Bitcoin sandoriai nėra tokie anonimiški, kaip visi tikėjosi

Vis daugiau internetinių prekybininkų dabar siūlo galimybę atsiskaityti naudodamiesi kriptovaliuta Bitcoin. Vienas didžiausių šios technologijos pažadų – anonimiškumas: operacijos fiksuojamos ir viešinamos, tačiau susietos tik su elektroniniu adresu. Taigi, kad ir ką pirktumėte su savo bitkoinais, pirkimo negalima atsekti konkrečiai jums.

Kai kuriems tai patogu, tačiau anonimiškumas jokiu būdu nėra tobulas. Saugumo ekspertai tai vadina slapyvardžiu privatumu, kaip ir knygų rašymas pagal nom de plume. Galite išsaugoti savo privatumą tol, kol pseudonimas nesusietas su jumis. Bet kai tik kas nors padaro nuorodą į vieną iš jūsų anoniminių knygų, gudrybė atskleidžiama. Visa jūsų rašymo istorija jūsų pseudonimu tampa vieša. Panašiai, kai tik jūsų asmeninė informacija bus susieta su jūsų Bitcoin adresu, atskleidžiama ir jūsų pirkimo istorija.

Tai kelia svarbų klausimą žmonėms, kurie tikisi naudoti Bitcoin anoniminiams pirkiniams: ar lengva juos susieti su jų Bitcoin sandoriais?

Šiandien mes gauname atsakymą dėl Steveno Goldfederio Prinstono universitete ir daugelio draugų darbo. Šie vaikinai sako, kad informacijos nutekėjimas per įprastus pirkinius leidžia lengvai susieti asmenis su jų atliktais Bitcoin sandoriais, net jei pirkėjai naudojasi papildomomis privatumo apsaugos priemonėmis, tokiomis kaip CoinJoin.

Pagrindiniai kaltininkai yra žiniatinklio stebėjimo priemonės ir slapukai – nedidelės kodo dalys, sąmoningai įterptos į svetaines, kurios siunčia informaciją trečiosioms šalims apie tai, kaip žmonės naudojasi svetaine. Įprasti žiniatinklio stebėjimo įrenginiai siunčia informaciją į Google, Facebook ir kitus, kad galėtų stebėti puslapio naudojimą, pirkinių sumas, naršymo įpročius ir pan. Kai kurie stebėjimo įrenginiai netgi siunčia asmenį identifikuojančią informaciją, tokią kaip jūsų vardas, adresas ir el.

Tokiu būdu informacija apie operaciją nuteka į internetą, kur vyriausybės, teisėsaugos institucijos ir kenkėjiški vartotojai gali lengvai ją rinkti ir analizuoti.

Klausimas, kurį „Goldfeder“ ir bendradarbiai tiria, yra tai, kaip lengva naudoti šią informaciją, norint prijungti žmones prie jų „Bitcoin“ operacijų. Šis procesas reikalauja, kad pasiklausytojas žinotų asmens tapatybę identifikuojančią informaciją – pavyzdžiui, vardą ir el. pašto adresą – ir susietų ją su konkrečiu Bitcoin adresu.

Komanda pradėjo išvardydama pagrindinius prekybininkus, kurie leidžia atlikti Bitcoin operacijas. Jie sugalvojo 130 jų, įskaitant „Microsoft“, „NewEgg“ ir „Overstock“.

Tada jie ištyrė, kaip žiniatinklio stebėjimo priemonės nutekina informaciją iš kiekvienos iš šių svetainių pirkimo proceso metu. Pastebime, kad mažiausiai 53/130 prekybininkų nutekina mokėjimo informaciją iš viso mažiausiai 40 trečiųjų šalių, dažniausiai iš pirkinių krepšelio puslapių, tarkime, Goldfeder ir kt.

Didžioji dalis šios informacijos nutekėjimo yra tyčinė reklamos ir analizės tikslais. Tačiau mokslininkai taip pat teigia, kad siunčiama ir papildomos informacijos. Pastebime, kad daugelyje prekybininkų svetainių yra daug rimtesnių (ir greičiausiai netyčinių) informacijos nutekėjimų, kurie tiesiogiai atskleidžia tikslią „blockchain“ operaciją dešimtims sekėjų.

Tai bloga žinia žmonėms, kurie tikisi išlaikyti savo Bitcoin pirkinius anoniminius. Tačiau net ir nuslėpus tikslią operaciją, vis tiek įmanoma susieti, kai nutekėjime nurodyta pirkimo suma ir laikas.

Tokiu atveju pasiklausytojas turi konvertuoti pirkimo sumą į bitkoinus, naudodamas tuo metu galiojantį valiutos kursą, o tada blokų grandinėje ieškoti tos sumos operacijos tuo metu. Tai atskleidžia vartotojo Bitcoin adresą. Bet kokie kiti pirkimai, atlikti naudojant šį adresą, yra nereikšmingi.

Yra keletas papildomų veiksnių, kurie apsunkina šį procesą. Interneto stebėjimo priemonė gali nutekėti produkto kaina, bet neįtraukti siuntimo, todėl bendras Bitcoin pirkimas gali būti neaiškus.

Taip pat gali būti skirtumas tarp to laiko, kai vartotojas peržiūrėjo puslapį, iš kurio nutekėjo informacija (pvz., atsiskaitymo krepšelio), ir laiko, kai faktiškai buvo įsigyta. Bitcoin pirkimai yra pažymėti laiko žyma, todėl juos susekti tampa sunkiau, jei laikas nėra tiksliai žinomas.

Pirkimo suma paprastai nurodoma vietine valiuta, pvz., doleriais arba svarais, ir tada konvertuojama į Bitcoin pirkimo metu. Dėl didelių Bitcoin valiutų kursų svyravimų gali būti sunku nustatyti tikslią Bitcoin vertę, jei pirkimo laikas nėra tiksliai žinomas.

Dėl visų šių veiksnių sunkiau susieti asmenis su jų Bitcoin sandoriais, tačiau tai jokiu būdu nėra neįmanoma. Mes nustatėme, kad unikalus ryšys įmanomas daugiau nei 60% atvejų, kai šių parametrų tikroviškos vertės, teigia mokslininkai.

Yra būdų, kaip toliau paslėpti Bitcoin operacijas. Viena populiariausių yra „CoinJoin“ – paslauga, kuri sujungia vartotojus, norinčius atlikti panašius mokėjimus, ir leidžia jiems mokėti kartu. Tai sumaišo jų bitkoinus, todėl juos sunkiau identifikuoti.

Tačiau Goldfeder ir bendradarbiai pabrėžia, kad jei asmuo naudoja CoinJoin, kad tokiu būdu įsigytų kelis pirkinius, juos būtų paprasta susieti atgal: jei auka naudoja 3 CoinJoin raundus, o priešas stebi du aukos mokėjimus, jis gali juos susieti. atgal į savo piniginę (nepaisant maišymo) 98% tikslumu.

Yra keletas būdų, kaip pirkėjai gali apsisaugoti naudodami tokius įrankius kaip „Ghostery“, „AdBlock Plus“ arba „uBlock Origin“. Jie yra naudingi, tačiau kartais gali nepastebėti stebėjimo priemonių, o kartais visiškai neleisti pirkti. Tokios apsaugos priemonės gali būti gana veiksmingos, tačiau jos toli gražu nėra tobulos, sako Goldfederis ir kt.

Visa tai bus liūdna žinia žmonėms, kurie tikisi išsaugoti savo privatumą internete.

Tačiau tai taip pat bus muzika teisėsaugos institucijų, tikisinčių atsekti niekšišką veiklą, ausims. Kaip ir beveik visos kriptovaliutų deanonimizacijos atakos, mūsų metodai gali būti naudojami kuriant kriminalistikos įrankius teisėsaugos reikmėms, pripažįsta Goldfeder ir kt.

Ir, kaip ir visi deanonimizacijos būdai, tai turės privalumų ir trūkumų.

Nuoroda: arxiv.org/abs/1708.04748 : Kai slapukas atitinka blokų grandinę: interneto mokėjimų per kriptovaliutą privatumo rizika

paslėpti