Bitcoin-transaktioner är inte så anonyma som alla hoppades

Ett ökande antal onlinehandlare erbjuder nu möjligheten att betala med kryptovalutan Bitcoin. Ett av de stora löftena med denna teknik är anonymitet: transaktionerna registreras och offentliggörs, men de är bara kopplade till en elektronisk adress. Så vad du än köper med dina bitcoins kan köpet inte spåras specifikt till dig.

Detta är praktiskt för vissa, men anonymiteten är inte på något sätt perfekt. Säkerhetsexperter kallar det pseudonym integritet, som att skriva böcker under en nom de plume. Du kan bevara din integritet så länge pseudonymen inte är kopplad till dig. Men så fort någon länkar till en av dina anonyma böcker avslöjas listen. Hela din skrivhistoria under din pseudonym blir offentlig. På samma sätt, så snart dina personliga uppgifter är kopplade till din Bitcoin-adress, avslöjas även din köphistorik.

Det väcker en viktig fråga för människor som hoppas kunna använda Bitcoin för att göra anonyma köp: hur lätt är det att länka dem till sina Bitcoin-transaktioner?

Idag får vi ett svar tack vare Steven Goldfeders arbete vid Princeton University och ett antal kompisar. Dessa killar säger att hur information läcker ut under vanliga köp gör det enkelt att länka individer till de Bitcoin-transaktioner de gör, även när köpare använder ytterligare integritetsskydd, som CoinJoin.

De främsta bovarna är webbspårare och cookies – små kodbitar som medvetet är inbäddade i webbplatser som skickar information till tredje part om hur människor använder webbplatsen. Vanliga webbspårare skickar information till Google, Facebook och andra för att spåra sidanvändning, köpbelopp, surfvanor och så vidare. Vissa spårare skickar till och med personligt identifierbar information som ditt namn, adress och e-post.

På detta sätt läcker information om en transaktion ut på webben, där regeringar, brottsbekämpande myndigheter och illvilliga användare enkelt kan samla in och analysera den.

Frågan som Goldfeder och co undersöker är hur lätt det är att använda denna information för att koppla människor till deras Bitcoin-transaktioner. Denna process kräver att avlyssnaren känner till en individs personligt identifierbara information – till exempel namn och e-post – och sedan länkar den till en specifik Bitcoin-adress.

Teamet började med att lista stora handlare som tillåter Bitcoin-transaktioner. De kom upp med 130 av dem, inklusive Microsoft, NewEgg och Overstock.

De studerade sedan hur webbspårare läcker information från var och en av dessa webbplatser under köpprocessen. Vi finner att minst 53/130 av handlarna läcker betalningsinformation till totalt minst 40 tredje parter, oftast från kundvagnssidor, säger Goldfeder och co.

Det mesta av detta informationsläckage är avsiktligt i syfte att annonsera och analysera. Men forskarna säger också att viss extra information också skickas. Vi finner att många handelswebbplatser har mycket allvarligare (och sannolikt oavsiktliga) informationsläckor som direkt avslöjar den exakta transaktionen på blockkedjan för dussintals spårare, säger de.

Det är dåliga nyheter för människor som hoppas kunna hålla sina Bitcoin-köp anonyma. Men även när den exakta transaktionen hålls dold är det fortfarande möjligt att göra länken när läckan inkluderar belopp och tid för köpet.

I så fall måste avlyssnaren konvertera köpbeloppet till Bitcoins med hjälp av den växelkurs som gäller vid tidpunkten och sedan söka i blockkedjan efter en transaktion på det beloppet i det ögonblicket. Detta avslöjar Bitcoin-adressen för användaren. Alla andra köp som görs med den adressen är sedan triviala att spåra.

Det finns ett par ytterligare faktorer som gör den här processen svårare. Webbspåraren kan läcka kostnaden för produkten men inte inkludera frakt, så det totala Bitcoin-köpet kanske inte är klart.

Det kan också finnas ett gap mellan den tid då användaren tittade på sidan som informationen läckte från – till exempel kassan – och den tidpunkt då köpet faktiskt gjordes. Bitcoin-köp är tidsstämplade, så det blir svårare att spåra dem om tiden inte är exakt känd.

Köpesumman anges vanligtvis i en lokal valuta som dollar eller pund och konverteras sedan till Bitcoin vid köptillfället. På grund av den stora variationen i Bitcoin-växelkurser kan det vara svårt att räkna ut det exakta Bitcoin-värdet om köptiden inte är exakt känd.

Alla dessa faktorer gör det svårare att koppla individer till deras Bitcoin-transaktioner, men det är inte på något sätt omöjligt. Vi finner att unik koppling är möjlig i över 60 % av fallen för realistiska värden på dessa parametrar, säger forskarna.

Det finns sätt att ytterligare dölja Bitcoin-transaktioner. En av de mest populära är CoinJoin, en tjänst som länkar samman användare som vill göra liknande betalningar och sedan låter dem betala tillsammans. Detta blandar deras bitcoins, vilket gör det svårare att identifiera dem.

Men Goldfeder och co påpekar att om en individ använder CoinJoin för att göra flera inköp på detta sätt, är det enkelt att länka tillbaka dem: Om offret använder 3 omgångar av CoinJoin och motståndaren observerar två av offrets betalningar, kan han länka dem tillbaka till plånboken (trots blandning) med 98 % noggrannhet.

Det finns flera sätt som köpare kan skydda sig med hjälp av verktyg som Ghostery, AdBlock Plus eller uBlock Origin. Dessa är användbara men kan ibland missa spårare och vid andra tillfällen förhindra köp helt. Sådana försvar kan vara ganska effektiva, men de är långt ifrån perfekta, säger Goldfeder och co.

Allt detta kommer som deprimerande nyheter för människor som hoppas kunna bevara sin integritet online.

Men det kommer också att vara musik i öronen av brottsbekämpande myndigheter som hoppas kunna spåra skändliga aktiviteter. Liksom praktiskt taget alla deanonymiseringsattacker på kryptovalutor kan våra tekniker användas för att bygga kriminaltekniska verktyg för brottsbekämpande användning, erkänner Goldfeder och co.

Och som alla deanonymiseringstekniker kommer det att ha fördelar och nackdelar.

Ref: arxiv.org/abs/1708.04748 : När kakan möter blockkedjan: Sekretessrisker med webbbetalningar via kryptovalutor

Dölj