Bestätigungen und Reorgs: wie endgültig ist endgültig?
Deine Transaktion wurde bestätigt. Du hast das Häkchen gesehen. Das Geld ist abgewickelt — nur stellt sich heraus, dass „abgewickelt“ eher ein Spektrum als ein Zustand ist, und wo auf diesem Spektrum du sitzt, hängt von der Kette ab, vom Betrag und davon, wie teuer es jemanden käme, das Ganze rückgängig zu machen.
Dies ist eine der wenigen Stellen der Blockchain-Mechanik, an denen die Details verändern, was du tatsächlich tun solltest. Zwanzig Minuten Aufmerksamkeit lohnen sich hier.
Was eine Bestätigung wirklich zählt
Eine Bestätigung ist kein Gütesiegel von irgendjemandem. Sie ist eine Tiefenmessung.
Wenn deine Transaktion in einen Block aufgenommen wird, sitzt dieser Block auf einer bestimmten Höhe in der Kette. Jeder darüber geschürfte Block begräbt ihn eine Schicht tiefer. Die Bestätigungszahl ist schlicht, wie viele Blöcke sich auf deinem stapeln, den eigenen eingeschlossen.
SSP rechnet das auf die übliche Weise: tipHeight - blockheight + 1. Dieses +1 ist kein Zählfehler — eine Transaktion im neuesten Block hat eine Bestätigung, nicht null. Null Bestätigungen heißt, sie liegt noch im Mempool: verbreitet, aber nirgends aufgenommen.
Tiefe bedeutet deshalb etwas, weil das Rückgängigmachen deiner Transaktion verlangt, den Block zu ersetzen, der sie enthält, und dazu jeden darauf gebauten Block. Jeder weitere Block macht diese Arbeit schwerer. Auf einer Proof-of-Work-Kette ist nichts je unmöglich umzukehren; es wird nur stetig teurer, und ab einer gewissen Tiefe übersteigt der Aufwand jeden möglichen Gewinn.
Reorgs sind normal, kein Angriff
Hier ist der Teil, der Leute unnötig beunruhigt: kurze Kettenreorganisationen passieren routinemäßig, und fast keine davon ist bösartig.
Zwei Miner auf gegenüberliegenden Seiten der Welt können innerhalb von Sekunden denselben Block lösen. Einen Moment lang ist sich das Netz wirklich uneins darüber, welcher Block die Spitze ist. Dann landet der nächste Block auf einem von beiden, dieser Zweig wird länger, und der andere Block verwaist. Jede Transaktion, die nur im verwaisten Block lag, geht zurück in den Mempool und wird kurz darauf erneut geschürft.
Das ist das Protokoll, das genau wie entworfen arbeitet. Und genau deshalb ist eine Bestätigung schwächer, als sie aussieht — eine einfach bestätigte Transaktion liegt in einem Block, der einen Münzwurf noch verlieren könnte.
Tiefe Reorgs sind ein anderes Tier. Sie verlangen entweder gewaltige Rechenleistung oder gelegentlich etwas Merkwürdigeres: Ravencoins Konsensfehler erzwang eine Neuschreibung weit tiefer als jeder gewöhnliche Reorg — nicht weil jemand angriff, sondern weil die Nodes uneins darüber waren, wie die Regeln lauten. Das ist selten. Es erinnert auch daran, dass „die Kette kann sich nicht ändern“ eine Abkürzung ist, keine Physik.
Woher die sechs Bestätigungen kommen
Die Sechs-Bestätigungen-Konvention ist keine Zauberzahl und war nie als universelles Gesetz gemeint.
Sie stammt aus der Wahrscheinlichkeitsrechnung des Bitcoin-Whitepapers selbst: Wie wahrscheinlich ist es, dass ein Angreifer mit einem bestimmten Anteil der Rechenleistung nach einer gegebenen Zahl von Blöcken von hinten aufschließt? Die Antwort fällt exponentiell mit der Tiefe. Sechs Blöcke drücken die Erfolgswahrscheinlichkeit ins Vernachlässigbare — für einen Angreifer mit bescheidener Minderheit der Rechenleistung auf einer Kette so groß wie Bitcoin.
Jeder Teil dieses kursiven Nachsatzes zählt, und genau hier gehen Leute fehl. Sechs Bestätigungen auf Bitcoin stehen für ungefähr eine Stunde der teuersten Rechenarbeit der Welt. Sechs Bestätigungen auf einer kleinen Proof-of-Work-Kette können für eine Rechenleistung stehen, die jemand sich schlicht für einen Nachmittag mieten kann.
Das ist nicht hypothetisch. Kleinere Proof-of-Work-Ketten — darunter Ethereum Classic und Bitcoin Gold — haben echte 51-Prozent-Angriffe mit tatsächlichen Doppelausgaben gegen Börsen erlitten. Die Branchenantwort war nicht, diese Ketten aufzugeben, sondern die Bestätigungsanforderung drastisch zu erhöhen, mitunter in die Tausende. Diese Asymmetrie ist die ganze Lehre: Bestätigungstiefe ist nur relativ dazu aussagekräftig, wie viel Sicherheit die Kette pro Block tatsächlich einkauft.
Proof of Stake verändert die Frage
Auf einer Kette mit ausdrücklicher Finalität ist das Modell der Art nach anders, nicht bloß dem Grad nach.
Ethereums Validatoren stimmen regelmäßig darüber ab, Kontrollpunkte für endgültig zu erklären. Ist ein Kontrollpunkt einmal finalisiert — was etwa zwei Epochen dauert, in der Größenordnung von dreizehn Minuten —, ist seine Umkehr keine Frage, jemanden zu überrechnen. Sie verlangt, dass ein sehr großer Anteil des gesamten eingesetzten Ether für widersprüchliche Kontrollpunkte gestimmt hat, was erkennbar ist und diesen Einsatz vernichtet. Die Zusage lautet nicht „das umzukehren wäre teuer“, sondern „wer das umkehrt, verliert nachweislich eine gewaltige Summe“.
Das ist eine wirklich stärkere Aussage als probabilistische Tiefe, und deshalb ist das Warten auf Finalität bei Ethereum eine andere Art des Wartens als das Zählen von Blöcken bei Bitcoin. Solana zieht eine ähnliche Trennlinie zwischen einer optimistisch bestätigten und einer vollständig verwurzelten Transaktion.
Praktisch: Auf Proof-of-Work-Ketten zählst du Tiefe. Auf Proof-of-Stake-Ketten willst du wissen, ob der Block mit deiner Transaktion finalisiert wurde — eine Ja-Nein-Frage statt einer laufenden Summe.
Die Asymmetrie, die niemand erwähnt
Bestätigungen zählen, wenn du empfängst. Beim Senden zählen sie kaum.
Hast du jemanden bezahlt, ist eine durch einen Reorg zurückgenommene Transaktion nur leicht lästig — sie kehrt in den Mempool zurück, bestätigt erneut, und der Empfänger wartet eben etwas länger. Verloren hast du nichts.
Hat jemand dich bezahlt, und du übergibst Ware, gibst Geld frei oder verschickst ein Produkt auf Grundlage einer flachen Bestätigung, dann heißt ein Reorg, dass du etwas für eine Zahlung hergegeben hast, die es nicht mehr gibt. Alle Doppelausgaben-Angriffe, die je zählten, funktionierten so: Sie zielten auf Parteien, die bei eingehendem Geld zu früh handelten.
Die ehrliche Regel ist also einfach. Beim Ausgeben sagt dir eine Bestätigung, dass die Transaktion echt ist und du aufhören kannst, dir Sorgen zu machen. Beim Annehmen von Werten eines Fremden sollte die geforderte Tiefe mit dem Betrag wachsen — und dein Vertrauen genau dort schrumpfen, wo Blöcke billig herzustellen sind.
Was SSP dir zeigt und was nicht
SSPs Aktivitätsliste gibt dir ein binäres Zeichen: bestätigt oder unbestätigt. Das ist Absicht, denn für die überwältigende Mehrheit des Alltags ist das Binäre die ganze Antwort. Klappst du eine Transaktionszeile auf, bekommst du die laufende Bestätigungszahl und die Blockhöhe, gerechnet gegen die aktuelle Kettenspitze.
Nun die ehrliche Einschränkung: nichts in SSP knüpft irgendetwas an die Bestätigungstiefe. Die Wallet warnt dich nicht, dass drei Bestätigungen für den eben empfangenen Betrag dünn sind, und sie hat keinen Begriff von „genug“ — sie meldet die Zahl und überlässt dir das Urteil. Keine Wallet kann es wirklich anders machen, denn „genug“ hängt davon ab, was du mit dem Geld vorhast, und das kann die Wallet nicht wissen. Es heißt aber, dass die Deutung dein Job ist und ein grünes Häkchen nicht dieselbe Behauptung ist wie „unumkehrbar“.
Ebenso erinnernswert: Die Bestätigungszahl, die du liest, stammt von der Node, mit der deine Wallet spricht. Ausgerechnet bei jenen Vorfällen, in denen Tiefe am meisten zählt — ein umstrittener Fork, ein Konsensfehler, eine Kettenspaltung —, ist eine einzelne Quelle am wenigsten vertrauenswürdig.
Faustregeln, die sich lohnen
Null Bestätigungen sind keine Zahlung. Sie sind die Ankündigung einer Zahlungsabsicht. Für kleine, risikoarme Beträge von Angesicht zu Angesicht mag das reichen. Für alles andere ist es keine abgewickelte Transaktion.
Eine Bestätigung ist echt, aber flach. Gut zum Ausgeben. Dünn, um von jemandem, dem du nicht traust, etwas Nennenswertes anzunehmen.
Sechs ist eine Konvention im Bitcoin-Maßstab, keine universelle Konstante. Auf einer Kette, deren Rechenleistung billig zu mieten ist, können sechs Bestätigungen sehr wenig wert sein, und die richtige Zahl liegt womöglich um Größenordnungen höher.
Auf Proof-of-Stake-Ketten frage nach Finalität, statt zu zählen. Finalisiert heißt etwas kategorisch Stärkeres als tief.
Skaliere die Tiefe am Wert. Dreißig Sekunden Geduld sind billig. Ein unumkehrbarer Fehler ist es nicht.
Der zugrunde liegende Gedanke ist auf leise Weise beruhigend, sobald er sitzt. Nichts in Krypto ist endgültig in dem Sinn, in dem ein mathematischer Beweis endgültig ist. Was du stattdessen bekommst, sind Umkehrkosten, die mit der Zeit steil steigen, und die Möglichkeit, selbst zu entscheiden, wie hoch diese Kosten sein müssen, bevor du handelst. Das ist eine schwächere Zusage, als die meisten glauben zu haben — und eine weit ehrlichere als alles, was eine Bank dir über eine Zahlung sagt, die noch Monate später zurückgeholt werden kann.
