Todo sistema de recompensas sofre ataques — fingir o contrário é a receita para o fracasso. Então vamos fazer o que engenheiros de segurança fazem: listar os ataques, dizer o que cada um exige, nomear a defesa e ser honesto sobre o que ainda resta de risco.
MétodoEsta página audita o sistema de recompensa como uma revisão de segurança faria — ataque por ataque, defesa por defesa, resíduo por resíduo — porque "confie em nós" não é um argumento, e uma auditoria vetor por vetor é.
Uma regra vale para tudo: uma defesa só conta se for estrutural — embutida no funcionamento da NBR e do algoritmo — e não um apelo para que as pessoas se comportem bem.
Conheça o prêmioToda revisão de segurança começa pelo ativo. Aqui é a NBR — e três de suas propriedades, abordadas em NBR, a Fundo, fazem, silenciosamente, mais trabalho antifraude do que qualquer sistema de detecção:
A NBR não pode ser doada, vendida, herdada ou lavada. Não existe "sacar em dinheiro". A NBR fraudulenta fica na própria conta do fraudador, gastável apenas por ele, em luxos, à vista de todos.
A NBR é criada do nada e desaparece ao ser gasta. O ganho falso de um trapaceiro não subtrai da conta de ninguém nem infla os preços de ninguém — o raio de destruição de uma fraude bem-sucedida é praticamente zero.
As necessidades já são fornecidas a todos. A NBR não pode comprar legislação, votos, silêncio ou o trabalho alheio contra a vontade das pessoas — as coisas para as quais a fraude com dinheiro geralmente serve.
Dezenas de atos cotidianos — ajudar um amigo na mudança, ensinar, cuidar de alguém — geram fluxos contínuos de NBR. O ganho marginal de trapacear compete com uma renda honesta que já é fácil de obter.
Os vetoresAlegar um benefício que nunca aconteceu — o equivalente, em NBR, a faturar por um trabalho que você não fez.
Forjar o mundo físico. As recompensas são calculadas a partir de resultados, então o atacante precisa fabricar evidências de resultados — e pessoas dispostas a jurar que se beneficiaram de resultados que não existem.
Um resultado registrado precisa de confirmações das pessoas que se beneficiaram e das pessoas que o coproduziram, com verificadores terceirizados independentes e relatórios de fiscalização travados no mesmo registro. Sem confirmações, sem recompensa. Recompensas grandes exigem resultados grandes, com muitas testemunhas.
Reivindicações pequenas com poucas testemunhas são mais fáceis de forjar do que as grandes — pequenas fraudes são possíveis. Mas a recompensa é proporcional ao resultado, então forjar algo pequeno rende pouco.
Recrutar "beneficiários" falsos que confirmam seus resultados falsos — derrotar as testemunhas do Vetor 1 controlando-as.
Que cada membro permaneça leal para sempre, por uma recompensa que nem sequer pode receber — a NBR é intransferível, então o líder do esquema não pode dar a ninguém sua parte. Recrutar significa pedir para as pessoas mentirem de graça.
Trair compensa mais do que ser leal. Denunciar o esquema é, em si, um ato de benefício líquido que rende NBR a quem denuncia — cada conspirador é um pagamento ambulante esperando para acontecer, e só o primeiro a denunciar o recebe.
Grupos muito unidos (famílias, amigos próximos) poderiam sustentar pequenos esquemas só na base da confiança. Mas o teto de escala volta a atuar: esquemas grandes o suficiente para importar são grandes o suficiente para vazar.
Alguém que lucra com uma brecha suborna um membro do júri cidadão — com presentes, já que a NBR não pode mudar de mãos — para manter aberta uma brecha lucrativa.
Encontrar um jurado (a seleção é aleatória, por sorteio — a participação não é divulgada), e então influenciar o resultado por meio dele.
Os júris são grandes; um único membro não decide o veredito sozinho, então um suborno não compra nada. O próprio suborno é uma transferência de propriedade registrada para um estranho — chamativo por natureza. E a melhor jogada do jurado é denunciar: a denúncia rende NBR, enquanto o presente é algo que ela já poderia ter conseguido honestamente de qualquer jeito.
A influência social é mais sutil do que o suborno — carisma e reputação podem inclinar deliberações abertas em qualquer lugar onde humanos deliberem. A ampla participação dilui isso; nada o elimina por completo.
Captura regulatória, versão Copiosis: manipular os coeficientes do algoritmo para que o dano causado pela sua indústria conte menos.
Mover um número público por meio de um processo aberto e participativo — sem que ninguém perceba, em um sistema sem doações de campanha, sem folha de pagamento de lobby e sem porta giratória para financiar.
Os controles são os números mais observados do sistema, e a captura depende de dinheiro concentrado — que não existe aqui. Um coeficiente que beneficia discretamente um grupo fica visível para todos os outros grupos no instante em que se move, e os júris podem revertê-lo.
Maiorias podem ajustar diais que minorias consideram errados — isso não é captura, mas é política, e isso não desaparece. A reivindicação é visibilidade, não unanimidade.
Pule as pessoas; comprometa diretamente o código, o algoritmo ou o registro.
Alterar silenciosamente uma base de código aberto, um algoritmo transparente e um registro cujas entradas entrelaçam confirmações de beneficiários, produtores e verificadores — com a alteração sobrevivendo indefinidamente ao escrutínio público.
Transparência mais registros. Um pagamento fraudado ainda aponta para um resultado no mundo físico que não existe e testemunhas que nunca o confirmaram. Código aberto significa que anomalias podem ser encontradas por qualquer pessoa — e encontrar uma é, em si, um ato recompensado.
Real. Todo software tem falhas, e nada dessa pilha existe ainda como código em produção. Abertura é uma postura forte, não uma imunidade — este é o vetor onde a incerteza honesta é maior.
Mercados negros: negociar fora do registro, trocar favores, manter uma economia paralela que o algoritmo nunca vê.
Um motivo. Com necessidades fornecidas incondicionalmente e recompensas de luxo fluindo a partir de praticamente qualquer ato de serviço, quem tenta atacar precisa de algo que a economia aberta não lhe dê mais facilmente.
Principalmente, a indiferença. Mercados negros simplesmente seriam deixados existir — esvaziados de propósito em vez de policiados, porque não há moeda para lavar e pouco a ganhar. A atividade fora do registro custa, principalmente, a própria recompensa de quem participa.
Trocas genuinamente prejudiciais (coisas que a sociedade restringe por boas razões) não desaparecem só porque os incentivos se suavizam. Essa é uma questão de policiamento que todo sistema enfrenta; Copiosis reduz o motivo econômico sem afirmar que acaba com o vício.
O padrãoNote o que se repetia: o sistema paga as pessoas para quebrar conspirações contra ele mesmo. Isso não é acidente — é a estrutura de incentivos. Coloque-se no lugar de qualquer pessoa de quem um golpista precisa:
| Suas opções | O que você ganha | O que você arrisca |
|---|---|---|
| Entrar no esquema | Um favor ou presente — algo que o NBR já compra honestamente, já que seus atos cotidianos pagam fluxos contínuos | Exposição por qualquer outra pessoa participante, para sempre; seu histórico de recompensas é auditável |
| Denunciar o esquema | Uma recompensa em NBR — encontrar e fechar brechas é, em si, um trabalho com benefício líquido | Nada; não há punições a temer nem chefe para retaliar |
Denunciar dominates a adesão — ela paga mais e arrisca menos, para cada pessoa, a cada passo. Uma conspiração aqui exige que todo mundo escolha a opção pior indefinidamente. E quando uma brecha é encontrada e fechada, reabri-la não gera benefício nem recompensa: exploits não se acumulam, eles expiram.
Sendo honestos
Continue explorandoA equação v7.1 que esses ataques têm como alvo — cada variável, cada ajuste, um exemplo resolvido.
Leia isso →As propriedades que fazem o trabalho pesado aqui — intransferível, ilimitado, somente para luxos.
Leia isso →Os júris cidadãos e os processos abertos contra os quais os vetores de suborno e captura esbarram.
Leia isso →A melhor forma de julgar se essas defesas se sustentam é entender exatamente o que está sendo calculado — termo por termo.
A Fórmula, AnotadaVoltar para A Fundo