揭露门罗币区块链中的隐藏链接

如果你经常关注加密货币的世界，你可能知道门罗币是一种隐私中心加密货币，它自2016年末期以来一直在市场上飙升。来自普林斯顿和UIUC的合著者和我最近发布了一些研究，其中表明，特别是对于2017年2月之前进行的交易而言，它的隐私声明显然被夸大了。基于我们的研究造成的一些抨击，Monero社区可能更希望你只关注他们最新提供的产品，而忽略掉他们近期所未履行的承诺。

少量背景资料：就像比特币一样，每个门罗币的交易都有一些输入和一些输出。每一个输入都是先前交易输出的一个连接，它们形成一个了图表。

在比特币中，这些联系是透明和明确的。每个区块资源管理器网站（如blockchain.info区块链info）可以让您按照图表来，单击链接从一个交易移动到下一个交易，这些链接也是图分析，聚类和匿名化分析的基础。

这张图简单描述了一个典型用户进行门罗币交易时的心理模型。

然而，在门罗币中，这些交易中的链接被掩盖了。每个交易的输入可能会包含称为“mixin（混入）”的诱饵链接。每个交易的输入本身有多个输入链接，而每个输出也有多个输出链接; 原则上，没有人能够分辨混合中的哪一个是真正的链接。您可能已经根据右侧显示的热门插图形成了一个心理模型。

此外，如果您访问任何一个门罗币区块资源管理器网站，您会看出这些交易图表展现出的其实是死胡同。你说不出输入来自哪儿，你也不知道输出将会走向哪里。举个例子，请看一看从2016年五月以来，ChainRadar和MoneroBlocks，这些典型的区块资源管理器是如何显示这些交易的。

该交易有5个输入和5个输出。每个输入有6个mixin（总共有7个链接，其中包括真实链接），这表明它要求高度的隐私。但这些输出是一些死胡同，而且你不能分辨出7个链接中哪一个是真实的。毕竟，门罗币是“不透明的。

在我们的研究报告“Monero区块链中的可链接性的实证分析”中，我们证明了，其实对于门罗币的大部分区块链历史来说，mixins并没有做得很好。大部分在2017年2月之前完成的交易实际上是可以链接的。

问题来了，在以前，大多数货币都是通过0-mixin交易（完全不考虑隐私的）进行的，这种交易很常见了。将这些货币当作诱饵并没有什么好处，因为它被用在了哪里已经很明显了。但是，门罗币钱包没有考虑到这一点。结果就是，我们能够识别出在2014年到2016年里，1 + mixin 门罗币交易中大部分（62％）的正确链接。

为了说明这个问题并使其影响清晰起见，在我们的论文旁，我们发布了一个名为MoneroLink（门罗币链接）的区块资源管理器，它揭露了门罗币交易中的一些隐藏链接。如果您访问上面提到的MoneroLink页面，您将看到，尽管有很多的mixin，我们能够识别出5个输入中的3个正确的输入链接，并且我们能够识别出5个输出中的2个正确的输出链接。

MoneroLink（门罗币链接）区块资源管理器揭示了门罗币交易中隐藏的联系（从2014年到2016年）。

我们容易注意到，自2016年3月以来的交易中，我们可以连接的交易比率逐步下降，尽管猜中正确的链接的可能性仍然有可能比您预期的要高。在这篇文章中，我几乎省略了所有的技术细节，但更详细的分析可以在我们的技术文章中找到。

这是一个惊喜吗？

如果揭露门罗币区块资源管理器的链接的存在让你感到意外，那么你并不是一个人。它是这种类型的第一个区块资源管理器。迄今为止，没有迹象表明门罗币区块链容易被这些广泛分析所攻击。

这显然与门罗币的市场营销和大众媒体的隐私声明相矛盾。

然而，门罗币的开发者和/ r / monero讨论社区对我们的回应就是说我们一直都知道这一点。

这里的“基本阅读”指的是2014年和2015年的一对报告MRL-0001和MRL-0004，它们介绍了我们的资源管理器依靠的主要漏洞（以及在我们范围之外的更复杂的问题），他解释说，如果参数选择不当，并且攻击者拥有的网络比例足够多，他们可能会导致“在整个网络中无法追踪的严重损失。

MRL报告都没有说明这个实际问题影响了实际交易。相反，这些论文都很抽象，它们描述了大理石弹珠的数学模型以及辛普森一家人的假想攻击情景。最重要的是，之前的报告没有根据实际区块链数据进行任何可以实证的分析。

而我们的研究主要是为了表明：

1）参数的选择不佳

2）并不需要任何的攻击者，这个问题全部来自于它们自身

3）我们证实了，不可追踪性的结果确实就是一种严重的损失

MRL报告抚慰人心的质量

我想提起MRL报告中（无意地）一种特殊的讨论模式，用来平息了进一步的调查。在门罗币历史里的不同时刻，几个论坛的博主已经迈上了这个揭露的门槛，但被MR又L报告礼貌性地推开，不再继续进行讨论。

案例1： 2015年12月。一位Redditor（Reddit,一个美国的社会新闻聚集讨论网站）问到：“教育我： 零混入抛弃了门罗币的所有隐私优势，对吧？但他们是否会损害或干扰其他交易？“

博主VedadoAnonimato回应：

门罗币的开发商smooth_xmr证实了VedadoAnonimato的担忧，但随后提到MRL报告说问题已经得到解决。

权威的“MRL-0001数学”作为最后一句话，有效地结束了讨论。顺便提一句，“立即解决问题”的提议变更从未实施（取而代之的实际实施的措施是渐进效应）。无论如何，即使实施，这里的“解决问题”意味着未来的交易将享有更好的隐私。这对任何依赖以前交易隐私的人来说都没有好处。

案例2：在以下线程中，用户询问“门罗币是否真的匿名？”，并发布了一篇文章链接以推测链接的形式。

线程往下再走一步，“没有什么可以讨论的，那些链接的白皮书还没有被广泛记录。”

案例3：这是另一个例子，展示了MRL报告是如何解释的：

我们的研究清楚地表明，这种攻击不是理论上的，而是完全影响了实际交易。它已经通过实证区块链分析来证明了这一点。

事实上，VedadoAnonimato（再次在2015年末）甚至强调说需要这种已缺失的实证方法：

当然，线程立即就结束了，这吊人胃口。区块链数据一直都存在，任何人都可以查看，但，现在我们只完成了这一项工作。

真相很伤人，时间会治愈

门罗币加密货币和社区无疑将在这一揭露下幸存下来。现在最好的回应是：承认这个令人意外的结果，没有人知道有多少事前交易易受连接性分析的影响。即使有些人深深怀疑这可能的情况，但没有人很想深入数据并看到不让人愉快的真相。

如果社区门罗币的开发者反而在“这项研究不是新的！”叙述中集中讨论，那么这对他们来说这种行为并不是很好。这意味着社区的领导层显然知道允许用户误导以前交易的隐私。正确的做法是发布一个非常明确地传达这个问题的建议：

这正是MoneroLink区块资源管理器传达的信息。虽然晚了点，但总比没有好！

MRL报告已成为狗哨交流的一种形式。这些报告是用密集编码的语言编写的（无意识，但也许是在潜意识中），避免用户担忧。开发人员一直在认真努力改进未来版本的软件，但并未试图通过实证来量化现有问题或明确提醒用户有关隐私问题。今天的真实的用户很容易受到昨天交易隐私损失的影响。

我结合来自smooth_xmr的最后引用：

这似乎是合理的，我希望这是真的，因为这意味着这个漏洞造成的潜在危害是有限的。但是，即使只有少数用户在2016年及以前依靠门罗币取得隐私，但他们的隐私也很重要，并且此警告就是针对他们的。

附录1. 门罗币社区的更多答复

正如预期的那样，这个揭露激起了一阵骚动和人物攻击，在Reddit和推特上，他们大多数都是脾气暴躁的人。我反对把这些出于廉价的报复快感而谩骂这些不好的东西的行为，其余大部分内容都是关于我们如何展示我们的结果的社论。

相反，我想感谢门罗币的核心开发者smooth_xmr，他们提供了一个有技术反馈的优秀讨论主题。我们认真对待您的批评，并将其纳入我们论文的更新中。我还要感谢SamsungGalaxyPlayer和KaroshiNakamoto提供的有洞察力（但非常关键）的帖子，其中包括一个伟大的主题，呼吁对这样的研究发布做出更理性和更高层次的公众回应。

附录2.这不是Zcash的付费点击吗？

免责声明。多年来我一直参与Zcash（以及其他几个加密货币项目，如Tezos，Ethereum），作为顾问，最近还是其社区支持基金会的创始人。这在我们的技术报告的头版中透明而恰当地披露。从我的网站上看到，推特用户 @ socrates1024也很清楚，并且已经向我的雇主伊利诺伊大学报告。我的研究不是由Zcash资助的，其他合作者根本与Zcash无关。

对我们的研究的许多最初反应集中在质疑我们的动机上，脱离我们报告的实质来吸引注意力。无论如何，请对我们的发现持怀疑态度，并且理想地独立地再现它们。

附录3.关于我们发布的时间恰逢门罗币硬分叉升级

哎呀，我们在计划好的硬分叉会议日几小时内刚好发表了我们的论文。也许没有人会相信我，但是这个时机完全是机缘巧合，我并不知道门罗币正在升级。这完全是我的失误，因为事后来看我有很多地方可以读到这个。（最近在准备我们的文章时，我一直在Reddit阅读很多门罗币线索，但我只通过关键字搜索，而没有阅读头版。）

特别是，门罗币在4月15日或另外三个可观测的日子里定期安排硬叉升级的优惠政策，并已承诺实施这项政策超过了一年。

我可以感觉到这个时机看起来确实有点敌意。如果我更加注重并且注意到，我绝对会等到会议之后发布可能影响开发者和更多社区的消息。最初我们希望两周前发布这项工作，但我被金融密码学会议分散了注意力，直到现在还没有完成该网站。但我很欣慰这次硬分叉升级进行得很顺利，就像迄今为止所有的门罗币硬分叉升级一样。

●编号135，输入编号直达本文

●输入m获取文章目录