CoinJoin

Bei CoinJoin-Transaktionen kommt es beim Nachverfolgen besonders häufig zu Streit. Die Staatsanwaltschaft möchte wissen, ob die Gelder „durch einen Mix gelaufen“ und bei einer Börse angekommen sind; Sachverständige der Verteidigung wissen, dass veröffentlichte Entmischungsmethoden für moderne Designs keine validierte Fehlerquote aufweisen. Diese Lektion baut auf den im IDFE-BA-Modul Mixer, CoinJoin und Verschleierung in Graphen beschriebenen Strukturen auf und vermittelt Ihnen, wie Sie unterscheiden, was die Blockchain beweist, was eine Heuristik nahelegt und was nur eine Wallet oder ein Datensatz belegen kann.

Zwei unterschiedliche Aussagen: Erkennung und Entmischung

Zwei Fragen werden leicht verwechselt, obwohl sie sehr unterschiedliche Fehlerprofile haben.

Erkennung fragt: Ist diese Transaktion ein CoinJoin, und wenn ja, nach welchem Design? Sie stützt sich auf die Struktur (Gruppen gleich hoher Outputs, Anzahl von Inputs und Outputs, Pool-Stückelungen, Gebührenmuster) und kann anhand einer Ground Truth validiert werden. Stütz und Kolleginnen und Kollegen (2022) trainierten einen Klassifikator mit 28.890 Transaktionen, die von einem Wasabi-Koordinator bereitgestellt wurden, und berichteten eine Genauigkeit von 99,98 % bei einer Falsch-Positiv-Rate von 0,0114 %; eine einfachere Schwellenwertregel erreichte eine Genauigkeit von 99,31 % ohne falsch positive Ergebnisse und mit einer Falsch-Negativ-Rate von 1,38 %. Für Whirlpool verfolgten sie Mixe ab deren ersten Transaktionen und glichen die Ergebnisse mit einem unabhängigen Datensatz ab. Von Juli 2018 bis Februar 2022 identifizierten sie 30.251 Wasabi- und 223.597 Whirlpool-Transaktionen.

Entmischung fragt: Welcher Output gehört zu welchem Input? Das ist eine Aussage über die Kontrolle durch Personen. Keine veröffentlichte Studie bietet eine im Feld validierte Fehlerquote für die Verknüpfung eines modernen CoinJoin-Outputs mit einem bestimmten Input. Erkenntnisse zur Erkennung können als Tatsachen mit Angabe einer zitierten Fehlerquote formuliert werden. Erkenntnisse zur Entmischung sind heuristische Verknüpfungen oder Schlussfolgerungen und müssen entsprechend eingestuft werden (siehe die Lektion Nachverfolgung nach einem Beweismaßstab).

Wer kennt die Zuordnung?

Das Design legt fest, wer, falls überhaupt jemand, die Zuordnung von Inputs zu Outputs kennt. Davon hängt ab, woher Beweise kommen können. Auch die Zeitpunkte sind wichtig: Der Samourai-Koordinator ging nach der Festnahme seiner Gründer im April 2024 offline, und das Unternehmen, das den standardmäßigen Wasabi-Koordinator betrieb, stellte den Betrieb am 1. Juni 2024 ein, während andere Koordinatoren weiterarbeiteten.

Die praktische Schlussfolgerung: Die zuverlässigsten Beweise für eine Entmischung stammen nicht aus einer Heuristik, sondern aus einer Wallet. Die Wallet einer teilnehmenden Person zeichnet auf, welche Outputs ihr gehören, oft einschließlich Beschriftungen und vollständiger Coin-Verläufe. Mit rechtmäßiger Befugnis können Wallet-Dateien, Sicherungskopien und synchronisierte Daten auf einem beschlagnahmten Gerät jeden CoinJoin aufklären, an dem die betreffende Person teilgenommen hat (siehe die Lektionen Wallets auf beschlagnahmten Geräten und Wallet-Wiederherstellung mit rechtmäßiger Befugnis). Die Wallet eines JoinMarket-Takers klärt die gesamte Transaktion auf. Ein beschlagnahmter Koordinator hingegen enthält möglicherweise Rundenprotokolle, Registrierungszeiten und Netzwerkdaten, sollte die Zuordnung aber konstruktionsbedingt nicht enthalten; prüfen Sie, was tatsächlich darin gespeichert ist, bevor Sie etwas versprechen.

Verhalten nach dem Mix und toxisches Wechselgeld

Nutzende und ihre Software geben nach dem Mix Verknüpfungen preis. Auf diese Muster stützen sich veröffentlichte Forschungsarbeiten und Fallanalysen:

• Toxisches Wechselgeld: der nicht gemischte Restbetrag (bei Whirlpool das tx0-Wechselgeld, bei anderen Designs Wechselgeld-Outputs innerhalb des CoinJoin). Er ist deterministisch mit den Coins der Nutzerin oder des Nutzers vor dem Mix verknüpft. Wird er später gemeinsam mit Outputs nach dem Mix ausgegeben, verknüpft die Common-Input-Heuristik diese Outputs mit derselben Wallet.
• Konsolidierung: Mehrere Outputs nach dem Mix werden gemeinsam ausgegeben. Dadurch werden sie erneut mit einer einzigen kontrollierenden Person verknüpft, und oft entsteht dabei wieder der ursprüngliche Betrag.
• Finanzierungsmuster vor dem Mix: Stütz und Kolleginnen und Kollegen beschreiben ein „Stern“-Muster, bei dem eine Einheit mehrere CoinJoin-Inputs finanziert, sowie ein „Sammler“-Muster, bei dem mehrere Outputs nach dem Mix in eine Wallet fließen.
• Betragsarithmetik: Outputs nach dem Mix, deren Summe nach Abzug der Gebühren dem Betrag vor dem Mix entspricht und die gemeinsam bei einem Dienst eingehen.
• Zuordnung anhand beliebiger Beträge: Wenn die Beträge nicht gleich sind, wird die Zuordnung von Inputs zu Outputs zu einem Teilmengensummenproblem. Atlas (2014) verwendete eine solche Betragszuordnung, um Inputs mit Outputs in einer frühen CoinJoin-Funktion eines Wallet-Anbieters zu verknüpfen.

Gavenda und Kolleginnen und Kollegen (ESORICS 2025) maßen, wie stark Konsolidierung die Anonymitätsmenge verringert: eine durchschnittliche Abnahme nach dem Mix von 10–50 % bei Whirlpool, Wasabi 1.x und Wasabi 2.x, wobei sie bei Wasabi 2.x unter 20 % lag, weil die Nutzerinnen und Nutzer dort intensiv erneut mischen. Sie schätzten außerdem, dass selbst für eine Wasabi-2.x-Runde mittlerer Größe aus der Praxis die Aufzählung aller möglichen Zuordnungen rechnerisch nicht durchführbar ist. Daher behalten die Nutzenden beträchtliche Privatsphäre, sofern einer analysierenden Person keine externen Informationen vorliegen.

Veröffentlichte Forschung und ihre Fehlerquoten

Daraus folgen drei Regeln. Geben Sie das Design und den Zeitraum an, für die eine Zahl gilt. Wandeln Sie eine aggregierte Verringerung der Anonymitätsmenge niemals in eine Wahrscheinlichkeit dafür um, dass ein bestimmter Output der beschuldigten Person gehört. Und legen Sie offen, dass für Entmischungsheuristiken keine im Feld validierten Fehlerquoten vorliegen, bevor die Verteidigung dies anspricht (siehe die Lektion Offenlegung und Prüfung durch die Verteidigung).

Ein ausgearbeiteter Fall

Ein Lösegeld von 0,20000000 BTC geht auf der Adresse der beschuldigten Person ein (Einstufung A). Ein tx0, 7c2e…91ab, teilt es in drei Coins vor dem Mix zu je etwa 0,0503 BTC, einen Output für die Servicegebühr und 0,0471 BTC Wechselgeld auf. Jeder Coin vor dem Mix geht in einen anderen Fünf-zu-fünf-Mix ein und wird mehrmals erneut gemischt. Neun Tage später erscheint folgende Transaktion:

txid e5d0…3a77   3 Inputs, 1 Output
in   0.05000000  bc1q…h4tn   (Output nach dem Mix 2b91…0c4d)
in   0.05000000  bc1q…p9we   (Output nach dem Mix 61fa…d802)
in   0.04710000  bc1q…z6qc   (Wechselgeld-Output von tx0 7c2e…91ab)
out  0.14690000  bc1q…dx7e   (Einzahlungsadresse, Börse K laut Beschriftung)
fee  0.00020000

Die untersuchende Person geht Schritt für Schritt vor:

1. Arithmetik. 0,05 + 0,05 + 0,0471 = 0,1471 BTC Eingang; 0,1469 Ausgang plus 0,0002 Gebühr. Die Beträge gehen auf.
2. Was deterministisch ist. Das tx0-Wechselgeld stammt aus dem Lösegeld (Einstufung A). Die beiden Outputs nach dem Mix kamen aus ihren jeweiligen Mixen (Einstufung A als Geldflüsse). Nichts verknüpft die Coins der beschuldigten Person vor dem Mix deterministisch mit genau diesen Outputs.
3. Die Heuristik. Die gemeinsame Ausgabe des toxischen Wechselgelds mit zwei Outputs nach dem Mix deutet darauf hin, dass eine Person alle drei Inputs kontrolliert. Ausnahmen wie PayJoin oder eine gemeinschaftliche Ausgabe sind bei einer Konsolidierung mit einem einzigen Output unplausibel, aber die Aussage bleibt eine einzelne Heuristik: Einstufung C.
4. Was die Heuristik nicht belegt. Sie belegt nicht, dass diese Outputs den Lösegeldwert enthalten. Die Wallet könnte andere Coins gemischt haben. Die Aussage betrifft die Kontrolle, nicht den Geldfluss.
5. Der dritte Coin vor dem Mix. Es wurde kein Datenleck gefunden. Er wird als nicht nachverfolgt ausgewiesen, nicht als „wahrscheinlich in derselben Wallet“.
6. Nächster Schritt. Fordern Sie die Unterlagen der Börse K zur Adresse bc1q…dx7e an. Ist die kontoinhabende Person die beschuldigte Person, wird die Kontrollaussage unabhängig bestätigt und auf Einstufung B angehoben. Wird ein Gerät beschlagnahmt, können die Wallet-Daten die Frage klären.

Was behauptet werden kann und was nicht

Prüfungsschwerpunkt: der Unterschied zwischen der Erkennung eines CoinJoin (validiert, niedrige veröffentlichte Fehlerquoten) und der Entmischung (keine im Feld validierte Fehlerquote); wer die Zuordnung bei Whirlpool, Wasabi 1.x, WabiSabi und JoinMarket kennt und warum Wallet-Daten auf einem beschlagnahmten Gerät die stärksten Entmischungsbeweise liefern; toxisches Wechselgeld, Konsolidierung, Stern- und Sammlermuster, Betragsarithmetik und Zuordnung anhand von Teilmengensummen; die Ergebnisse von Stütz et al. (2022) und Gavenda et al. (2025) und ihre Grenzen; dass eine Verknüpfung durch gemeinsame Ausgabe eine Aussage über Kontrolle, nicht über Geldfluss ist; Einstufung und Formulierung von Erkenntnissen zu CoinJoin sowie die ehrliche Ausweisung nicht nachverfolgter Werte.