Todo algoritmo de mineração 'resistente a ASIC' falhou. Achamos que sabemos por quê.

Em 2009, Satoshi Nakamoto minerou Bitcoin na CPU de um laptop. Em 2013, chips customizados já tinham tornado isso impossível. Hoje a distância entre um computador de propósito geral e um ASIC de mineração feito sob medida é de mais ou menos dez milhões para um.

A comunidade cripto passou uma década tentando fechar essa distância. O Scrypt prometeu memory-hardness, o Ethash acrescentou um dataset gigante, o Equihash apostou na complexidade do problema do aniversário e o RandomX colocou uma CPU virtual inteira dentro do laço de mineração. Cada tentativa foi mais sofisticada que a anterior, e todas acabaram caindo.

Acabamos de publicar um preprint que examina o problema desde a base, sistematizando tudo o que foi tentado e por que falhou. Aqui vai a história.

O placar

O artigo, “The ASIC Resistance Problem: A Systematization of Knowledge and Open Questions for Proof-of-Work Consensus,” percorre o caminho todo, do Hashcash até hoje.

Começa pelo SHA-256, e por que ele é o alvo perfeito para ASIC

O SHA-256 são 64 rodadas de rotações bit a bit, adições e funções booleanas sobre oito variáveis de 32 bits. Não usa memória, não tem desvio condicional e não tem dependência de dados entre uma tentativa de hash e outra. Tudo isso vira um pipeline estático que dá para estampar em silício e replicar milhares de vezes, e é por isso que os ASICs de Bitcoin chegam a 10.000.000× a eficiência das CPUs que Satoshi usava. Reduzindo flip-flops de 22 para 4 transistores, tirando tudo o que uma CPU tem e o SHA-256 não usa, e migrando de 130nm para 5nm ao longo de uma década, os projetistas de ASIC chegaram a ganhos que são impossíveis para hardware de propósito geral.

Também damos a Hal Finney e ao RPoW dele (2004) o crédito que merecem como elo perdido entre o Hashcash e o Bitcoin. Foi o primeiro sistema funcional de dinheiro digital baseado em prova de trabalho, e usava coprocessadores à prova de adulteração da IBM para evitar gasto duplo. A grande sacada de Nakamoto foi trocar o servidor confiável de Finney por uma blockchain descentralizada.

Depois, passamos por cada contramedida

A tendência é clara: cada geração comprime a diferença em cerca de uma ordem de grandeza, de 10⁷ para 10³, para 10¹, para 10⁰. Só que nenhuma conseguiu eliminá-la.

O RandomX merece um parágrafo à parte. É a tentativa mais sofisticada até hoje: uma máquina virtual que executa programas gerados aleatoriamente com 29 instruções, um dataset de 2 GB em memória e compilação JIT. A tese do projeto era que qualquer ASIC teria de ser uma CPU. A Bitmain respondeu com o Antminer X5, um chip RISC-V enxuto que é exatamente uma CPU sem tudo aquilo que o RandomX não usa. A vantagem ficou em ~1,3×, pequena, mas real.

E por que a teoria não nos salvou

A literatura acadêmica tem algumas peças do quebra-cabeça:

• Está provado que o Scrypt é maximamente memory-hard (Alwen et al., EUROCRYPT 2017). Mesmo assim, os ASICs de Litecoin continuam dominando.
• Bandwidth hardness (Ren e Devadas, TCC 2017) captura custos de energia que a complexidade de memória ignora: acesso à DRAM custa ~20 pJ/bit em qualquer plataforma. É o modelo que chega mais perto da realidade do hardware.
• Fine-grained PoW (Ball et al., CRYPTO 2018) liga a dureza a conjecturas de complexidade de pior caso (Orthogonal Vectors, 3SUM, APSP), mas só garante gaps polinomiais, fracos demais para consenso real.
• VDFs (Boneh et al., CRYPTO 2018) dão dureza sequencial não amortizável, só que sequencialidade sozinha não basta.
• Complexidade VLSI (Thompson, 1980) dá lower bounds de circuito para ordenação e DFT, mas não existe lower bound desse tipo para nenhuma função útil em PoW.

Não há na literatura nenhum teorema dizendo que “hardware especializado não pode vencer hardware de propósito geral para o problema X”. Para isso seria preciso provar lower bounds de circuito para funções criptográficas, que é um dos problemas em aberto mais difíceis de toda a ciência da computação.

E uma proposta nova: rotação de algoritmo adaptativa à dificuldade

Todo algoritmo de ajuste de dificuldade em produção (o do Bitcoin, Kimoto Gravity Well, Dark Gravity Wave, LWMA) mexe só no threshold alvo. A computação continua a mesma, o que muda é o limiar de aceitação. A nossa proposta é que a dificuldade passe a mudar a própria computação, deslocando a mistura de operações (limitadas por memória vs. limitadas por computação, inteiras vs. ponto flutuante) conforme ela aumenta. Se o hardware ótimo está sempre em movimento, um ASIC otimizado para um regime fica subótimo no seguinte.

Questões em aberto

O artigo levanta várias questões abertas. Entre as mais fundamentais:

• A resistência a ASIC pode ser definida formalmente? Não existe uma definição em termos de teoria da complexidade. E qual seria o modelo de custo certo: área de silício, energia, largura de banda?
• Existe um teorema de impossibilidade? Pode ser que a resistência a ASIC seja demonstravelmente inalcançável. Ninguém mostrou isso também.
• O gap de 1,3× do RandomX é um piso fundamental, ou alguma inovação de projeto ainda consegue levá-lo a 1?
• A tese da Loteria do Hardware pode ser formalizada como uma afirmação de complexidade sobre circuitos especializados vs. gerais?

Por que isso importa

A operação contínua do Monero, o debate sobre tail emission no Bitcoin e o interesse que segue existindo em consenso baseado em PoW sugerem que a prova de trabalho tem futuro. Se tem, a resistência a ASIC deixa de ser uma questão acadêmica, porque é ela que decide se a mineração continua acessível a indivíduos rodando hardware comum ou se concentra de vez em instalações industriais com silício feito sob medida.

Uma década de engenharia comprimiu a vantagem do ASIC de dez milhões para um vírgula três. A pergunta agora é se conseguimos empurrá-la até um e provar que ela fica lá.

Preprint: The ASIC Resistance Problem: A Systematization of Knowledge and Open Questions for Proof-of-Work Consensus

Links arXiv/IACR ePrint a definir.

Roberto Santacroce Martins (roberto@santacroce.es)

Feedback, colaboração e contra-argumentos são bem-vindos.