Quote from: d5000 on June 21, 2018, 02:44:46 PM

Deshalb setzen ja viele moderne PoS-Systeme darauf, künstliche Risiken zu generieren. Beispiel: Ein Sicherheits-Deposit, das "geslasht" (=gelöscht) wird, wenn der Validator (=Min[t]er) sich nicht korrekt verhält.

Das greift insofern zwangsläufig ins Leere, als es einer Blockchain prinzipbedingt unmöglich ist, dieses "nicht korrekt verhalten" im Falle eines erfolgreichen Angriffs zu erkennen. Ist der Angriff erfolgreich, ist er auch "gültig" oder "korrekt" aus der Sicht der Blockchain.
Ist er nicht erfolgreich, bekommt die Blockchain nichts davon mit.

Quote from: d5000 on June 21, 2018, 02:44:46 PM

@qwk: Deine Definition akzeptiere ich. Die Chance für PoS ist es aber, die Wahrscheinlichkeit eines Angriffs so niedrig zu drücken, dass innerhalb der nächsten (z.B.) 100 Jahre selbst bei permanentem Wieder-Versuchen nur eine verschwindend geringe Erfolgsaussicht gegeben ist - zumindest zu Kosten, die dem 51%-Angriff bei Bitcoin entsprechen. Kurz gesagt: Dass PoS "sicher genug" für eine Währung ist.

Auf die Gefahr hin, mich zu wiederholen: die Kosten eines Angriffs gegen POS sind immer exakt gleich: 0.

Quote from: d5000 on June 21, 2018, 02:44:46 PM

Denn ein Angreifer hat ja durchaus Kosten:
[...]
Er braucht einen gewissen Stake-Anteil (mindestens 5%)

Nein. Es reicht für nothing at stake jeder Anteil, der grundsätzlich zum Staken berechtigt ist.
Natürlich kann man eine POS-Coin entwerfen, in der z.B. 5% als Untergrenze vorgesehen sind, dann hat man eben eine künstlich auf 20 "Miner" bzw. Staker begrenzte Blockchain, das ist dann ein nahezu vollständig zentralisiertes System.

Quote from: d5000 on June 21, 2018, 02:44:46 PM

und muss eine Strategie dafür erstellen, falls der Coin nach dem Angriff wertlos werden sollte

Das ist tatsächlich ein interessantes Argument, mit dem ich mich noch nicht sonderlich auseinandergesetzt habe.
Andererseits spricht in meinen Augen auf den ersten Blick nicht besonders viel dafür, dass der Coin nach dem Angriff wertlos werden sollte.
Sollten daraus Kosten für den Angriff entstehen, entstehen diese in jedem Fall aber erst bei erfolgreichem Ausführen des Angriffs, was weiterhin nichts am eigentlichen Kernproblem von nothing at stake ändert. Nämlich, dass der Versuch des Angriffs genau null Kosten mit sich bringt.

So, jetzt fällt mir auch gerade das Killerargument dagegen ein:
Wenn der coin durch meinen Angriff wertlos(er) wird, kann ich meinen Angriff versuchen, und sobald ich eine längere Chain erzeugt habe, um den Angriff erfolgreich zu broadcasten, gehe ich schnell auf eine Börse und shorte den Coin. Dann broadcaste ich. Double-Profit. Cool

Quote from: d5000 on June 21, 2018, 02:44:46 PM

(z.B. durch massives Shorting, was aber nicht gratis ist).

Du hast es ja selbst schon gesagt Wink

Das mag nicht gratis sein, ist aber in jedem Fall ertragreich, sofern genug short-Potential da ist.

Quote from: d5000 on June 21, 2018, 02:44:46 PM

Er muss ggf. andere Teilnehmer bestechen bzw. alte Keys kaufen

Nein. Das müsste er wieder nur, wenn es wie oben eine willkürliche Hürde für einen Minimal-Stake gibt.
Dann hat man eben eine zentralisierte Coin. Mit POS hat das genau genommen nichts mehr zu tun.

Quote from: d5000 on June 21, 2018, 02:44:46 PM

Dass größere PoS-Währungen (nur die ohne zentrale Checkpoints zählen, also z.B. NXT und NEM) bisher nie erfolgreich angegriffen wurden, obwohl sie schon jahrelang bestehen, sehe ich als Indiz dafür an, dass dies möglich ist

Ja, das empirische Argument scheint auf den ersten Blick für POS zu sprechen.
Andererseits wage ich zu bezweifeln, dass überhaupt eine der genannten Coins das Attribut "größer" im Sinne von "wird für umfangreichere, wertvolle Transaktionen genutzt" verdient. Zugleich sind derzeit vermutlich andere Angriffe auf diese Systeme aussichts- und ertragreicher.

Grundsätzlich ist es bei nothing at stake ja ähnlich wie mit der 51%-Attacke bei Bitcoin: man kann damit halt einen Double Spend machen. Damit ist der Ertrag zwangsläufig sehr begrenzt. Ob man dafür überhaupt den Aufwand treiben will, entsprechende Software zu entwickeln und so, ist dann schon sehr abhängig davon, welche Summen überhaupt bewegt werden.

Auch Angreifer, die weniger auf Ertrag, sondern auf Sabotage aus sind, fallen bei so Exoten wie NXT und NEM sicherlich weg. Die NSA mag sich für Bitcoin interessieren, diese Freak-Coins sind denen vermutlich nicht mehr als ein Schulterzucken wert.

Ich schätze ganz grob, dass Zahlungen mit einer POS-Coin ungefähr so sicher sind wie Zahlungen bei Bitcoin ohne Confirmations.
Sie sind nicht absolut unsicher. Das Risiko ist überschaubar. Um einen Kaffee zu bezahlen, reicht das aus.
Andererseits braucht man dafür dann eben auch keine Blockchain.
Unglücklicherweise wird die Sicherheit einer Zahlung in einer POS-Chain auch nicht größer, wenn Confirmations dazu kommen.
Eine Transaktion mit 100 Confirmations ist in POS also stets exakt genau so sicher wie eine Transaktion mit 0 Confirmations.
Auch das spricht nicht für den Einsatz einer Blockchain.
Man fragt sich ganz ehrlich "wozu das Ganze"?

Quote from: d5000 on June 21, 2018, 02:44:46 PM

Da setzt z.B. das erwähnte Proof-of-Approval an: Es soll so starke Anreize setzen, dass ständig mindestens 50% der Staker online sind.

So gut kenne ich mich da nicht aus, aber ich frage mich auf den ersten Blick gleich mal, wie das gehen soll?
Wer entscheidet, wer online ist?
Oder geht es nicht um "online", sondern um ein "acknowledge" von mindestens 50% der gehaltenen Coins?
Ein solches Netzwerk wäre inhärent instabil und würde automatisch nach einer gewissen Zeit zusammenbrechen.
Ein monetärer Anreiz, "online" zu bleiben, kann die Zeit bis zum Zusammenbruch dann nur nach hinten verschieben.

Quote from: d5000 on June 21, 2018, 02:44:46 PM

Sie müssen natürlich auch ehrlich sein, genau wie die 50% bei PoW.

Bei POW müssen die Miner überhaupt nicht ehrlich sein.
Ich wollte schon länger in meiner FAQ schreiben, warum auch ein Bitcoin-Netzwerk mit 100% "Rogue Miners" noch in gewissem Maße als "sicher" gelten kann. Muss ich wirklich mal langsam machen

Quote from: d5000 on June 21, 2018, 02:44:46 PM

Ich verfolge die Diskussion darüber jedenfalls weiter. Für mich ist das letzte Wort nicht gesprochen.

Solange ich keinen für mich nachvollziehbaren Ansatz zur Lösung des nothing at stake Problems sehe, ist das letzte Wort für mich gesprochen.
Proof of stake funktioniert nicht.

Alle Informatiker, die sich jemals mit dem Konzept "POS" befasst haben, haben die selbe Lernkurve hinter sich:
1. Hey, das sieht interessant aus, das könnte doch die Lösung sein.
2. Mist, "nothing at stake", das geht ja wirklich nicht.
3. Ach komm, da basteln wir POW-Blöcke dazwischen.
4. Mist, damit ist die Sicherheit auf die Leistung des POW begrenzt, das POS trägt nichts bei.
5. Okay, zentrale Checkpoints.
6. Mist, das ist ein zentraler Timestamp-Server, keine Blockchain.
7. Verdammt, da muss sich doch was finden lassen.
8. Also gut, ich seh's ein, es geht wirklich nicht.

Manche bleiben bei Punkt 7 stehen und verbeißen sich in die zugegebenermaßen elegante Idee Wink

Aber ganz ehrlich, alle Core Developer, Vitalik Buterin, Meni Rosenfeld, J. R. Willett und zahlreiche andere (deren Namen imir gerade einfach nicht auf der Zunge liegen) haben sich an der Lösung versucht, und bisher sind sie alle gescheitert. Das heißt nicht, dass POS niemals funktionieren kann. Aber bis zum Beweis des Gegenteils ist davon auszugehen.