Clustering-Heuristiken und ihre Grenzen · Lektion 5 von 6
Attribution und Kennzeichnung
8 Min. Lesezeit
Ein Cluster zeigt Ihnen, dass Adressen zusammengehören; ein Label zeigt Ihnen, wem oder was sie gehören. Labels machen aus Graphen Erkenntnisse („Gelder erreichten Börse K“, „die Adresse gehört zu einem Bridge-Vertrag“) und sind zugleich die Stelle, an der die schwerwiegendsten Fehler in einen Bericht gelangen. Diese Lektion behandelt, woher Labels stammen, wie man sie bewertet und versioniert und welche ethischen Grenzen dafür sorgen, dass die Attribution auf Dienste und Organisationen statt auf Privatpersonen ausgerichtet bleibt.
Was ein Label ist
Ein Label ist eine Behauptung: dass eine Adresse oder ein Cluster von einer benannten Entität kontrolliert wird oder zu einer Aktivitätskategorie gehört. Es besteht aus drei Teilen:
- Subjekt: eine Adresse, ein Vertrag oder ein Cluster auf einer bestimmten Blockhöhe.
- Aussage: ein Entitätsname („Börse K“), eine Kategorie („Börseneinzahlung“, „Bridge“, „Mixer“, „Exploit“, „Betrug“) oder beides.
- Grundlage: die Quelle und die Belege, das Beobachtungsdatum und eine Vertrauensstufe.
Halten Sie Entitäts- und Kategorie-Labels getrennt. Oft können Sie sicher sein, dass es sich bei einer Adresse um eine Einzahlungsadresse einer Börse handelt (sie leitet alles an eine Hot Wallet weiter), ohne zu wissen, um welche Börse es sich handelt. Umgekehrt können Sie wissen, um welche Börse es sich handelt, ohne den Kunden zu kennen. Halten Sie Labels außerdem von Clustern getrennt. Ein Label, das an einer Seed-Adresse angebracht ist, breitet sich auf jede Adresse in ihrem Cluster aus. Dieser Vorgang wird Label-Vererbung genannt. Ein Label ist daher nie aussagekräftiger als die Cluster-Verknüpfungen, über die es weitergegeben wurde.
Quellen für Labels
| Quelle | Beispiele | Typische Aussagekraft | Zu beachten |
|---|---|---|---|
| Selbstidentifizierung | Von einer Börse veröffentlichte Reserveadressen; dokumentierte Vertragsadressen eines Protokolls; Spendenadresse einer Organisation | Hoch für die aufgeführten Adressen | Listen veralten; Betrüger veröffentlichen gefälschte Listen |
| Dienstkennzeichnung durch Testtransaktion | Einen kleinen Betrag bei einem Dienst einzahlen und die Einzahlungsadresse sowie die Weiterleitung beobachten | Hoch, aus erster Hand | Erfasst nur Adressen, mit denen Sie interagiert haben, bis Clustering die Kennzeichnung erweitert |
| Veröffentlichungen von Behörden | Anklageschriften, Beschlagnahmungsankündigungen, Sanktionslisten und Warnhinweise mit Adressen | Hoch für die konkret genannten Adressen | Die Attribution stammt von der Behörde; geben Sie dies in der Quellenangabe an |
| Offenlegungen durch Opfer und zu Vorfällen | Nachberichte ausgebeuteter Protokolle mit Adressen von Angreifern | Hoch für die Vorfallsadressen | Frühe Listen können Fehler enthalten, die später korrigiert werden |
| OSINT zu Organisationen | Eigene Dokumentation eines Dienstes, offizielle Konten, Governance-Foren, verifizierter Quellcode von Verträgen | Mittel; abhängig von der Verifizierung | Gefälschte Konten und kopierte Seiten |
| Labels von Drittanbietern | Öffentliche Tags von Explorern, offene Community-Datensätze, Anbieterdaten | Unterschiedlich, oft nicht erklärt | Gegenseitiges Abschreiben; unbekannte Methode und unbekanntes Datum |
Testtransaktionen sind die klassische Forschungsmethode. Meiklejohn et al. (2013, „A Fistful of Bitcoins“) führten 344 Transaktionen mit Börsen, Wallets, Glücksspielseiten und anderen Diensten durch, kennzeichneten 1.070 Adressen manuell und konnten durch Clustering 2.197 Cluster mit insgesamt mehr als 1,8 Millionen Adressen benennen. Das Beispiel zeigt, welche Hebelwirkung die Label-Vererbung in beide Richtungen hat: Einige wenige Beobachtungen aus erster Hand können Millionen von Adressen kennzeichnen, und eine einzige fehlerhafte Cluster-Verknüpfung kann Millionen falsch kennzeichnen.
Öffentliche Veröffentlichungen sind bei Fällen mit großem öffentlichem Interesse wichtig. Nach dem Diebstahl über die Ronin-Bridge (2022) und dem Bybit-Diebstahl (2025) schrieben Behörden die Angriffe öffentlich einer staatsnahen Gruppe zu und veröffentlichten die beteiligten Adressen. Analysten können sich bei den von ihnen genannten Adressen auf solche Veröffentlichungen stützen, müssen im Bericht aber deutlich machen, dass die Attribution von der Behörde stammt. Jede Ausweitung auf weitere Adressen sollten sie als eigene Schlussfolgerung kennzeichnen.
Zwei übereinstimmende Tags von Drittanbietern sind nicht zwangsläufig zwei Quellen. Explorer und Datensätze kopieren voneinander, sodass ein falsches Tag an fünf Stellen mit nur einem Ursprung auftauchen kann. Das ist zirkuläre Berichterstattung; verfolgen Sie jedes Label bis zu seinem Ursprung zurück, bevor Sie es als Bestätigung zählen.
Bewertung der Vertrauenswürdigkeit
Eine einfache, explizite Bewertungsskala macht Labels zwischen Analysten vergleichbar:
| Stufe | Kriterien |
|---|---|
| Bestätigt | Belege aus erster Hand (eigene Testtransaktion), eigene Veröffentlichung der Entität oder eine behördliche Veröffentlichung, in der die Adresse genannt wird |
| Hoch | Zwei unabhängige Indikatoren stimmen überein, zum Beispiel ein Weiterleitungsmuster zu einer selbst identifizierten Hot Wallet |
| Mittel | Ein starker Indikator oder ein seriöses Tag eines Drittanbieters mit bekannter Methode |
| Niedrig | Ein einzelner schwacher Indikator oder ein nicht erklärtes Tag; nur als Hinweis verwenden, niemals als Erkenntnis |
Zwei Präzisierungen sind in der Praxis wichtig. Erstens sollten Sie die Cluster-Verknüpfung und das Label getrennt bewerten: Ein bestätigtes Label auf einer Seed-Adresse, das über eine Change-Verknüpfung mit niedriger Vertrauensstufe vererbt wird, ergibt für die übernehmende Adresse ein Label mit niedriger Vertrauensstufe. Zweitens sollten Sie Entität und Kategorie, wie oben beschrieben, getrennt bewerten. Die Lektion Vertrauen, Unsicherheit und Formulierungen zeigt, wie diese Bewertungen in die Formulierung eines Berichts einfließen.
Auch für die Vererbung braucht es Regeln dazu, welche Verknüpfungen ein Label weitergeben dürfen. Eine gängige Richtlinie ist, Entitäts-Labels nur über Verknüpfungen mit hoher Vertrauensstufe weiterzugeben – typischerweise über Verknüpfungen gemeinsamer Eingaben, wobei CoinJoins ausgeschlossen werden – und die Weitergabe zu stoppen, wenn dadurch ein zweites, anderes Entitäts-Label im selben Cluster landen würde. Change-Verknüpfungen und Verknüpfungen von Account-Modellen können weiterhin in einem Graphen dargestellt werden, aber das dadurch weitergegebene Label wird als abgeleitet gekennzeichnet und niedriger bewertet. Betrachten Sie einen durchgerechneten Fall: Eine bestätigte Börsenkennzeichnung befindet sich auf einer Hot Wallet; 4.000 Einzahlungsadressen werden durch Weiterleitungen mit ihr verbunden (gemeinsame Eingabe, hohe Vertrauensstufe); eine weitere Adresse wird über eine einzelne Change-Verknüpfung mit mittlerer Vertrauensstufe verbunden. Die 4.000 Einzahlungsadressen übernehmen „Börse K, hoch“; die letzte Adresse übernimmt höchstens „Börse K, mittel“, und ein Bericht, der ihre Gelder als Börsengelder zählt, sollte dies kenntlich machen.
Versionierung und Herkunftsnachweis
Labels verlieren mit der Zeit an Gültigkeit. Börsen wechseln Hot Wallets und weisen Einzahlungsadressen neu zu; Dienste fusionieren, stellen den Betrieb ein oder wechseln den Besitzer; Proxy-Verträge werden auf neue Implementierungen aktualisiert; Namen in Namensdiensten laufen ab und werden erneut registriert; Angreifer verschieben Gelder auf neue Adressen. Ein Label ohne Datum und Gültigkeitszeitraum lässt sich weder überprüfen noch korrigieren. Speichern Sie jedes Label als versionierten Datensatz:
{
"label_id": "lbl-000482",
"version": 3,
"subject": {"chain_id": 1, "address": "0xA1b2…9F"},
"entity": "Exchange K",
"category": "exchange_deposit",
"source_type": "test_transaction",
"evidence": ["deposit tx 0x4f3a…c21e", "sweep tx 0x9b7d…e014"],
"observed_at_block": 21000000,
"valid_from": "2024-11-02",
"valid_to": null,
"confidence": "confirmed",
"analyst": "analyst-17",
"supersedes": "lbl-000482-v2"
}Der Datensatz nennt sein Subjekt mithilfe einer Chain-Kennung, trennt Entität und Kategorie, verweist auf die Transaktionen, die das Label begründen, und gibt an, wann es beobachtet wurde und ab wann es gilt. valid_to bleibt leer, bis Belege zeigen, dass das Label nicht mehr zutrifft; supersedes bewahrt den Verlauf, sodass ein im Vorjahr verfasster Bericht mit den damals aktuellen Labels reproduziert werden kann. Das Feld „analyst“ unterstützt Überprüfung und Verantwortlichkeit, ohne personenbezogene Daten in den Datensatz aufzunehmen.
Zur sorgfältigen Pflege von Labels gehören:
- Erneute Verifizierung von Labels mit großer Wirkung vor jedem Bericht.
- Warnmeldungen bei Konflikten, wenn ein Cluster zwei unvereinbare Entitäts-Labels erhält – oft ein erstes Anzeichen für eine falsche Zusammenführung (siehe die Lektion Bewertung der Clusterqualität).
- Außer-Kraft-Setzen statt Löschen, damit frühere Erkenntnisse nachvollziehbar bleiben.
Datenschutz und Ethik
Die Attribution in der Blockchain-Analyse richtet sich auf Dienste, Organisationen und Aktivitätskategorien: Börsen, Bridges, Protokolle, Mixer, Exploit-Verträge, Betrugsoperationen, die von Behörden oder Opfern benannt wurden. Sie ist keine Methode zur Identifizierung von Privatpersonen. Analysten sollten diese Grenze auch dann einhalten, wenn die Daten dazu verleiten, sie zu überschreiten.
- Kennzeichnen Sie Entitäten, keine Personen. Eine Adresse, die einer Privatperson zu gehören scheint, wird nach Kategorie gekennzeichnet („nicht zugeordnete private Wallet“) oder bleibt ohne Label.
- Führen Sie keine Quellen zusammen, um eine Person zu enttarnen. On-Chain-Muster mit Spuren aus offenen Quellen zusammenzuführen, um eine Privatperson namentlich zu identifizieren, erzeugt genau das Profil, vor dem Datenschutzpraktiken warnen. Eine falsche Zuordnung kann eine unschuldige Person Belästigung oder Schlimmerem aussetzen.
- Die Identität wird im Rahmen eines Rechtsverfahrens festgestellt. Wenn in einem Fall tatsächlich festgestellt werden muss, wer ein Konto kontrolliert, führt der Weg über eine Anfrage einer zuständigen Behörde an den Dienst, der Kundendaten verwahrt, nicht über öffentliche Schlussfolgerungen.
- Behandeln Sie Selbstaussagen über Personen als Hinweise. Ein Eintrag in einem Namensdienst oder ein Profil, das wie der Name einer Person aussieht, kann echt, gefälscht oder weiterverkauft sein. Es gehört nicht in gemeinsam genutzte Dokumente, es sei denn, ein Leser benötigt die Information zum Handeln und erhält sie über einen eingeschränkten Kanal.
- Veröffentlichen Sie nur, was andere bereits öffentlich gemacht haben, oder was der Leser benötigt. Von Behörden, Gerichten oder der Opferorganisation veröffentlichte Adressen sowie Namen von Diensten sind in der Regel in einem Bericht akzeptabel; abgeleitete Verknüpfungen zu Einzelpersonen sind es nicht.
Die Lektion Datenschutz, Ethik und verantwortungsvolle Offenlegung behandelt Datenminimierung, Schwärzungen und Offenlegungskanäle ausführlich.
Prüfungsschwerpunkt: ein Label als Behauptung mit Subjekt, Aussage und Grundlage; Entitäts- versus Kategorie-Labels; Label-Vererbung durch Cluster und warum ein Label nicht aussagekräftiger ist als die Verknüpfungen, über die es weitergegeben wird; die wichtigsten Quellen für Labels (Selbstidentifizierung, Testtransaktionen, behördliche Veröffentlichungen, Offenlegungen durch Opfer, OSINT zu Organisationen, Datensätze von Drittanbietern) und ihre Schwächen; zirkuläre Berichterstattung; eine abgestufte Vertrauensskala und die getrennte Bewertung von Verknüpfung und Label; warum Labels an Gültigkeit verlieren und wie versionierte Datensätze mit Gültigkeitszeiträumen und Belegen Erkenntnisse reproduzierbar halten; Attribution mit Fokus auf Dienste und Organisationen, niemals auf die Enttarnung von Privatpersonen, wobei Identitäten ausschließlich im Rahmen eines Rechtsverfahrens festgestellt werden.