CoinJoin

Les transactions CoinJoin sont le type de transactions pour lesquelles le traçage donne le plus souvent lieu à des contestations. Les procureurs veulent savoir si les fonds « sont passés par » un mixage avant d’arriver sur une plateforme d’échange ; les experts de la défense savent que les méthodes de démélange publiées ne disposent d’aucun taux d’erreur validé pour les conceptions modernes. Cette leçon s’appuie sur les structures décrites dans la leçon IDFE-BA Mixers, CoinJoin and obfuscation in graphs et vous apprend à distinguer ce que la chaîne prouve, ce qu’une heuristique suggère et ce que seul un portefeuille ou un relevé peut montrer.

Deux affirmations différentes : détection et démélange

Deux questions faciles à confondre présentent des profils d’erreur très différents.

La détection pose la question suivante : cette transaction est-elle un CoinJoin, et de quel type ? Elle repose sur la structure (groupes de sorties de valeur égale, nombres d’entrées et de sorties, dénominations des pools, schémas de frais) et peut être validée par rapport à des données de référence. Stütz et ses collègues (2022) ont entraîné un classificateur sur 28 890 transactions fournies par un coordinateur Wasabi et rapporté une exactitude de 99,98 % avec un taux de faux positifs de 0,0114 % ; une règle de seuil plus simple a atteint une exactitude de 99,31 %, sans faux positifs et avec un taux de faux négatifs de 1,38 %. Pour Whirlpool, ils ont parcouru les mixes depuis leurs premières transactions et effectué une vérification croisée avec un jeu de données indépendant. Entre juillet 2018 et février 2022, ils ont identifié 30 251 transactions Wasabi et 223 597 transactions Whirlpool.

Le démélange pose la question suivante : quelle sortie correspond à quelle entrée ? Il s’agit d’une affirmation concernant le contrôle exercé par des personnes, et aucune étude publiée ne fournit de taux d’erreur validé sur le terrain pour associer une sortie CoinJoin moderne à une entrée précise. Les résultats de détection peuvent être présentés comme des faits assortis d’un taux d’erreur cité. Les résultats de démélange sont des associations ou des inférences heuristiques et doivent être qualifiés en conséquence (voir la leçon Tracing to an evidential standard).

Qui connaît la correspondance

La conception détermine qui, le cas échéant, détient la correspondance entre les entrées et les sorties. Cela détermine d’où les preuves peuvent provenir. Les dates comptent : le coordinateur Samourai s’est déconnecté après l’arrestation de ses fondateurs en avril 2024, et l’entreprise qui exploitait le coordinateur par défaut de Wasabi a cessé ses activités le 1er juin 2024, tandis que d’autres coordinateurs ont poursuivi les leurs.

Conclusion pratique : la preuve de démélange la plus fiable n’est pas une heuristique, mais un portefeuille. Le portefeuille d’un participant enregistre quelles sorties lui appartiennent, souvent avec des étiquettes et l’historique complet des pièces. En vertu d’une autorisation légale, les fichiers du portefeuille, les sauvegardes et les données synchronisées sur un appareil saisi peuvent permettre d’établir toutes les transactions CoinJoin auxquelles la personne a participé (voir les leçons Wallets on seized devices et Wallet recovery under lawful authority). Le portefeuille d’un preneur JoinMarket permet de résoudre la correspondance pour toute la transaction. En revanche, un coordinateur saisi peut détenir des journaux de ronde, des heures d’inscription et des données réseau, mais, de par sa conception, il ne devrait pas détenir la correspondance ; vérifiez ce qu’il contient réellement avant de faire une promesse.

Comportement après le mixage et monnaie toxique

Les utilisateurs et leurs logiciels laissent échapper des liens après le mixage. Voici les schémas sur lesquels s’appuient les recherches publiées et les enquêtes :

• Monnaie toxique : le reliquat non mélangé (dans Whirlpool, la monnaie de tx0 ; dans d’autres conceptions, les sorties de monnaie à l’intérieur du CoinJoin). Il est lié de façon déterministe aux pièces de l’utilisateur avant le mixage. S’il est ensuite dépensé avec des sorties post-mixage, l’heuristique des entrées communes associe ces sorties au même portefeuille.
• Consolidation : plusieurs sorties post-mixage dépensées ensemble, ce qui les associe de nouveau à un seul contrôleur et recrée souvent le montant d’origine.
• Schémas de financement pré-mixage : Stütz et ses collègues décrivent un schéma en « étoile », où une entité finance plusieurs entrées CoinJoin, et un schéma de « collecteur », où plusieurs sorties post-mixage convergent vers un seul portefeuille.
• Arithmétique des montants : des sorties post-mixage dont la somme, après déduction des frais, correspond au montant pré-mixage et qui arrivent ensemble auprès d’un service.
• Correspondance par valeurs arbitraires : lorsque les montants ne sont pas égaux, la correspondance entre les entrées et les sorties devient un problème de somme de sous-ensembles. Atlas (2014) a utilisé une correspondance des montants de ce type pour associer des entrées à des sorties dans une première fonction CoinJoin d’un fournisseur de portefeuilles.

Gavenda et ses collègues (ESORICS 2025) ont mesuré dans quelle mesure la consolidation réduit l’ensemble d’anonymat : une diminution moyenne post-mixage de 10 à 50 % pour Whirlpool, Wasabi 1.x et Wasabi 2.x, et moins de 20 % pour Wasabi 2.x, car ses utilisateurs remélangent beaucoup. Ils ont également estimé que, même pour une ronde Wasabi 2.x réelle de taille médiane, l’énumération de toutes les correspondances possibles est irréalisable sur le plan informatique ; les utilisateurs conservent donc une protection substantielle de leur vie privée, sauf si un analyste dispose d’informations externes.

Recherches publiées et taux d’erreur

Trois règles en découlent. Citez la conception et la période auxquelles s’applique un chiffre. Ne transformez jamais une réduction agrégée de l’ensemble d’anonymat en probabilité qu’une sortie particulière appartienne à la personne concernée. Et indiquez que les heuristiques de démélange ne disposent pas de taux d’erreur validés sur le terrain, avant que la défense ne soulève ce point (voir la leçon Disclosure and defense scrutiny).

Étude de cas

Une rançon de 0,20000000 BTC arrive à l’adresse de la personne concernée (niveau A). Un tx0, 7c2e…91ab, la divise en trois pièces pré-mixage d’environ 0,0503 BTC, une sortie de frais de service et 0,0471 BTC de monnaie. Chaque pièce pré-mixage entre dans un mix différent de cinq entrées et cinq sorties, et est remélangée plusieurs fois. Neuf jours plus tard, la transaction suivante apparaît :

id tx e5d0…3a77   3 entrées, 1 sortie
ent. 0.05000000  bc1q…h4tn   (sortie post-mixage du mix 2b91…0c4d)
ent. 0.05000000  bc1q…p9we   (sortie post-mixage du mix 61fa…d802)
ent. 0.04710000  bc1q…z6qc   (sortie de monnaie du tx0 7c2e…91ab)
sort. 0.14690000  bc1q…dx7e   (adresse de dépôt, plateforme d’échange K selon l’étiquette)
frais 0.00020000

L’examinateur raisonne étape par étape :

1. Arithmétique. 0.05 + 0.05 + 0.0471 = 0.1471 BTC en entrée ; 0.1469 en sortie, plus 0.0002 de frais. Les montants concordent.
2. Ce qui est déterministe. La monnaie de tx0 provient de la rançon (niveau A). Les deux sorties post-mixage proviennent de leurs mixes (niveau A en tant que flux). Rien ne relie de façon déterministe les pièces pré-mixage de la personne concernée à ces sorties précises.
3. L’heuristique. La dépense conjointe de monnaie toxique et de deux sorties post-mixage indique un contrôleur unique pour les trois entrées. Des exceptions telles que PayJoin ou une dépense collaborative sont peu plausibles dans le cas d’une consolidation à une seule sortie, mais l’affirmation reste une heuristique unique : niveau C.
4. Ce que l’heuristique ne montre pas. Elle ne montre pas que ces sorties contiennent la valeur de la rançon. Le portefeuille a pu mélanger d’autres pièces. L’affirmation porte sur le contrôle, pas sur le flux.
5. La troisième pièce pré-mixage. Aucune fuite n’a été trouvée. Elle est signalée comme non retracée, et non comme « probablement dans le même portefeuille ».
6. Étape suivante. Demandez à la plateforme d’échange K les relevés associés à bc1q…dx7e. Si le titulaire du compte est la personne concernée, l’affirmation relative au contrôle bénéficie d’une corroboration indépendante et passe au niveau B. Si un appareil est saisi, les données du portefeuille peuvent permettre de trancher.

Ce qui peut et ne peut pas être affirmé

Points clés pour l’examen : la différence entre la détection de CoinJoin (validée, avec de faibles taux d’erreur publiés) et le démélange (sans taux d’erreur validé sur le terrain) ; qui connaît la correspondance dans Whirlpool, Wasabi 1.x, WabiSabi et JoinMarket, et pourquoi les données du portefeuille sur un appareil saisi constituent la preuve de démélange la plus solide ; la monnaie toxique, la consolidation, les schémas en étoile et de collecteur, l’arithmétique des montants et la correspondance par somme de sous-ensembles ; les résultats de Stütz et al. (2022) et de Gavenda et al. (2025), ainsi que leurs limites ; le fait qu’un lien de dépense conjointe porte sur le contrôle, et non sur le flux ; la qualification et la formulation des conclusions relatives à CoinJoin, ainsi que la présentation honnête des valeurs non retracées.