Sprječavanje Sybil napada u dVPN i DePIN mrežama

Kriza identiteta u decentraliziranim mrežama

Jeste li se ikada zapitali zašto ne možete jednostavno "glasati" za jeftiniju tarifu podataka ili bolji internetski protokol? Iskreno, to je najčešće zato što je povjerenje u skupinu nasumičnih, anonimnih računala apsolutna noćna mora za sigurnost.

U svijetu P2P (peer-to-peer) mreža suočavamo se s masovnom krizom identiteta. Budući da su ovi sustavi bez dopuštenja (permissionless) – što znači da im se svatko može pridružiti bez pokazivanja osobne iskaznice – nevjerojatno je lako da se jedan zlonamjerni akter pretvara da je zapravo tisuću različitih ljudi.

Sam naziv zapravo potječe iz knjige Sybil iz 1973. godine, koja priča priču o ženi s disocijativnim poremećajem identiteta. U tehnološkom smislu, Sybil napad je metoda koja se koristi za stvaranje flote lažnih, pseudonimnih identiteta. Jednom kada napadač posjeduje te lažne "ljude", koristi taj utjecaj za izvođenje drugih manipulacija:

• Eclipse napadi: Ovo je specifična taktika u kojoj Sybil čvorovi okružuju žrtvin čvor, izolirajući ga od stvarne mreže. Napadač kontrolira sve što žrtva vidi kako bi je uvjerio da se cijela mreža slaže oko lažne informacije.
• 51% napadi: Iako se o njima najčešće govori u kontekstu rudarenja, u mrežama koje se temelje na reputaciji ili glasanju, posjedovanje dovoljno Sybil identiteta omogućuje napadaču dostizanje praga većine potrebnog za prepisivanje pravila ili dvostruku potrošnju (double-spending).
• Cilj: Radi se o stjecanju "nerazmjernog utjecaja". Ako mreža donosi odluke pravilom većine, pobjeđuje onaj tko može lažirati najviše računa.

Iskreno govoreći, "otvorena" priroda Web3 svijeta je dvosjekli mač. Prema podacima Imperva, ovi su napadi velika prijetnja jer je generiranje digitalnih identiteta iznimno jeftino.

U tradicionalnoj banci potreban vam je OIB ili broj socijalnog osiguranja. Na decentraliziranom tržištu propusnosti često vam je potrebna samo nova IP adresa ili svježi privatni ključ. Ova niska barijera za ulazak otvorena je pozivnica za "uzgoj identiteta" (identity farming).

To smo vidjeli i u stvarnom svijetu. Na primjer, Tor mreža bila je pogođena 2014. godine od strane napadača koji je upravljao s više od 100 releja kako bi pokušao deanonimizirati korisnike. Čak su i male DAO (decentralizirane autonomne organizacije) bile suočene s "napadima na upravljanje" gdje je jedna osoba s tisuću novčanika nadglasala cijelu zajednicu kako bi ukrala sredstva iz riznice.

U svakom slučaju, ako želimo da ovi decentralizirani alati doista funkcioniraju, moramo učiniti laganje skupim. U nastavku ćemo pogledati kako "Proof of Work" (dokaz o radu) i druge prepreke počinju rješavati ovaj kaos.

Stvarni rizici za korisnike dVPN i DePIN sustava

Zamislite da ste na sastanku mjesnog odbora, a tip u baloneru neprestano mijenja kape kako bi glasao pedeset puta. To je u biti Sybil napad u dVPN-u ili bilo kojoj DePIN (decentralizirana fizička infrastruktura) mreži. To nije samo teorija – to je stvarni rizik koji može ugroziti vašu privatnost i vaš novčanik.

U ovim P2P mrežama, čvorovi (noda-ovi) često glasaju o stvarima poput cijene ili o tome koji su podaci "istiniti". Ako jedna osoba stvori tisuću lažnih čvorova, može nadglasati sve ostale. To im omogućuje da:

• Manipuliraju cijenama: Mogu preplaviti tržište lažnim čvorovima kako bi umjetno podizali ili spuštali cijene, narušavajući ekonomiju "Airbnb-a za propusnost".
• Nadziru vaš promet: Ako napadač kontrolira i ulaznu i izlaznu točku koju koristite, može točno vidjeti što radite na mreži.
• Blokiraju transakcije: Kao što navodi Chainlink, oni čak mogu cenzurirati transakcije ili prepisivati povijest ako steknu dovoljno moći.

Zapravo imamo mnogo podataka o tome zahvaljujući Tor mreži. Iako je izgrađena za privatnost, bila je teško pogođena. Godine 2020., napadač poznat kao BTCMITM20 upravljao je ogromnim brojem zlonamjernih izlaznih releja.

Prema istraživačima koje citira Hacken, ti su napadači koristili "SSL stripping" kako bi prisilno degradirali sigurne veze. Nisu samo promatrali; zapravo su prepisivali Bitcoin adrese u prometu kako bi krali sredstva.

Izvješće iz 2021. navodi da je akter pod nazivom KAX17 upravljao s više od 900 zlonamjernih poslužitelja samo kako bi pokušao deanonimizirati korisnike.

Kada koristite dVPN, oslanjate se na povjerenje u "mnoštvo". Ali ako je to mnoštvo zapravo samo jedan tip s puno virtualnih poslužitelja, to je povjerenje iznevjereno. Iskreno, odabir sigurnog čvora ne bi trebao izgledati kao ispit iz matematike. Alati namijenjeni krajnjim korisnicima, poput SquirrelVPN-a, počinju implementirati ove složene pozadinske metrike u jednostavne "ocjene povjerenja" (trust scores). Oni analiziraju faktore kao što su filtriranje rezidencijalnih IP adresa (kako bi se osiguralo da nije riječ o botu iz podatkovnog centra) i verifikacija dostupnosti (uptime) kako bi provjerili je li čvor uistinu pouzdan. To vam pomaže prepoznati koji dVPN pružatelji usluga doista koriste ove grafove povjerenja, a koji samo nagađaju.

Ako mreža nema način za nagrađivanje dugoročnog "dobrog" ponašanja, ona je zapravo igralište za napadače. U nastavku ćemo vidjeti kako se zapravo borimo protiv toga bez potrebe za središnjim autoritetom.

Tehničke strategije ublažavanja za integritet čvorova

Dakle, znamo da je onaj tip u baloneru koji stalno mijenja šešire problem, ali kako mu zapravo zalupiti vrata pred nosom, a da pritom ne postanemo digitalna policijska država? Sve se svodi na to da mu bivanje lažnjakom učinimo jako, jako napornim — i skupim.

Ako netko želi pokrenuti tisuću čvorova na dVPN-u, moramo osigurati da ga to ne košta samo par klikova, već da mu ozbiljno iscrpi hardver ili novčanik. Zapravo prelazimo sa sustava "vjeruj mi, ja sam čvor" na sustav "dokaži da imaš što izgubiti".

Najklasičniji način za zaustavljanje Sybil napada je uvođenje troška u novcu ili električnoj energiji. U mrežama bez središnjeg autoriteta (permissionless), koristimo Proof of Work (PoW) kako bismo prisilili računalo da riješi matematičku zagonetku prije nego što se uopće može pridružiti ekipi.

• Računalni porez: Zahtijevanjem PoW-a, napadač ne može samo stvoriti 10.000 čvorova na jednom prijenosnom računalu; trebala bi mu cijela farma poslužitelja, što mu potpuno uništava profitnu maržu.
• Staking kao kolateral: Mnoge Web3 mreže koriste Proof of Stake (PoS). Ako želite dijeliti propusnost (bandwidth), možda ćete morati "zaključati" određenu količinu tokena. Ako vas uhvate da se ponašate kao Sybil čvor, mreža "reže" (slashes) vaš ulog — što znači da gubite svoj novac.

U zadnje vrijeme svjedočimo nekim modernijim, "adaptivnim" načinima rješavanja ovog problema. Jedan od značajnijih je Verifiable Delay Function (VDF). Za razliku od običnog PoW-a koji se može riješiti brže ako imate 100 računala, VDF je sekvencijalan. Ne možete preskočiti red dodavanjem više hardvera; jednostavno morate čekati.

Prema znanstvenom radu iz 2025. godine koji potpisuju Mosqueda González i suradnici, novi protokol pod nazivom SyDeLP koristi nešto što se zove Adaptive Proof of Work (APoW). Ovo potpuno mijenja pravila igre za DePIN (decentralizirane mreže fizičke infrastrukture). U osnovi, mreža prati vašu "reputaciju" na blockchainu.

Ali čekajte — kako novi čvor dobiva reputaciju ako još ništa nije napravio? To je takozvani problem "hladnog starta". U SyDeLP protokolu, svaki novi čvor započinje s "probnim rokom" tijekom kojeg mora rješavati vrlo teške PoW zagonetke. Jednom kada dokažu da su spremni trošiti CPU cikluse neko vrijeme bez varanja, mreža im smanjuje težinu zadataka. To je poput "programa vjernosti" za vaš procesor. Novi korisnici rade naporno kako bi dokazali da nisu Sybil botovi, dok dugogodišnji čvorovi dobivaju "brzu propusnicu".

U stvarnom svijetu, to bi izgledalo kao dVPN čvor u prometnom maloprodajnom objektu koji pruža gostinjski Wi-Fi. Ako taj čvor pokuša "otrovati" podatke ili lažirati svoj identitet kako bi prigrabio više nagrada, SyDeLP protokol bi otkrio anomaliju i trenutno mu drastično povećao zahtjeve za težinom rada, čineći nastavak napada neisplativim.

Sada kada smo postavili ekonomske prepreke, moramo pogledati kako ti čvorovi zapravo međusobno komuniciraju kako bi uočili lažljivca u gomili. U nastavku ćemo zaroniti u "grafove društvenog povjerenja" (Social Trust Graphs) i otkriti kako bi upravo "prijatelji" vašeg čvora mogli biti ključ vaše privatnosti.

Reputacija i grafovi društvenog povjerenja

Imate li ikada osjećaj da ste jedina stvarna osoba u prostoriji punoj botova? Upravo se tako osjeća decentralizirana mreža pod napadom, no grafovi društvenog povjerenja služe kao svojevrsna „provjera autentičnosti“ kojom izbacujemo lažne aktere.

Umjesto da gledamo samo koliko novca određeni čvor (node) posjeduje, analiziramo tko su njegovi „prijatelji“ kako bismo utvrdili pripada li uistinu zajednici. To je kao da provjeravate poznaje li novi gost na zabavi domaćina ili se samo ušuljao kroz prozor kako bi ispraznio hladnjak.

U dVPN sustavu ne možemo vjerovati čvoru samo zato što nam je poslao signal. Koristimo algoritme poput SybilGuard i SybilLimit kako bismo mapirali međusobnu povezanost čvorova. Logika je jednostavna: pošteni korisnici obično čine čvrsto povezanu mrežu, dok su lažni identiteti napadača uglavnom povezani samo međusobno u izoliranom, sumnjivom mjehuru.

• Faktor starosti: Stariji čvorovi koji mjesecima pružaju stabilnu propusnost dobivaju veću „težinu“ i povjerenje unutar mreže.
• Klasteri prijateljstva: Ako za određeni čvor jamče isključivo drugi potpuno novi čvorovi koji su se pojavili u isto vrijeme, sustav ih označava kao potencijalni Sybil klaster.
• Povijest aktivnosti (Uptime): Čvorovi koji su dosljedno online grade svoju reputaciju izravno na blockchainu.

Balansiranje privatnosti s potrebom za validacijom vječna je glavobolja za developere. Ako tražite previše podataka, uništavate privatnost VPN-a; ako tražite premalo, botovi preuzimaju kontrolu. Jedno od inovativnih rješenja su Pseudonym Parties (zabave pseudonima). To je metoda društvene obrane gdje korisnici sudjeluju u sinkroniziranim digitalnim prijavama kako bi dokazali da su jedinstvene osobe u određenom trenutku, što onemogućuje jednom napadaču da bude na deset mjesta istovremeno.

Prema Wikipediji, ovi grafovi pomažu u ograničavanju štete uz očuvanje anonimnosti korisnika, iako nisu uvijek savršeno rješenje. Iskreno, čak se i ovi grafovi mogu izmanipulirati ako je napadač dovoljno strpljiv da mjesecima gradi „lažna“ prijateljstva.

Potvrdom da je čvor dio stvarne zajednice koju vode ljudi, približavamo se mreži koju ne može kupiti jedan moćni pojedinac (tzv. whale). U nastavku ćemo istražiti kako zapravo dokazati da je netko stvarna osoba bez traženja putovnice na uvid.

Budućnost decentraliziranog pristupa internetu

Dakle, razgovarali smo o tome kako prisiliti čvorove na plaćanje ili dokazivanje "prijateljstava", ali što ako je pravo rješenje jednostavno dokazivanje da ste doista ljudsko biće? Zvuči jednostavno, ali u svijetu umjetne inteligencije i farmi botova, Dokaz o identitetu osobe (eng. Proof of Personhood) postaje "sveti gral" za održavanje pravednosti u decentraliziranom pristupu internetu.

Cilj je postići sustav po principu "jedan čovjek, jedan glas". Ako možemo verificirati da svaki čvor u dVPN-u pokreće jedinstvena osoba, prijetnja Sybil napada praktički nestaje jer napadač ne može tek tako stvoriti tisuću ljudi u podrumu.

• Biometrijska verifikacija: Neke mreže koriste skeniranje šarenice oka ili mapiranje lica kako bi kreirale jedinstveni digitalni "otisak prsta" bez stvarnog pohranjivanja vašeg imena.
• Zabave pseudonima (Pseudonym parties): Kao što je ranije spomenuto u članku, ovo uključuje ljude koji se pojavljuju (virtualno ili fizički) u isto vrijeme kako bi dokazali da postoje kao pojedinci.
• Dokazi s nultim znanjem (Zero-knowledge proofs - ZKP): Ovo je tehnički dio gdje dokazujete API-ju ili mreži da ste stvarna osoba bez predaje putovnice. Obično ZKP verificira "vjerodajnicu" — poput državnog identifikacijskog dokumenta ili biometrijskog hasha — koju je izdao pouzdani treći subjekt. Mreža vidi kvačicu "Da, ovo je stvarni čovjek", a da pritom nikada ne vidi vaše lice ili ime.

Prema istraživanju koje su proveli Mosqueda González i suradnici, kombiniranje ovih provjera identiteta s mehanizmima kao što je prilagodljivi Dokaz o radu (PoW) čini mrežu znatno otpornijom. To je zapravo slojevita obrana — prvo dokazujete da ste čovjek, a zatim s vremenom gradite reputaciju.

Iskreno, budućnost DePIN-a (decentralizirane fizičke infrastrukture) je neprestana utrka u naoružanju. Napadači postaju pametniji, pa programeri moraju graditi bolje sustave provjere integriteta mreže. Ključno je ostati informiran o najnovijim VPN savjetima i kripto nagradama kako biste bili sigurni da koristite mrežu koja ove izazove shvaća ozbiljno.

Pokrili smo tehnologiju i zamke — sada zaokružimo cijelu priču pogledom na to kako se sve ovo uklapa u širu sliku istinski slobodnog interneta.

Zaključak i sažetak

Iskreno govoreći, održavanje sigurnosti u P2P svijetu često djeluje kao beskonačna borba s vjetrenjačama, ali razumijevanje ovih "trikova s identitetom" vaša je najbolja obrana. Ako ne riješimo problem Sybil napada, cijeli san o decentraliziranom internetu mogao bi postati tek igralište za najveće botnet mreže.

• Slojevita obrana je ključna: Ne možete se osloniti samo na jednu prepreku. Kombinacija ekonomskih troškova, poput stakinga (ulaganja tokena), s provjerama unutar grafova društvenog povjerenja jedini je način na koji doista možemo udaljiti zlonamjerne aktere.
• Cijena lažiranja: Da bi mreže ostale poštene, trošak lažiranja identiteta mora biti veći od potencijalne nagrade koju bi napadač dobio izvršavanjem napada.
• Humanost kao protokol: Prelazak na "Dokaz o osobnosti" (Proof of Personhood) i tehnologiju dokaza s nultim znanjem (ZKP) — kao što smo ranije spomenuli — vjerojatno je jedini put prema stvarnom skaliranju bez potrebe za centralnim autoritetom koji nadzire svaki naš korak.

U konačnici, vrijednost vaše tokenizirane propusnosti ili alata za privatnost u potpunosti ovisi o poštenju čvorova u mreži. Bez obzira na to jeste li programer ili samo korisnik u potrazi za boljim VPN-om, pratite kako te mreže rješavaju svoju "krizu identiteta". Čuvajte svoju privatnost.