💻 computer science

A Tattered Cloak of Invisibility: Measuring Anonymity Loss in Railgun on Ethereum

Cet article démontre qu'en dépit des bases cryptographiques solides de Railgun sur Ethereum, les modèles de comportement des utilisateurs tels que le timing, la réutilisation d'adresses et les montants de transactions peuvent compromettre significativement l'anonymat, permettant à des heuristiques de lier de manière unique 17,65 % des retraits à des dépôts et provoquant une perte médiane d'anonymat de 3,42 bits.

Auteurs originaux : Kanan Huseynov, Ali Shahzaib, István András Seres, János Tapolcai

Publié 2026-06-25

📖 7 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Kanan Huseynov, Ali Shahzaib, István András Seres, János Tapolcai

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous entriez dans une banque géante et transparente où tout le monde peut voir votre nom, votre solde et chaque transaction que vous avez jamais effectuée. C'est ainsi que fonctionnent la plupart des blockchains publiques (comme Ethereum). Pour corriger cela, des gens ont construit des « mélangeurs » comme Railgun. Considérez Railgun comme une cape d'invisibilité technologique et magique. Vous entrez, vous remettez votre argent, et la cape le mélange avec l'argent de milliers d'autres personnes. Quand vous ressortez, vous récupérez votre argent, mais théoriquement, personne ne sait dans quel tas de billets vous avez initialement mis votre argent.

Le document que vous avez fourni, intitulé « A Tattered Cloak of Invisibility » (Une cape d'invisibilité en lambeaux), pose une question simple mais effrayante : La cape est-elle réellement déchirée ?

Les auteurs (une équipe de chercheurs de Hongrie) soutiennent que si la mathématique derrière la cape est parfaite, les personnes qui la portent sont maladroites. Même si la magie est sans faille, les utilisateurs laissent derrière eux des empreintes comportementales qui permettent aux observateurs de recoudre la cape pour découvrir qui vous êtes.

Voici comment ils ont trouvé les trous dans la cape, expliqués par des analogies de la vie quotidienne :

Les cinq façons dont la cape se déchire

Les chercheurs ont identifié cinq manières spécifiques dont les utilisateurs révèlent accidentellement leur identité :

1. L'erreur de la « même porte » (Réutilisation d'adresse)

L'analogie : Imaginez que vous entriez dans une pièce magique par une porte d'entrée étiquetée « John ». Vous obtenez votre cape d'invisibilité, vous mélangez votre argent, puis vous décidez de sortir par la même porte d'entrée exacte étiquetée « John ».
La réalité : Dans le monde numérique, c'est ce qu'on appelle la réutilisation d'adresse (Address Reuse). Si vous utilisez la même adresse numérique pour déposer l'argent et pour le retirer, la cape est inutile. Les chercheurs ont découvert qu'environ 6 % des utilisateurs ont commis cette erreur, liant instantanément leur dépôt à leur retrait.

2. Le « signe de la main amical » (Transactions directes)

L'analogie : Vous entrez dans la pièce magique, obtenez votre cape, puis sortez immédiatement pour faire un signe de la main à votre ami (qui se tient juste devant la pièce). Même si vous êtes invisible à l'intérieur, ce geste vous connecte à votre ami.
La réalité : Les utilisateurs envoient souvent de l'argent de leur adresse de « dépôt » vers leur adresse de « retrait » (ou vice versa) pour payer les frais de gaz ou recharger les soldes. Cela crée un contact numérique direct. Les chercheurs ont constaté que cela s'est produit dans environ 9 % des cas.

3. La fuite du « chauffeur de taxi » (Réutilisation du payeur de gaz)

L'analogie : Pour quitter la pièce magique, vous devez payer un chauffeur de taxi (un « relayer ») car vous n'avez pas d'argent sur vous. Généralement, un étranger vous conduit. Mais parfois, vous conduisez vous-même. Si vous conduisez vous-même, votre plaque d'immatriculation (votre adresse de dépôt) est visible sur la voiture, révélant qui vous êtes.
La réalité : Lors d'un retrait, vous devez payer les frais de transaction. Si vous n'utilisez pas un tiers « relayer » pour payer ces frais, vous pourriez les payer depuis votre propre adresse de dépôt. Les chercheurs ont constaté que beaucoup d'utilisateurs ont fait cela, liant environ 2 % des retraits directement à leurs dépôts.

4. Le « Puzzle » (Correspondance de sac à dos / Knapsack Matching)

L'analogie : Imaginez que vous mettez trois billets spécifiques dans une machine : un billet de 5 $, un de 10 $ et un de 20 $. Plus tard, vous retirez exactement 35 $. Même si la machine a mélangé l'argent, le fait que 5 $+ 10$ + 20 $= 35$ est un indice énorme.
La réalité : Railgun permet de déposer n'importe quel montant. Si vous déposez des montants spécifiques (comme 1,5 ETH et 2,3 ETH) et que plus tard vous retirez exactement 3,8 ETH, un ordinateur peut résoudre ce « puzzle mathématique » (appelé problème du sac à dos ou knapsack problem) et deviner que votre retrait provient de ces dépôts spécifiques. Cela ne donne pas toujours une correspondance à 100 %, mais cela réduit considérablement la liste des suspects.

5. L'« empreinte digitale » (Empreintes de montants)

L'analogie : Vous déposez une somme très spécifique et étrange, comme 12,3456789 $. Lorsque vous la retirez, vous retirez 12,3456789 $ (moins une petite commission). Cette séquence spécifique de chiffres est comme une empreinte digitale unique.
La réalité : Contrairement aux anciens mélangeurs qui n'acceptaient que des nombres ronds (comme exactement 100 $), Railgun accepte n'importe quel nombre. Si vous déposez un nombre « psychologiquement saillant » (comme 1,234567), vous avez tendance à conserver ces chiffres spécifiques lors du retrait. Les chercheurs ont constaté que, bien que cela ne soit pas un lien parfait en soi, cela ajoutait aux autres indices.

Le résultat majeur

En combinant ces cinq indices, les chercheurs ont pu lier de manière unique 17,65 % de tous les retraits à un dépôt spécifique.

Voyez les choses ainsi : si 100 personnes entrent dans la pièce invisible, les mathématiques disent qu'elles devraient toutes être également anonymes. Mais à cause de ces erreurs de comportement, les chercheurs ont pu affirmer avec certitude : « Nous savons avec certitude que la Personne n°17 est la même personne qui est sortie en tant que Personne n°42. »

De plus, ils ont utilisé un programme informatique pour résoudre les « puzzles mathématiques » (le problème du sac à dos). Cela n'a pas toujours donné une réponse unique, mais cela a réduit l'« anonymat » (le nombre de suspects possibles) d'environ 3,4 bits pour chaque transaction. En clair, cela signifie que le groupe des suspects potentiels a considérablement diminué, rendant beaucoup plus facile de deviner qui est qui.

Le problème du « passage rapide » (Le temps)

Le document souligne également un problème de temps. De nombreux utilisateurs traitent le mélangeur comme un tunnel rapide : ils déposent de l'argent et le retirent presque immédiatement (souvent en moins d'un jour).

L'analogie : Si vous entrez dans une pièce bondée et que vous en ressortez 10 secondes plus tard, il n'y a que quelques personnes que vous auriez pu être. Si vous y restez un mois, vous pourriez être n'importe qui.
La réalité : Les chercheurs ont constaté que l'utilisateur « médian » attendait moins d'un jour. Cette fenêtre de temps minuscule rend extrêmement facile de deviner quel dépôt correspond à quel retrait, quel que soit le nombre de personnes présentes dans le groupe.

Que devez-vous faire ? (Les conseils)

Le document conclut par une liste de « choses à ne pas faire » pour quiconque souhaite rester anonyme :

N'utilisez jamais la même porte : Utilisez toujours une nouvelle adresse pour retirer votre argent.
Ne faites pas de signes de la main à vos amis : N'envoyez pas d'argent entre vos adresses de dépôt et de retrait.
Prenez le taxi : Utilisez toujours un « relayer » tiers pour payer vos frais afin que votre propre adresse ne soit pas vue en train de payer pour la sortie.
Ne soyez pas prévisible : Ne déposez et ne retirez pas exactement les mêmes montants. Variez les plaisirs, ou effectuez des transactions internes (comme des échanges de jetons) à l'intérieur du pool pour brouiller les chiffres.
Attendez le bon moment : Ne vous précipitez pas. Restez dans le pool pendant des semaines ou des mois afin que votre retrait se perde dans une foule plus large.

L'essentiel

Le message principal du document est que la confidentialité n'est pas seulement une question de mathématiques, c'est aussi une question de comportement. Même si la « cape » est faite du tissu magique le plus solide, si vous la portez en faisant signe à vos amis, en courant en ligne droite ou en laissant vos empreintes de pas dans la boue, la cape ne vous sauvera pas. Les chercheurs n'ont pas brisé la magie ; ils ont simplement montré comment les utilisateurs déchirent accidentellement le tissu eux-mêmes.

Résumé Technique : Une cape d'invisibilité en lambeaux : Mesurer la perte d'anonymat dans Railgun sur Ethereum

1. Énoncé du problème

Bien que les protocoles de confidentialité cryptographiques comme Railgun sur Ethereum utilisent des preuves à divulgation nulle de connaissance (zero-knowledge proofs) pour masquer le lien entre les transactions de dépôt et de retrait, l'anonymat pratique fourni aux utilisateurs est souvent compromis par des fuites comportementales. Contrairement aux services bancaires traditionnels, où les historiques de transactions sont privés, les blockchains publiques exposent les montants des transactions, le calendrier et les relations de graphes. Les auteurs soutiennent que même si le protocole cryptographique sous-jacent est sécurisé, les comportements des utilisateurs — tels que les schémas temporels, la réutilisation d'adresses et les montants de transaction distinctifs — peuvent considérablement réduire l'ensemble d'anonymat effectif. L'article étudie dans quelle mesure ces traces comportementales permettent à un adversaire de lier de manière heuristique un retrait spécifique à son dépôt correspondant dans le pool protégé de Railgun.

2. Méthodologie

L'étude emploie un modèle d'adversaire passif, utilisant uniquement des données publiquement disponibles de la blockchain Ethereum de couche 1 (Layer-1). Les auteurs ont collecté un ensemble complet de données de transactions Railgun (dépôts, retraits, transferts internes et swaps) jusqu'en mai 2026. Ils ont formulé cinq heuristiques distinctes pour identifier les liens plausibles entre les transactions de dépôt ( $d_i$ ) et de retrait ( $w_j$ ) :

Réutilisation d'adresse (H1) : Identifie les liens où l'adresse de retrait est identique à une adresse de dépôt précédente. Cette heuristique est déterministe et produit par définition zéro faux positif.
Lien transactionnel direct (H2) : Détecte les liens où une transaction existe sur la chaîne entre une adresse de dépôt et une adresse de retrait (dans les deux sens), ce qui se produit souvent lorsque les utilisateurs approvisionnent une adresse de retrait avec des fonds provenant de leur adresse de dépôt pour couvrir les frais de gaz.
Réutilisation de l'adresse payeur de gaz (H3) : Analyse l'expéditeur de la transaction de retrait. Si un utilisateur diffuse sa propre transaction de retrait (auto-diffusion) plutôt que d'utiliser un relais tiers, et que l'adresse payant le gaz correspond à un déposant connu, un lien est établi.
Correspondance par sac à dos (Knapsack Matching - H4) : Traite le problème comme un problème de somme de sous-ensembles (sac à dos). Il tente de trouver un sous-ensemble de dépôts antérieurs dont les montants totalisent un montant de retrait spécifique (avec une tolérance $\epsilon$ pour les frais). Les auteurs ont adapté l'algorithme de programmation dynamique de Pisinger pour résoudre ces instances efficacement.
Empreintes de montants (H5) : Examine l'expansion décimale des montants de transaction. Il recherche des « empreintes » uniques (spécifiquement les trois premiers chiffres fractionnaires non nuls) qui sont préservées entre les dépôts et les retraits, en supposant que les utilisateurs ne randomisent pas totalement la valeur de leurs transactions.

L'étude a également utilisé la loi de Little pour estimer le temps de résidence moyen des fonds dans le pool et a analysé la distribution des intervalles de temps entre les dépôts et les retraits.

3. Principales contributions

Perspective de la fuite comportementale : L'article déplace l'attention des vulnérabilités cryptographiques vers l'interaction entre la conception du protocole et le comportement de l'utilisateur, démontant comment les informations de canal auxiliaire réduisent l'anonymat.
Cadre heuristique : Les auteurs introduisent et formalisent cinq heuristiques spécifiques (H1–H5) adaptées à la nature flexible de Railgun, qui supporte des montants arbitraires et des transactions internes, contrairement aux mixeurs à dénominations fixes comme Tornado Cash.
Mesure empirique : L'étude fournit la première mesure à grande échelle de la perte d'anonymat dans Railgun, quantifiant la réduction de l'ensemble d'anonymat effectif basée sur les données observables sur la chaîne.
Publication en Open-Source : Les auteurs ont publié l'ensemble de données collectées et le code d'analyse pour faciliter de futures recherches sur la mesure de la confidentialité.

4. Résultats

L'application de ces heuristiques au jeu de données Railgun a produit les résultats suivants :

Taux de liaison : Les quatre premières heuristiques (H1–H4) ont réussi à lier de manière unique 17,65 % de toutes les transactions de retrait à une seule transaction de dépôt. Plus précisément :
- H1 (Réutilisation d'adresse) a lié 6,10 % des retraits.
- H2 (Lien de transaction directe) a lié 8,98 % des retraits.
- H3 (Réutilisation du payeur de gaz) a lié 2,20 % des retraits.
- H4 (Correspondance par sac à dos) a lié 4,41 % des retraits.
Sensibilité temporelle : Le temps médian entre le dépôt et le retrait pour les paires liées était de 0,84 jour, indiquant qu'une partie significative des utilisateurs traite le pool comme un simple mélangeur plutôt que comme un outil de confidentialité à long terme. Ce cycle rapide réduit drastiquement l'ensemble d'anonymat effectif.
Analyse du sac à dos : Le solveur de sac à dos a produit une perte d'anonymat médiane de 3,42 bits pour les transactions de retrait, ce qui signifie que l'incertitude concernant la source des fonds a été réduite de ce montant pour le cas médian.
Empreinte digitale : Bien que le test de Kolmogorov–Smirnov ait montré des différences statistiques dans les empreintes de montants, les auteurs ont constaté que les empreintes de montants fractionnaires (H5) n'étaient pas suffisamment fiables pour une désanonymisation autonome en raison du bruit causé par les frais de transaction et les effets d'arrondi globaux.
Utilisation du pool : Seuls 15,00 % de l'ETH déposé restaient dans le pool protégé au moment de la mesure, suggérant que la plupart des utilisateurs retirent leurs fonds rapidement. Le temps de résidence moyen estimé était d'environ 183 jours, mais le comportement médian était beaucoup plus rapide.

5. Signification et affirmations

L'article affirme que bien que Railgun fournisse une garantie cryptographique forte d'inliabilité, la confidentialité pratique est sensiblement plus faible en raison du comportement des utilisateurs. Les auteurs soulignent que :

L'anonymat n'est pas absolu : Même dans les systèmes dotés de grands ensembles d'anonymat nominaux, les schémas comportementaux peuvent restreindre l'ensemble des origines plausibles à un seul utilisateur ou à un groupe très restreint.
Protocole vs Comportement : La perte d'anonymat documentée provient de l'interaction entre le protocole et le comportement de l'utilisateur, et non d'un échec du système de preuve à divulgation nulle de connaissance lui-même.
Perspectives exploitables : L'étude fournit des recommandations spécifiques aux utilisateurs pour améliorer leur confidentialité, telles que l'utilisation systématique de relais tiers, l'évitement de la réutilisation d'adresses, l'attente prolongée avant un retrait, et l'évitement de montants de transaction psychologiquement saillants ou ronds.
Implications de conception : Les auteurs suggèrent que les futurs protocoles de confidentialité pourraient imposer des temps de résidence minimaux ou proposer des paliers de dénominations fixes pour atténuer les canaux de fuite spécifiques identifiés (H4 et H5).

Les auteurs concluent que leur travail met en lumière la « position fragile » des infrastructures de renforcement de la confidentialité, où l'utilité du système (flexibilité, rapidité) entre souvent en conflit avec l'idéal d'un anonymat total. Ils précisent explicitement que leurs conclusions n'identifient pas des identités réelles, mais démontrent plutôt les liens probabilistes accessibles à tout analyste de blockchain passif.