211service.com
Le transazioni Bitcoin non sono così anonime come tutti speravano
Un numero crescente di commercianti online ora offre la possibilità di pagare utilizzando la criptovaluta Bitcoin. Una delle grandi promesse di questa tecnologia è l'anonimato: le transazioni vengono registrate e rese pubbliche, ma sono collegate solo con un indirizzo elettronico. Quindi, qualunque cosa tu acquisti con i tuoi bitcoin, l'acquisto non può essere ricondotto specificamente a te.
Questo è utile per alcuni, ma l'anonimato non è affatto perfetto. Gli esperti di sicurezza lo chiamano privacy pseudonimo, come scrivere libri sotto un nome di penna. Puoi preservare la tua privacy fintanto che lo pseudonimo non è collegato a te. Ma non appena qualcuno fa il collegamento a uno dei tuoi libri anonimi, lo stratagemma viene rivelato. La tua intera storia di scrittura sotto il tuo pseudonimo diventa pubblica. Allo stesso modo, non appena i tuoi dati personali sono collegati al tuo indirizzo Bitcoin, viene rivelata anche la cronologia degli acquisti.
Ciò solleva una domanda importante per le persone che sperano di utilizzare Bitcoin per effettuare acquisti anonimi: quanto è facile collegarli alle loro transazioni Bitcoin?
Oggi riceviamo una risposta grazie al lavoro di Steven Goldfeder all'Università di Princeton e ad alcuni amici. Questi ragazzi affermano che il modo in cui le informazioni trapelano durante gli acquisti ordinari rende semplice collegare le persone alle transazioni Bitcoin che effettuano, anche quando gli acquirenti utilizzano protezioni della privacy aggiuntive, come CoinJoin.
I principali colpevoli sono i Web tracker ei cookie, piccoli frammenti di codice deliberatamente incorporati nei siti Web che inviano informazioni a terzi sul modo in cui le persone utilizzano il sito. I tracker Web comuni inviano informazioni a Google, Facebook e altri per monitorare l'utilizzo della pagina, gli importi degli acquisti, le abitudini di navigazione e così via. Alcuni tracker inviano persino informazioni di identificazione personale come nome, indirizzo ed e-mail.
In questo modo, le informazioni su una transazione trapelano sul Web, dove governi, forze dell'ordine e utenti malintenzionati possono raccoglierle e analizzarle prontamente.
La domanda su cui Goldfeder e co indagano è quanto sia facile utilizzare queste informazioni per connettere le persone alle loro transazioni Bitcoin. Questo processo richiede che l'intercettatore conosca le informazioni di identificazione personale di un individuo, ad esempio nome ed e-mail, e quindi le colleghi a uno specifico indirizzo Bitcoin.
Il team ha iniziato elencando i principali commercianti che consentono transazioni Bitcoin. Ne hanno inventati 130, tra cui Microsoft, NewEgg e Overstock.
Hanno quindi studiato come i web tracker trapelano informazioni da ciascuno di questi siti durante il processo di acquisto. Scopriamo che almeno il 53/130 dei commercianti perde le informazioni di pagamento a un totale di almeno 40 terze parti, il più delle volte dalle pagine del carrello, affermano Goldfeder e co.
La maggior parte di questa perdita di informazioni è intenzionale a fini pubblicitari e di analisi. Ma i ricercatori affermano anche che vengono inviate anche alcune informazioni extra. Scopriamo che molti siti Web di commercianti hanno perdite di informazioni molto più gravi (e probabilmente non intenzionali) che rivelano direttamente l'esatta transazione sulla blockchain a dozzine di tracker, dicono.
Questa è una cattiva notizia per le persone che sperano di mantenere anonimi i loro acquisti di Bitcoin. Ma anche quando la transazione esatta viene tenuta nascosta, è comunque possibile effettuare il collegamento quando la perdita include l'importo e il tempo dell'acquisto.
In tal caso, l'intercettatore deve convertire l'importo dell'acquisto in Bitcoin utilizzando il tasso di cambio in quel momento e quindi cercare nella blockchain una transazione di tale importo in quel momento. Questo rivela l'indirizzo Bitcoin dell'utente. Eventuali altri acquisti effettuati utilizzando quell'indirizzo sono quindi banali da rintracciare.
Ci sono un paio di fattori aggiuntivi che rendono questo processo più complicato. Il web tracker potrebbe far trapelare il costo del prodotto ma non includere la spedizione, quindi l'acquisto totale di Bitcoin potrebbe non essere chiaro.
Potrebbe anche esserci un divario tra il momento in cui l'utente ha visualizzato la pagina da cui sono trapelate le informazioni, ad esempio il carrello della cassa, e il momento in cui è stato effettivamente effettuato l'acquisto. Gli acquisti di bitcoin sono contrassegnati dall'ora, quindi diventa più difficile rintracciarli se l'ora non è nota con precisione.
L'importo dell'acquisto viene solitamente indicato in una valuta locale come dollari o sterline e quindi convertito in Bitcoin al momento dell'acquisto. A causa della grande variabilità dei tassi di cambio di Bitcoin, può essere difficile calcolare l'esatto valore di Bitcoin se il tempo di acquisto non è noto con precisione.
Tutti questi fattori rendono più difficile collegare le persone alle loro transazioni Bitcoin, ma non è affatto impossibile. Troviamo che un collegamento unico è possibile in oltre il 60% dei casi per valori realistici di questi parametri, affermano i ricercatori.
Ci sono modi per nascondere ulteriormente le transazioni Bitcoin. Uno dei più popolari è CoinJoin, un servizio che collega gli utenti che vogliono effettuare pagamenti simili e quindi consente loro di pagare insieme. Questo mescola i loro bitcoin, rendendo più difficile identificarli.
Ma Goldfeder e colleghi sottolineano che se un individuo utilizza CoinJoin per effettuare diversi acquisti in questo modo, è semplice ricollegarli: se la vittima utilizza 3 round di CoinJoin e l'avversario osserva due dei pagamenti della vittima, può collegarli torna al suo portafoglio (nonostante si mescolino) con una precisione del 98%.
Esistono diversi modi in cui gli acquirenti possono proteggersi utilizzando strumenti come Ghostery, AdBlock Plus o uBlock Origin. Questi sono utili ma a volte possono mancare i tracker e altre volte impedire del tutto gli acquisti. Tali difese possono essere abbastanza efficaci, ma sono tutt'altro che perfette, affermano Goldfeder e co.
Tutto questo sarà una notizia deprimente per le persone che sperano di preservare la propria privacy online.
Ma sarà anche musica per le orecchie delle forze dell'ordine che sperano di rintracciare attività nefaste. Come praticamente tutti gli attacchi di deanonimizzazione alle criptovalute, le nostre tecniche potrebbero essere utilizzate per costruire strumenti forensi per l'uso da parte delle forze dell'ordine, ammettono Goldfeder e co.
E come tutte le tecniche di deanonimizzazione, ciò avrà vantaggi e svantaggi.
Rif: arxiv.org/abs/1708.04748 : Quando il cookie incontra la blockchain: rischi per la privacy dei pagamenti Web tramite criptovalute