezza, mercato e infrastruttura

Il budget di sicurezza di ogni partizione equivale alla somma dell’hashrate locale e delle commissioni. Nelle regioni con solo il 20% dell’hashrate pre-divisione, il costo di un attacco sarà molto inferiore rispetto alla rete globale originale.

Nel lungo termine, i miner potrebbero migrare verso le partizioni con “prezzo del token più alto e costo energetico più basso”, cambiando così il panorama della sicurezza di ciascuna partizione.

Poiché non è possibile trasmettere header di blocco tra partizioni, un attaccante in una partizione non può alterare la storia delle transazioni di un’altra, quindi gli attacchi saranno limitati a una regione specifica.

• Gli exchange diventeranno regionali, i codici delle coppie di trading si differenzieranno — di fatto emergeranno BTC-A (versione americana), BTC-E (versione euro-africana), BTC-X (versione Asia-Pacifico) con prezzi diversi, anche se ogni partizione continuerà a chiamarli BTC.
• I canali fiat, i servizi di custodia, i mercati dei derivati e le reti di regolamento si concentreranno sulle catene regionali. I fornitori di indici e dati dovranno scegliere una singola catena per ogni piattaforma o pubblicare dati aggregati di più catene regionali.
• Gli asset cross-chain e gli oracle che dipendono da fonti di dati globali diventeranno inutilizzabili o si divideranno in versioni regionali.

Le regole del protocollo rimarranno coerenti finché non vengono modificate tramite coordinamento interno alla partizione, ma un upgrade in una partizione non avrà effetto sulle altre, portando a una graduale divergenza delle regole nel lungo termine.

Il software dei mining pool, i block explorer e i wallet dovranno costruire infrastrutture indipendenti per ogni partizione; i servizi multi-homing non potranno coordinare i saldi tra catene senza strategie manuali.

Le partizioni possono riorganizzarsi senza connessioni tra hub?

Se non sarà mai possibile ripristinare i percorsi di comunicazione, la convergenza a livello di protocollo sarà impossibile.

L’unico modo per tornare a un unico ledger è tramite mezzi sociali e operativi: ad esempio, coordinando le parti per scegliere la catena di una partizione come legittima e abbandonando o riproducendo le transazioni delle altre partizioni.

Dopo settimane di profonda divergenza, la riorganizzazione automatica verso una singola catena non è più fattibile.

Punti operativi chiave

Dobbiamo trattare la divisione permanente come un “hard fork che condivide la storia pre-divisione”:

• Gestire correttamente le chiavi private per poter spendere in sicurezza i token post-divisione;
• Utilizzare solo output di transazione unici per una singola regione, evitando replay accidentali tra partizioni;
• Stabilire sistemi di contabilità, meccanismi di pricing e controlli di rischio indipendenti per ogni partizione.

Miner, exchange e custodi dovrebbero selezionare la partizione principale, pubblicare l’identificativo della catena e stabilire politiche di deposito e prelievo per ciascuna catena.

In breve, se gli hub della dorsale non potranno mai essere ripristinati e nessun percorso alternativo colmerà il divario di comunicazione, Bitcoin non scomparirà, ma si evolverà in molteplici reti Bitcoin indipendenti, che non potranno mai più riunirsi.