Transakcje Bitcoin nie są tak anonimowe, jak wszyscy się spodziewali

Coraz większa liczba handlowców internetowych oferuje teraz możliwość płacenia za pomocą kryptowaluty Bitcoin. Jedną z wielkich obietnic tej technologii jest anonimowość: transakcje są rejestrowane i upubliczniane, ale są powiązane tylko z adresem elektronicznym. Więc cokolwiek kupujesz za pomocą bitcoinów, zakupu nie można przypisać konkretnie do Ciebie.

Dla niektórych jest to przydatne, ale anonimowość w żadnym wypadku nie jest idealna. Eksperci od bezpieczeństwa nazywają to prywatnością pseudonimową, jak pisanie książek pod pseudonimem. Możesz zachować swoją prywatność, o ile pseudonim nie jest z Tobą powiązany. Ale gdy tylko ktoś poda link do jednej z twoich anonimowych książek, podstęp zostaje ujawniony. Cała twoja historia pisania pod twoim pseudonimem staje się publiczna. Podobnie, gdy tylko Twoje dane osobowe zostaną powiązane z Twoim adresem Bitcoin, ujawniona zostanie również Twoja historia zakupów.

Rodzi to ważne pytanie dla osób, które chcą używać Bitcoina do dokonywania anonimowych zakupów: jak łatwo jest powiązać je z transakcjami Bitcoin?

Dziś otrzymujemy odpowiedź dzięki pracy Stevena Goldfedera z Princeton University i wielu kumplom. Ci faceci twierdzą, że sposób, w jaki informacje wyciekają podczas zwykłych zakupów, ułatwia powiązanie osób z transakcjami Bitcoin, które dokonują, nawet jeśli kupujący korzystają z dodatkowych zabezpieczeń prywatności, takich jak CoinJoin.

Głównymi winowajcami są narzędzia do śledzenia sieci i pliki cookie — małe fragmenty kodu celowo osadzone w witrynach internetowych, które wysyłają do stron trzecich informacje o sposobie korzystania z witryny przez użytkowników. Popularne narzędzia do śledzenia sieci wysyłają informacje do Google, Facebooka i innych, aby śledzić wykorzystanie strony, kwoty zakupów, nawyki przeglądania i tak dalej. Niektóre trackery wysyłają nawet informacje umożliwiające identyfikację, takie jak imię i nazwisko, adres i e-mail.

W ten sposób informacje o transakcji przedostają się do sieci, gdzie rządy, organy ścigania i złośliwi użytkownicy mogą je łatwo zbierać i analizować.

Pytanie, które Goldfeder i spółka badają, dotyczy tego, jak łatwo jest wykorzystać te informacje, aby połączyć ludzi z ich transakcjami Bitcoin. Proces ten wymaga, aby podsłuchujący znał informacje umożliwiające identyfikację osoby — na przykład imię i nazwisko oraz adres e-mail — a następnie powiązał je z konkretnym adresem Bitcoin.

Zespół rozpoczął od wymienienia głównych sprzedawców, którzy zezwalają na transakcje Bitcoin. Wymyślili 130 z nich, w tym Microsoft, NewEgg i Overstock.

Następnie zbadali, w jaki sposób narzędzia do śledzenia sieci WWW wyciekają informacje z każdej z tych witryn podczas procesu zakupu. Odkryliśmy, że co najmniej 53/130 handlowców ujawnia informacje o płatnościach łącznie co najmniej 40 stronom trzecim, najczęściej ze stron koszyka, na przykład Goldfeder i spółka.

Większość tych wycieków informacji jest zamierzona do celów reklamowych i analitycznych. Ale naukowcy twierdzą również, że przesyłane są również dodatkowe informacje. Odkryliśmy, że wiele witryn handlowych ma znacznie poważniejsze (i prawdopodobnie niezamierzone) wycieki informacji, które bezpośrednio ujawniają dokładną transakcję w łańcuchu blokowym dziesiątkom trackerów.

To zła wiadomość dla osób, które chcą zachować anonimowość swoich zakupów Bitcoin. Ale nawet jeśli dokładna transakcja jest ukryta, nadal można utworzyć link, gdy wyciek zawiera kwotę i godzinę zakupu.

W takim przypadku podsłuchujący musi przekonwertować kwotę zakupu na bitcoiny po kursie wymiany w danym momencie, a następnie przeszukać łańcuch bloków w poszukiwaniu transakcji na tę kwotę w tym momencie. To ujawnia adres Bitcoin użytkownika. Wszelkie inne zakupy dokonane przy użyciu tego adresu są wtedy banalne do wyśledzenia.

Istnieje kilka dodatkowych czynników, które utrudniają ten proces. Web tracker może ujawnić koszt produktu, ale nie obejmuje wysyłki, więc całkowity zakup Bitcoin może nie być jasny.

Może również wystąpić luka między czasem, w którym użytkownik przeglądał stronę, z której wyciekły informacje — na przykład z koszyka do kasy — a czasem faktycznego dokonania zakupu. Zakupy Bitcoin są oznaczone znacznikiem czasu, więc trudniej jest je wyśledzić, jeśli czas nie jest dokładnie znany.

Kwota zakupu jest zwykle podawana w lokalnej walucie, takiej jak dolary lub funty, a następnie przeliczana na Bitcoin w momencie zakupu. Ze względu na dużą zmienność kursów wymiany Bitcoin, ustalenie dokładnej wartości Bitcoin może być trudne, jeśli czas zakupu nie jest dokładnie znany.

Wszystkie te czynniki utrudniają łączenie osób z ich transakcjami Bitcoin, ale w żadnym wypadku nie jest to niemożliwe. Naukowcy twierdzą, że unikalne połączenie jest możliwe w ponad 60% przypadków dla realistycznych wartości tych parametrów.

Istnieją sposoby na dalsze ukrywanie transakcji Bitcoin. Jedną z najpopularniejszych jest CoinJoin, usługa, która łączy użytkowników, którzy chcą dokonywać podobnych płatności, a następnie pozwala im płacić razem. To miesza ich bitcoiny, co utrudnia ich identyfikację.

Ale Goldfeder i wsp. zwracają uwagę, że jeśli dana osoba używa CoinJoin do dokonania kilku zakupów w ten sposób, łatwo jest je połączyć z powrotem: jeśli ofiara zastosuje 3 rundy CoinJoin, a przeciwnik zauważy dwie płatności ofiary, może je połączyć z powrotem do jej portfela (mimo mieszania) z 98% dokładnością.

Istnieje kilka sposobów, w jakie kupujący mogą chronić się za pomocą narzędzi takich jak Ghostery, AdBlock Plus lub uBlock Origin. Są one przydatne, ale czasami mogą pominąć elementy śledzące, a innym razem całkowicie uniemożliwić zakupy. Taka obrona może być całkiem skuteczna, ale daleko jej do doskonałości, mówią Goldfeder i spółka.

Wszystko to będzie przygnębiającą wiadomością dla osób, które chcą zachować swoją prywatność w Internecie.

Ale będzie to także muzyka dla uszu organów ścigania, które chcą śledzić nikczemne działania. Podobnie jak w przypadku praktycznie wszystkich ataków deanonimizacji na kryptowaluty, nasze techniki można wykorzystać do budowy narzędzi kryminalistycznych do użytku organów ścigania, przyznaj Goldfeder i spółka.

I jak wszystkie techniki deanonimizacji, będzie to miało wady i zalety.

Nr ref.: arxiv.org/abs/1708.04748 : Kiedy plik cookie spotyka się z łańcuchem bloków: ryzyko prywatności związane z płatnościami internetowymi za pośrednictwem kryptowalut

ukryć