Er du utsatt? Hvordan Chainalysis knekket Wasabi Bitcoin personvernlommebok

Selv om Bitcoin-nettverket er en permanent åpen registrering av transaksjoner, har mange tredjeparter bygget personvernfunksjonalitet på toppen av det. En slik tjeneste er Wasabi lommebok, som bruker en mikserprotokoll, Tor-integrasjon, og er gratis å bruke og åpen kildekode.

Miksere fungerer ved å "mikse" transaksjonsinnganger og -utganger sammen slik at forholdet mellom sendere og mottakere ikke er klart. En viss grad av anonymitet gis dermed ved å gjøre det vanskelig å spore pengestrømmen.

I hennes nylig utgitte bok Cryptopians, som beskriver de tidlige dagene til Ethereum, journalist Laura Shin hevder Wasabi Wallet var det svake leddet, noe som resulterte i at blokkjededataanalysefirmaet Chainalysis sporet stjålne midler fra DAO-hacket fra 2016.

Hvordan utnyttet hackere DAO?

Desentraliserte autonome organisasjoner (DAOs) refererer til et desentralisert fond der tokenholdere styrer hvordan det drives gjennom forslag og stemmegivning. Det er ingen hierarkisk struktur, bare innehavere som tar beslutninger opprettholdt av smarte kontrakter.

Den første DAO opprettet ble kalt DAO og satt opp av Slock.it, som Blockchains LLC kjøpte opp i juni 2019.

Den ble lansert i 2015 for å samle inn midler til Web3.0-prosjekter og oppstart. Som den første i sitt slag ble den en kjempehit, og tiltrakk seg 12 millioner ETH-investeringer (150 millioner dollar den gangen, men 30.2 milliarder dollar i dag).

Imidlertid klarte angripere å utnytte en sårbarhet for rekursiv anrop, noe som betyr at de kunne ta ut penger uten at uttaket reflekteres i kontosaldoen. Dette gjorde det mulig for hackere å sette i gang en løkke med uttak på ubestemt tid, noe som resulterte i tap på 3.6 millioner ETH (50 millioner dollar den gangen, men 9 milliarder dollar i dag).

Noen av de stjålne midlene ble sendt til en Wasabi-lommebok for vask. Men en feil i protokolloppsettet betydde at Chainalysis kunne deanonymisere mikserfunksjonaliteten ved å bruke åpen kildekode-metoder.

Hvordan "brøt Chainalysis" Wasabi-lommeboken for Bitcoin-personvern?

Shin hevder dette var mulig fordi Wasabi Wallet ikke klarte å implementere ZeroLink-protokollen fullt ut.

ZeroLink hevder å fullstendig anonymisere Bitcoin-transaksjoner ved å bruke en definert pre-mix og post-mix blandingsteknikk. Pre-mix-funksjonalitet sies å være enkelt implementert "uten mye overhead." Å legge til etterblandingsfunksjonalitet til en lommebok var imidlertid en mer kompleks affære.

"Post-mix-lommebøker har på den annen side sterke personvernkrav, angående myntvalg, privat transaksjon og saldohenting, transaksjonsinngang og utdataindeksering og kringkasting."

I stedet er det hevdet at Wasabi Wallet valgte en "peel chain"-metode som gir færre beskyttelser, noe som resulterer i at Chainalysis kan spore transaksjoner fra DAO-hacket.

Morsomt faktum. Wasabi ? aldri implementert ZeroLink. De var ikke engang i nærheten av å gjøre det. Nopara slapp ballen tidlig og gikk for den enkle ut: en skrellekjede. Chainalysis kjører ringer rundt Wasabi?. pic.twitter.com/bLmyDt7qip

— TDevD [Ingen KYC, ingen T&C, nei ?] (@SamouraiDev) Februar 23, 2022

Som sådan "brøt Chainalysis" ikke Bitcoin som sådan, bare utnyttet en uforsiktig integrasjon.

Ikke desto mindre er det en økende fortelling om at økonomisk personvern, når det gjelder kryptovaluta, på en eller annen måte er feil. Selv om det er sant at flertallet av kryptotransaksjoner er over bord, har det ikke stoppet myndighetene fra å håndheve stadig strengere retningslinjer.