Privacy-Coins

Wenn eine Spur in Monero oder einen abgeschirmten Zcash-Pool führt, endet die gewöhnliche Nachverfolgung. Dann liegt die Versuchung nahe, entweder aufzugeben oder die wenigen verbleibenden Signale überzuinterpretieren. Beides ist in einem forensischen Bericht nicht akzeptabel. Aufbauend auf der IDFE-BA-Lektion Andere Blockchain-Designs, denen Analysten begegnen legt diese Lektion dar, was die einzelnen Protokolle verbergen, was Ermittler weiterhin beobachten und beweisen können, welche Aussagen durch veröffentlichte Forschung gestützt werden und wie Befunde so formuliert werden, dass sie einer Prüfung standhalten.

Monero: Was verborgen bleibt und was sichtbar ist

Monero verbirgt die drei Dinge, die für eine Nachverfolgung nötig sind. Zahlungen gehen an einmalige Stealth-Adressen, die von der öffentlichen Adresse des Empfängers (und deren Unteradressen) abgeleitet werden, sodass die Adresse des Empfängers niemals auf der Blockchain erscheint. Jede Eingabe wird mit einer Ringsignatur über den tatsächlichen Output und Täuschungs-Outputs signiert: Seit dem Netzwerk-Upgrade vom 13. August 2022 hat jeder Ring 16 Mitglieder, nämlich den tatsächlichen Output und 15 Täuschungs-Outputs. Ein Key Image verhindert doppelte Ausgaben, ohne offenzulegen, welches Mitglied ausgegeben wurde. RingCT, im Januar 2017 aktiviert und ab September 2017 verpflichtend, verbirgt Beträge durch Commitments mit Bereichsbeweisen.

Bei älteren Belegen kommt es auf die Daten an, denn der Schutz wurde schrittweise ausgebaut. Die Mindestringgröße stieg von 3 (März 2016) auf 5 (September 2017), 7 (April 2018), 11 (Oktober 2018) und 16 (August 2022). Seit 2020 werden Transaktionen mit Dandelion++ weitergeleitet, wodurch es schwieriger wird, den Ursprungsknoten anhand von Netzwerkbeobachtungen zu ermitteln.

Öffentlich sichtbar bleiben: dass eine Transaktion existiert, ihr Block und Zeitpunkt, ihre Gebühr, die Anzahl ihrer Eingaben und Outputs, die Ringmitglieder jeder Eingabe (die Kandidatenmenge) sowie das Extra-Feld.

Vollketten-Mitgliedschaftsbeweise. Ein geplantes Upgrade, FCMP++, würde Ringe mit 16 Mitgliedern durch einen Beweis über die gesamte Output-Menge ersetzen. Nach der Aktivierung wäre eine ringbasierte Analyse auf neue Transaktionen nicht mehr anwendbar; für die Transaktionshistorie aus der Ring-Ära bliebe sie weiterhin anwendbar. Geben Sie bei jeder Aussage zu diesem Status das Datum an.

Schlüssel, die Informationen offenlegen. Monero bietet Inhabern mehrere Möglichkeiten, Informationen offenzulegen, ohne die Ausgabeberechtigung aufzugeben. Alle lassen sich von der prüfenden Person verifizieren:

• Ein Private View Key legt eingehende Zahlungen an eine Adresse offen (für ausgehende Ausgaben werden zusätzlich Key Images benötigt).
• Ein Transaktionsschlüssel oder Zahlungsnachweis beweist, dass eine bestimmte Transaktion einen bestimmten Betrag an eine bestimmte Adresse gezahlt hat.
• Ein Reserve-Nachweis beweist, dass eine Wallet mindestens über einen angegebenen Kontostand verfügt.

Bei einem in Monero gezahlten Lösegeld sollten Sie das Opfer um die Transaktions-ID, den Transaktionsschlüssel oder Zahlungsnachweis und die Zieladresse bitten. Prüfen Sie den Nachweis mit einer Open-Source-Wallet über Ihren eigenen Node und dokumentieren Sie die Softwareversion. Damit wird die Zahlung zu einem Fakt der Evidenzklasse A, obwohl die Blockchain sie vor allen anderen verbirgt. Beschlagnahmte Wallets sind eine andere Sache: Ältere Monero-Wallets verwenden Seeds mit 25 Wörtern statt BIP-39 (siehe die Lektion Wallet-Wiederherstellung im Rahmen gesetzlicher Befugnisse).

Zcash: Pools, Grenzen und das Drehkreuz

Zcash verfügt über einen transparenten Pool (Adressen t1…, t3…), der sich wie Bitcoin verhält, und abgeschirmte Pools: Sprout (Legacy, zc…), Sapling (seit Oktober 2018, zs…) und Orchard (seit dem Upgrade NU5 vom 31. Mai 2022, verwendet über Unified Addresses, die mit u1 beginnen). Innerhalb eines abgeschirmten Pools sind Sender, Empfänger, Betrag und Memo verborgen; die Gebühr ist immer sichtbar.

An den Grenzen werden Informationen offengelegt. Beim Abschirmen werden der transparente Sender und der Betrag sichtbar; beim Aufheben der Abschirmung werden der Betrag und der transparente Empfänger sichtbar. Da der Wert, der jede Grenze überschreitet, sichtbar ist, kann jede Person den Gesamtbestand jedes abgeschirmten Pools berechnen. Dieser Mechanismus wird Drehkreuz genannt. Eine Konsensregel (ZIP 209) macht jeden Block ungültig, der den Saldo eines Pools unter null sinken lassen würde. Fälschungen innerhalb eines Pools würden daher am Drehkreuz erkannt. Dokumentieren Sie die Pool-Salden zum Zeitpunkt Ihrer Ereignisse: Sie geben Aufschluss über die Größe der Anonymitätsmenge. Inhaber können abgeschirmte Aktivitäten freiwillig mithilfe von Viewing Keys offenlegen.

Was die einzelnen Designs offenlegen, im Vergleich:

Was Ermittler weiterhin beobachten können

Die Zeile zur Ringmitgliedschaft erfordert besondere Sorgfalt. Wenn derselbe Dienst sieht, dass ein von ihm an einen Kunden ausgezahlter Output in einem Ring einer später wieder bei ihm eingezahlten Transaktion auftaucht, kann dieser Zufall in die Bewertung einfließen. Die Auswahl der Täuschungs-Outputs zieht jedoch absichtlich aktuelle Outputs heran, sodass es statistisch zu erwarten ist, dass ein bekannter Output zufällig in einem Ring auftaucht. Für solche Verknüpfungen gibt es keine veröffentlichte, validierte Fehlerrate. Berichten Sie sie als Schlussfolgerungen und nennen Sie dabei die Ringgröße sowie die Anzahl der Ringe, in denen der Output aufgetaucht ist.

Veröffentlichte Forschung und ihre Grenzen

Im März 2024 untersuchten Monero-Forscher außerdem einen mutmaßlichen Black-Marble-Flooding-Vorfall: ein hohes Transaktionsvolumen, dessen Outputs – falls sie von einer einzigen Partei erzeugt worden wären – dieser Partei als Täuschungs-Outputs bekannt gewesen wären. Dadurch wurden die Ringe während des Vorfalls geschwächt. Das zeigt, dass die effektive Größe eines Rings in manchen Zeiträumen kleiner als 16 sein kann. Dies ist bei der Bewertung einer Transaktion aus der Ring-Ära zu berücksichtigen.

Lesen Sie diese Forschung wie eine prüfende Person. Jede Zahl beschreibt einen historischen Zeitraum und eine aggregierte Rate. Keine Zahl sagt Ihnen, ob eine bestimmte Eingabe in Ihrem Fall nachverfolgbar war. Ergebnisse zu Ausschlussverfahren bei Monero aus der Zeit vor 2017 lassen sich nicht auf eine Transaktion aus dem Jahr 2025 übertragen. Behauptungen kommerzieller Anbieter, sie könnten Monero oder abgeschirmtes Zcash nachverfolgen, wurden nicht mit Methoden und validierten Fehlerraten veröffentlicht. Sie können daher nicht die Grundlage eines Befunds sein; bestenfalls geben sie Hinweise darauf, wo nach Aufzeichnungen gesucht werden sollte.

Delistings und sich verlagernde Ausstiegspunkte

Von 2023 bis 2024 nahmen mehrere große Börsen Monero aus dem Handel oder schränkten es in einigen Regionen ein und verwiesen dabei auf regulatorische Erwartungen. Die Regeln unterscheiden sich je nach Rechtsraum, und manche bewegen sich darauf zu, regulierten Anbietern den Umgang mit Privacy-Coins vollständig zu untersagen. Für Ermittlungen bedeutet dies, dass es weniger regulierte Ausstiegspunkte gibt, die Aufzeichnungen führen, und dass sich Flüsse zu nicht verwahrenden Soforttauschdiensten, Peer-to-Peer-Handel und Atomic Swaps verlagern. Ermitteln Sie frühzeitig den Dienst an jeder Schnittstelle, sichern Sie dessen öffentliche Daten und fragen Sie nach den vorhandenen Aufzeichnungen (siehe die Lektion Die Zusammenarbeit mit Dienstleistern).

Eine belastbare Formulierung lautet: „Das Börsenkonto der betroffenen Person hob um 14:05 UTC 41,2 XMR ab (Börsenaufzeichnungen). Die Zahlung des Lösegelds von 41,0 XMR an die Adresse des Angreifers wird durch den Zahlungsnachweis des Opfers belegt, der über unseren Node verifiziert wurde. Zwischen diesen Ereignissen zeigt die Blockchain keine Verbindung, die wir behaupten können.“ Nicht belastbar ist: „Die Blockchain-Analyse hat Monero bis zur betroffenen Person zurückverfolgt.“

Prüfungsschwerpunkt: Moneros Stealth-Adressen, Unteradressen, Ringgröße 16 seit August 2022, Key Images und RingCT sowie die Entwicklung der Ringgröße zur zeitlichen Einordnung von Belegen; warum eine ringbasierte Analyse auf Transaktionen nach einem Upgrade mit Vollketten-Mitgliedschaftsbeweisen nicht anwendbar wäre, auf die Historie aus der Ring-Ära jedoch weiterhin anwendbar ist; View Keys, Zahlungsnachweise und Reserve-Nachweise als verifizierbare Offenlegungen; transparente Zcash-Pools sowie Sprout-, Sapling- und Orchard-Pools, Grenzlecks, das Drehkreuz und ZIP 209; was weiterhin beobachtet werden kann (Dienstleister-Schnittstellen, transparente Flüsse, Grenzbeträge, Ringmitgliedschaft als Kandidat); die Ergebnisse von Möser et al., Quesnelle und Kappos et al. und warum sie sich nicht auf aktuelle Transaktionen übertragen lassen; Delistings und die Verlagerung zu nicht verwahrenden Ausstiegspunkten.