Monnaies axées sur la confidentialité

Lorsqu’une piste entre dans Monero ou dans un pool protégé de Zcash, le traçage ordinaire s’arrête, et la tentation est soit d’abandonner, soit de surinterpréter les quelques signaux qui subsistent. Ni l’une ni l’autre de ces options n’est acceptable dans un rapport d’expertise judiciaire. Dans le prolongement de la leçon IDFE-BA Autres architectures de chaînes rencontrées par les analystes, cette leçon présente ce que chaque protocole dissimule, ce que les enquêteurs peuvent encore observer et prouver, ce qu’étayent les recherches publiées et comment formuler les conclusions pour qu’elles résistent à l’examen.

Monero : ce qui est caché et ce qui subsiste

Monero dissimule les trois éléments nécessaires au traçage. Les paiements sont envoyés à des adresses furtives à usage unique, dérivées de l’adresse publique du destinataire (et de ses sous-adresses), de sorte que l’adresse du destinataire n’apparaît jamais sur la chaîne. Chaque entrée est signée au moyen d’une signature de groupe portant sur la sortie réelle et des leurres : depuis la mise à niveau du réseau du 13 août 2022, chaque groupe compte 16 membres, soit le membre réel et 15 leurres. Une image de clé empêche la double dépense sans révéler quel membre a été dépensé. RingCT, activé en janvier 2017 et obligatoire depuis septembre 2017, dissimule les montants à l’aide d’engagements assortis de preuves de plage.

Les dates comptent pour les éléments de preuve plus anciens, car les protections se sont renforcées progressivement. La taille minimale des groupes est passée de 3 (mars 2016) à 5 (septembre 2017), 7 (avril 2018), 11 (octobre 2018) et 16 (août 2022). Depuis 2020, les transactions sont relayées au moyen de Dandelion++, ce qui rend plus difficile l’inférence du nœud d’origine à partir de l’observation du réseau.

Ce qui reste public : l’existence d’une transaction, son bloc et son horodatage, ses frais, le nombre de ses entrées et sorties, les membres du groupe de chaque entrée (l’ensemble des candidats) et le champ supplémentaire.

Preuves d’appartenance à l’ensemble complet de la chaîne. Une mise à niveau prévue, FCMP++, remplacerait les groupes de 16 membres par une preuve portant sur l’ensemble des sorties. Une fois activée, l’analyse fondée sur les groupes ne s’appliquera plus aux nouvelles transactions ; elle continuera de s’appliquer à l’historique de l’ère des groupes. Indiquez la date de toute affirmation concernant son état.

Clés permettant de divulguer des informations. Monero offre au détenteur plusieurs moyens de révéler des informations sans renoncer à son pouvoir de dépense, et l’examinateur peut vérifier chacun d’eux :

• une clé d’affichage privée révèle les paiements entrants vers une adresse (les dépenses sortantes nécessitent également les images de clé) ;
• une clé de transaction ou une preuve de paiement prouve qu’une transaction précise a versé un montant précis à une adresse précise ;
• une preuve de réserve prouve qu’un portefeuille détient au moins un solde donné.

Pour une rançon payée en Monero, demandez à la victime l’identifiant de transaction, la clé de transaction ou la preuve de paiement, ainsi que l’adresse de destination. Vérifiez la preuve à l’aide d’un portefeuille libre et ouvert, en utilisant votre propre nœud, consignez la version du logiciel : le paiement devient alors un fait de niveau A, même si la chaîne le dissimule à tous les autres. Les portefeuilles saisis sont un cas différent : les anciens portefeuilles Monero utilisent des phrases de récupération de 25 mots plutôt que BIP-39 (voir la leçon Récupération de portefeuille sous autorité légale).

Zcash : pools, limites et tourniquet

Zcash possède un pool transparent (adresses t1…, t3…), qui fonctionne comme Bitcoin, ainsi que des pools protégés : Sprout (historique, zc…), Sapling (depuis octobre 2018, zs…) et Orchard (depuis la mise à niveau NU5 du 31 mai 2022, utilisé par l’intermédiaire d’adresses unifiées commençant par u1). À l’intérieur d’un pool protégé, l’expéditeur, le destinataire, le montant et le mémo sont cachés ; les frais restent toujours visibles.

Les limites révèlent des informations. La mise sous protection révèle l’expéditeur transparent et le montant ; le retrait de la protection révèle le montant et le destinataire transparent. Comme la valeur qui franchit chaque limite est visible, n’importe qui peut calculer le total détenu dans chaque pool protégé : ce mécanisme est appelé le tourniquet. Une règle de consensus (ZIP 209) invalide tout bloc qui ferait passer le solde d’un pool en dessous de zéro ; une contrefaçon à l’intérieur d’un pool serait donc détectée au tourniquet. Consignez les soldes des pools au moment des événements examinés : ils indiquent l’ampleur de l’ensemble d’anonymat. Les détenteurs peuvent divulguer volontairement leur activité protégée à l’aide de clés d’affichage.

Ce que révèle chaque conception, côte à côte :

Ce que les enquêteurs peuvent encore observer

La ligne sur l’appartenance à un groupe mérite une attention particulière. Si un même service voit une sortie qu’il a versée à un client apparaître dans un groupe d’une transaction ultérieure déposée à nouveau auprès de lui, cette coïncidence peut être prise en compte, mais la sélection des leurres vise délibérément des sorties récentes : la présence d’une sortie connue dans un groupe est donc attendue par hasard. Aucun taux d’erreur validé et publié n’existe pour de tels rapprochements. Présentez-les comme des inférences en indiquant la taille du groupe et le nombre de groupes dans lesquels la sortie est apparue.

Recherches publiées et leurs limites

En mars 2024, des chercheurs de Monero ont également examiné un épisode présumé de saturation par « billes noires » : un grand volume de transactions dont les sorties, si elles avaient été créées par une seule partie, seraient connues de cette partie comme étant des leurres, affaiblissant ainsi les groupes pendant l’épisode. Cela montre que, pendant certaines périodes, la taille effective d’un groupe peut être inférieure à 16, ce qui compte pour l’évaluation d’une transaction de l’ère des groupes.

Lisez ces recherches en tant qu’examinateur. Chaque chiffre décrit une période historique et un taux agrégé. Aucun ne vous indique qu’une entrée précise dans votre dossier était retraçable. Les résultats de l’élimination concernant Monero avant 2017 ne s’appliquent pas à une transaction de 2025. Les affirmations de fournisseurs commerciaux selon lesquelles ils peuvent tracer Monero ou Zcash protégé n’ont pas été publiées avec des méthodes et des taux d’erreur validés ; elles ne peuvent donc pas servir de fondement à une conclusion. Tout au plus indiquent-elles où chercher des registres.

Radiations des plateformes et déplacement des points de sortie

De 2023 à 2024, plusieurs grandes plateformes d’échange ont radié Monero ou en ont restreint l’accès dans certaines régions, en invoquant les attentes réglementaires. Les règles diffèrent selon les juridictions, et certaines évoluent vers l’interdiction faite aux prestataires réglementés de traiter des monnaies axées sur la confidentialité. Pour les enquêtes, cela signifie que les points de sortie réglementés qui conservent des registres sont moins nombreux, et que les flux se déplacent vers des services d’échange instantané non dépositaires, les échanges de pair à pair et les échanges atomiques. Repérez rapidement le service à chaque extrémité, préservez ses données publiques et demandez quels registres il détient (voir la leçon Collaborer avec les fournisseurs de services).

Formulation qui résiste à l’examen : « Le compte du sujet sur la plateforme d’échange a retiré 41,2 XMR à 14 h 05 UTC (registres de la plateforme d’échange). Le paiement de rançon de 41,0 XMR à l’adresse de l’attaquant est prouvé par la preuve de paiement de la victime, vérifiée à l’aide de notre nœud. Entre ces événements, la chaîne ne montre aucun lien que nous puissions affirmer. » Formulation qui ne résiste pas à l’examen : « L’analyse de la chaîne a permis de retracer les Monero jusqu’au sujet. »

Points clés pour l’examen : adresses furtives et sous-adresses de Monero, taille des groupes de 16 depuis août 2022, images de clé et RingCT, ainsi que l’historique des tailles de groupe pour dater les éléments de preuve ; raisons pour lesquelles l’analyse fondée sur les groupes ne s’appliquerait pas aux transactions effectuées après une mise à niveau introduisant des preuves d’appartenance à l’ensemble complet de la chaîne, tout en restant applicable à l’historique de l’ère des groupes ; clés d’affichage, preuves de paiement et preuves de réserve comme divulgations vérifiables ; pools transparents, Sprout, Sapling et Orchard de Zcash, fuites aux limites, tourniquet et ZIP 209 ; éléments encore observables (extrémités des services, flux transparents, montants aux limites, appartenance à un groupe comme candidat) ; résultats de Möser et al., Quesnelle et Kappos et al., et raisons pour lesquelles ils ne s’appliquent pas aux transactions actuelles ; radiations des plateformes et déplacement vers des points de sortie non dépositaires.