O que é prova de trabalho?

A prova de trabalho (proof of work, PoW) é uma categoria de mecanismo de consenso que protege uma blockchain por meio do custo de cálculo. Os participantes precisam calcular repetidamente até encontrar um resultado que atenda à exigência do protocolo para ter a chance de publicar um novo bloco, enquanto os outros nós conseguem verificar esse resultado rapidamente.

O ponto não é fazer computadores resolverem as transações em si, mas atribuir um custo público e mensurável ao ato de propor um bloco. Encontrar um resultado válido normalmente exige um número enorme de tentativas; verificá-lo é simples. Com essa assimetria, os nós conseguem calcular uma pontuação de trabalho acumulado para um trecho de histórico a partir das provas contidas em seus blocos. Quem quiser substituir esse histórico precisa refazer o trabalho correspondente e alcançar a rede.

O problema que a prova de trabalho endereça

Uma rede aberta não pode decidir quem mantém o registro pelo critério de "um voto por participante", porque a mesma pessoa pode criar uma quantidade ilimitada de identidades. A prova de trabalho não conta identidades: ela pede a quem quiser competir que envie um resultado de cálculo verificável. Criar mais identidades não melhora por si só a chance de sucesso; mais poder de cálculo — ou seja, a capacidade de completar mais tentativas de hash por unidade de tempo — aumenta a probabilidade de encontrar um resultado.

Esse cálculo ajuda a rede a tratar duas questões ao mesmo tempo: quem recebe a oportunidade de publicar um bloco candidato e qual trecho de histórico os nós continuam usando quando vários ramos válidos aparecem simultaneamente. Em redes de prova de trabalho como a Bitcoin, os nós comparam o trabalho acumulado por cada ramo, e não simplesmente qual ramo contém mais blocos.

A prova de trabalho não substitui a validação de transações. Quem encontra um resultado válido só pode propor um bloco candidato; isso não permite alterar as regras do protocolo. Todo nó de validação completa continua checando de forma independente as assinaturas das transações, se os ativos já foram gastos, o formato do bloco e a própria prova de trabalho. Um bloco que viola as regras é rejeitado mesmo que poder de cálculo tenha sido gasto nele.

Do bloco candidato à confirmação pela rede

As redes de prova de trabalho diferem em algoritmos e parâmetros, mas o processo básico pode ser dividido nas etapas a seguir.

Montar um bloco candidato

Os participantes que disputam a produção de blocos costumam ser chamados de mineradores. Um minerador seleciona conteúdo entre as transações ainda não confirmadas, monta um bloco candidato conforme o protocolo exige e prepara o cabeçalho do bloco e os demais dados que entram no cálculo do hash. Um minerador pode decidir quais transações válidas incluir e em que ordem, mas não pode tornar válida uma transação inválida.

Tentar hashes repetidamente

Uma função hash criptográfica converte uma entrada em um resultado de comprimento fixo. O minerador altera o nonce — um valor usado para as tentativas repetidas — ou outro campo variável do bloco e calcula o hash várias vezes, até que o resultado satisfaça a condição de alvo definida pelo protocolo.

Enquanto a função hash usada pelo protocolo não tiver uma quebra conhecida e aproveitável, não existe atalho confiável para um resultado válido. É difícil prever se uma tentativa específica terá êxito, então mais poder de cálculo significa mais tentativas por unidade de tempo e maior probabilidade de encontrar primeiro um resultado válido. Um participante com menos poder de cálculo ainda pode ter êxito antes: a quem caberá um bloco específico não é definido com antecedência.

Transmitir e validar o bloco

Quando um minerador encontra um resultado válido, transmite o bloco para a rede. O nó que o recebe não precisa refazer todas as tentativas do minerador: ele apenas calcula e verifica se o resultado satisfaz a condição de alvo e confere se o bloco e suas transações seguem as outras regras.

Só os nós que concluem essa validação continuam retransmitindo e processando o bloco como candidato válido. A distinção importa: a mineração disputa a proposta de um bloco, e a validação pelos nós decide se um bloco pode ser aceito.

Seguir pelo ramo com mais trabalho acumulado

Dois mineradores podem publicar, quase ao mesmo tempo, blocos diferentes mas igualmente válidos, o que deixa a rede temporariamente com ramos. Os nós aplicam a regra de seleção de cadeia do protocolo para decidir por qual ramo continuar. Por exemplo, os nós da Bitcoin selecionam a cadeia válida com mais trabalho acumulado; conforme mais trabalho é somado, um ramo normalmente assume a frente e o outro é abandonado.

As transações que estavam no ramo abandonado não desaparecem automaticamente. Se uma transação continua válida, ela pode voltar ao estado pendente e ser incluída depois em outro bloco. Se entra em conflito com uma transação do ramo que prevaleceu, não voltará a ter efeito.

Alvo, dificuldade, poder de cálculo e trabalho acumulado

Quatro conceitos concentram a maior parte das confusões sobre prova de trabalho.

O alvo é o limite numérico que um hash válido precisa satisfazer. Na forma comum "o valor do hash deve ser menor ou igual ao alvo", quanto menor o alvo, menos resultados se qualificam e mais tentativas são necessárias em média.

A dificuldade é outra forma de expressar quão difícil é encontrar um resultado válido. Dificuldade mais alta normalmente corresponde a um alvo mais estrito. Muitas redes de prova de trabalho ajustam a dificuldade periodicamente para que o ritmo médio de produção de blocos continue próximo do que o protocolo prevê, mesmo quando o poder de cálculo total varia. O método e o período de ajuste são definidos por cada rede.

O poder de cálculo, ou taxa de hash, indica quantas tentativas de hash podem ser completadas por unidade de tempo. Ele reflete o investimento em cálculo. Não indica quantos nós um minerador controla e não equivale ao trabalho já acumulado. Para escolher entre ramos, os nós se baseiam no trabalho comprovado pelos blocos, não em estimativas de poder de cálculo instantâneo.

O trabalho acumulado é a soma das pontuações de trabalho que o protocolo deriva do alvo ou da dificuldade de cada bloco válido. Essa pontuação representa quantas tentativas de hash gerar aquele histórico deve exigir em média. Não é uma medição direta de quantas vezes os mineradores realmente falharam, de quanta eletricidade consumiram ou da taxa de hash atual. Os nós podem calculá-la de forma independente a partir dos dados dos blocos, então não precisam acreditar nos custos que os mineradores informam por conta própria.

A confirmação é probabilística

A prova de trabalho geralmente oferece confirmação probabilística e não torna um bloco novo permanentemente inalterável no instante em que ele aparece. Conforme blocos são acrescentados depois daquele que contém uma transação, também cresce o trabalho necessário para substituir o histórico que a contém, então a chance de ser afetada por uma reorganização de cadeia — quando um ramo adotado recentemente é substituído por outro — normalmente cai.

"Esperar algumas confirmações já é seguro" não tem resposta fixa aplicável a todos os casos. Depende da distribuição do poder de cálculo na rede, do ritmo de produção de blocos, do valor da transação, do risco que a parte recebedora consegue absorver e de haver ou não interrupção de rede ou bifurcação anômala. O número de confirmações que uma carteira ou plataforma mostra indica apenas quantos blocos vieram depois daquela transação; não é uma garantia incondicional.

Uma reorganização de cadeia também não significa necessariamente que houve ataque. A latência da rede pode levar mineradores honestos a trabalhar por um tempo sobre blocos diferentes, e depois o conflito é resolvido pelo ramo com mais trabalho acumulado. Quanto mais blocos recentes uma reorganização abrange, mais incomum ela costuma ser — e mais atenção seus efeitos merecem.

O que uma maioria de poder de cálculo consegue fazer

Se um participante, ou um grupo agindo de forma coordenada, controla de modo sustentado poder de cálculo efetivo suficiente, pode estender o próprio ramo mais rápido que o restante da rede. Esse tipo de ataque de poder majoritário é frequentemente chamado de ataque de 51%, mas "51%" é apenas um rótulo conveniente: o êxito real também depende da duração, das condições da rede e do objetivo de quem ataca.

Um minerador com essa vantagem poderia tentar excluir ou atrasar certas transações, reorganizar blocos recentes, ou pagar alguém e depois reverter o próprio pagamento por outro ramo, o que constitui gasto duplo. Ele também pode impedir que blocos de outros mineradores entrem no ramo que a rede finalmente adota.

Mas vantagem em poder de cálculo não é permissão para reescrever o registro à vontade. Quem ataca não consegue gerar do nada a assinatura válida de outra pessoa, não consegue gastar ativos cujas chaves não controla e não consegue fazer nós validadores honestos aceitarem blocos que violam as regras de emissão ou de validação de transações. A prova de trabalho resolve a disputa entre históricos válidos; ela não desliga as regras de validade.

Recompensas de mineração não são a prova de trabalho

Muitas redes públicas recompensam quem produz um bloco com ativos recém-emitidos e taxas de transação, compensando custos de equipamento, eletricidade e operação. Essas recompensas dão aos mineradores motivo para participar, mas a forma da recompensa não define a prova de trabalho.

A prova de trabalho descreve como um cálculo verificável é enviado, como se disputa a proposta de blocos e como históricos são comparados. Subsídios de bloco, taxas de transação, limites de emissão e redução de recompensas pertencem às regras econômicas de cada rede. A receita total que os mineradores obtêm de subsídio e taxas é muitas vezes chamada de orçamento de segurança da rede, porque sustenta o investimento contínuo em poder de cálculo. Essas regras de receita afetam as condições de segurança da prova de trabalho, mas não podem ser igualadas ao mecanismo de consenso.

Um pool de mineração também não é um novo mecanismo de consenso. Um pool reúne o poder de cálculo de vários participantes para minerar de forma cooperativa e distribui os ganhos conforme um acordo. Ele pode reduzir o quanto a receita de um participante individual oscila. Mas quando grande parte do poder de cálculo depende de poucos operadores de pools, falhas, filtragem de transações ou comportamento coordenado desses operadores afetam mais participantes.

Custos e trade-offs

A prova de trabalho traz custos reais de recursos para uma rede digital. Quem quiser continuar alcançando a rede honesta normalmente precisa comprometer equipamento, eletricidade e recursos de operação, e os mineradores honestos arcam com as mesmas categorias de custo. Esses custos estabelecem um limiar econômico para reescrever o histórico e para sustentar vantagem sobre mineradores honestos, e fazem parte do modelo de segurança da prova de trabalho. A segurança geral ainda depende de os nós validarem corretamente, da distribuição do poder de cálculo, da conectividade da rede, da função hash e das implementações de software.

Isso também gera trade-offs claros:

• Custos de energia e equipamento: um grande número de tentativas de hash consome eletricidade e exige hardware especializado ou de alto desempenho. A matriz energética real e o impacto em emissões dependem da região, do equipamento, da origem da carga e do critério de medição.
• Concentração de poder de cálculo: escala, eletricidade barata, oferta de chips e operação de pools podem concentrar o poder de cálculo em poucos participantes.
• Espera por confirmações: a confirmação probabilística precisa de tempo para se acumular, e um único bloco não pode ser tratado como liquidação absoluta.
• Mudanças no orçamento de segurança: quando o subsídio de bloco cai, ou quando preços de ativos e receitas de taxas mudam, a receita dos mineradores e o poder de cálculo total da rede podem variar junto.
• Coordenação de atualizações de regras: o poder de cálculo pode influenciar a produção de blocos e a disputa entre ramos, mas atualizações do protocolo continuam dependendo de como software, nós, mineradores, pessoas que usam a rede e outros participantes adotam as regras.

O consumo de energia também não se reduz a "cada transação consome necessariamente tanta eletricidade" dividindo por uma contagem de transações. Os mineradores disputam blocos, e quantas transações um bloco pode conter, se ele agrega dados de liquidação em lote enviados por outros sistemas e se blocos vazios ocorrem dependem do sistema específico e de como ele é usado. Ao avaliar impacto energético, deixe claro se a discussão trata do consumo total da rede, de uma unidade de tempo, de um bloco ou do efeito marginal de um tipo de transação.

Comparação com outros mecanismos de consenso

A prova de trabalho limita a disputa pela produção de blocos por meio de recursos de cálculo externos. A prova de participação normalmente faz com que validadores que bloqueiam o ativo do protocolo participem de propostas e votações, com recompensas ou penalidades delimitando a conduta. Uma rede permissionada pode simplesmente definir quais instituições ou nós podem participar do consenso.

Todos esses mecanismos precisam definir quem pode propor dados, como os outros nós os validam, qual resultado é adotado diante de um conflito e a partir de quando uma transação pode ser tratada como suficientemente firme. Eles diferem em qual recurso limita a influência, quais participantes se presume que possam agir de má-fé e quem arca com o custo da segurança.

Por isso um mecanismo não pode ser julgado seguro ou adequado apenas pela questão de consumir eletricidade. A comparação também precisa cobrir quem pode participar, quanto hardware ou ativo bloqueado é necessário, se a influência se concentra, como as transações são confirmadas, se é possível recuperar-se após um ataque, como os nós conferem os dados e quem atualiza as regras.

Perguntas frequentes

Prova de trabalho é a mesma coisa que mineração?

Não exatamente. Mineração é o processo em que participantes calculam e disputam a proposta de blocos; a prova de trabalho abrange também como os outros nós validam o resultado do cálculo e como a rede compara vários históricos válidos. Na fala cotidiana os dois termos aparecem juntos com frequência, mas o alcance é diferente.

Os mineradores calculam as transações?

Não. Os mineradores sobretudo aplicam hash repetidamente a dados relacionados ao bloco, em busca de um resultado que atenda ao alvo. A execução das transações e as checagens de validade pertencem a outro conjunto de regras do protocolo.

O minerador com mais poder de cálculo sempre produz o bloco seguinte?

Não necessariamente. Mais poder de cálculo significa mais tentativas no mesmo período e, portanto, probabilidade mais alta, mas cada rodada de disputa mantém um componente aleatório. Resultados de longo prazo tendem a se aproximar da participação de cada um no poder de cálculo.

A prova de trabalho impede todos os gastos duplos?

Não. Ela eleva o custo de reorganizar o histórico por meio do trabalho acumulado, e o risco normalmente cai conforme as confirmações se acumulam, mas o gasto duplo continua possível quando o poder de cálculo está concentrado, as confirmações são insuficientes ou a rede se comporta de forma anômala.

Todas as blockchains usam prova de trabalho?

Não. Algumas redes usam prova de participação, votação permissionada ou outros mecanismos. Uma mesma rede também pode trocar de mecanismo de consenso por meio de uma atualização de protocolo.

Conceitos relacionados

Continue com mecanismo de consenso, bloco, nó de blockchain e hash criptográfico, ou volte ao glossário de criptomoedas.

Fontes

• Whitepaper do Bitcoin — exposição original da prova de trabalho, da disputa entre ramos, do trabalho acumulado e da probabilidade de confirmação.
• Guia para desenvolvedores do Bitcoin: blockchain — hash do cabeçalho do bloco, alvo, ajuste de dificuldade, trabalho acumulado e reorganização de cadeia.
• Bitcoin.org: perguntas frequentes — limites dos poderes dos mineradores, confirmações, ataques por poder de cálculo e incentivos de mineração.
• NISTIR 8202: visão geral da tecnologia blockchain — processo geral da prova de trabalho, papel no consenso e trade-offs de recursos.