💻 computer science

Track me if you can: Ephemeral coin tracing

Cet article introduit le « traçage de pièces éphémères » (ECT), un primitif préservant la confidentialité pour les systèmes de paiement réglementés qui impose cryptographiquement des limites strictes et absolues sur la durée et la portée du traçage par les forces de l'ordre afin d'empêcher une surveillance illimitée tout en permettant l'enquête sur les activités illicites.

Auteurs originaux : Ignacio Amores-Sesar, Christian Cachin, Rohit Chatterjee, Luiza Soezima, François-Xavier Wicht, Michelle Yeo

Publié 2026-08-11

📖 8 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Ignacio Amores-Sesar, Christian Cachin, Rohit Chatterjee, Luiza Soezima, François-Xavier Wicht, Michelle Yeo

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un monde où votre portefeuille numérique est un coffre-fort magique et invisible. Vous pouvez envoyer de l'argent à des amis, acheter un café ou payer des factures sans que personne ne sache qui vous êtes ni combien vous avez dépensé. C'est la promesse des « systèmes de paiement préservant la confidentialité », un domaine de la cryptographie qui construit des coffres-forts invisibles depuis des décennies. Mais il y a un piège : si ces coffres sont trop parfaits, ils deviennent des cachettes pour les acteurs malveillants. Les criminels pourraient les utiliser pour blanchir de l'argent ou financer le terrorisme sans laisser la moindre trace. Les gouvernements et les banques ont besoin d'un moyen de jeter un coup d'œil à l'intérieur uniquement lorsqu'ils en ont une bonne raison, comme un mandat pour un suspect spécifique, sans pour autant dépouiller tout le monde de sa vie privée. La grande question a toujours été : comment donner à la police une lampe de poche pour suivre la piste de l'argent d'un criminel sans aveugler accidentellement toute la ville ?

Cet article présente une solution ingénieuse appelée « Traçage de Pièces Éphémères » (ECT - Ephemeral Coin Tracing). Considérez cela comme un autocollant de suivi magique qui s'efface de lui-même. Par le passé, les outils de traçage étaient comme une peinture fluorescente permanente qui, une fois pulvérisée sur un suspect, suivrait son argent éternellement, éclairant chaque transaction qu'il effectuerait et exposant potentiellement des innocents qui se seraient simplement trouvé à échanger avec lui. Les auteurs proposent un nouveau système où l'« autocollant » possède une date d'expiration intégrée. Il ne peut parcourir qu'un nombre spécifique d'étapes (ou de « sauts ») à travers le réseau. Une fois cette limite atteinte, la magie s'évanouit et la piste se refroidit, devenant indiscernable d'une pièce normale et non tracée. Cela garantit que même l'autorité la plus déterminée ne peut pas suivre l'argent d'un suspect au-delà d'une limite prédéfinie, protégeant ainsi la vie privée de la vaste majorité des utilisateurs qui ne font pas l'objet d'une enquête.

Le Problème : La « Lampe de Poche Éternelle »

Pendant longtemps, les systèmes de paiement numérique ont été confrontés à un dilemme. Si vous vouliez arrêter le blanchiment d'argent, vous deviez généralement donner aux autorités une « lampe de poche éternelle ». Une fois qu'elles l'allumaient pour un suspect, cette lumière suivait l'argent partout où il allait, à travers chaque transaction, chaque portefeuille et chaque échange. Si un criminel transférait de l'argent à un ami, et que cet ami le transférait à un cousin, la lumière suivrait tout au long de la chaîne.

Le problème est que cette lumière ne suit pas seulement le criminel ; elle éclaire tous ceux qu'il touche. Si un suspect achète une pizza, les autres clients de la pizzeria se retrouvent éclairés aussi. Si un suspect transfère de l'argent à une entreprise légitime, tout l'historique de cette entreprise pourrait être exposé. Les outils actuels dans la littérature accordent aux autorités des « capacités illimitées ». Une fois le traçage commencé, il peut se propager à travers tout le graphe des transactions ou suivre les transactions futures d'un utilisateur pour toujours. La seule chose qui empêchait l'espionnage de tout le monde était censée être la « bonne volonté » de l'autorité ou l'honnêteté d'un comité. Mais comme le soulignent les auteurs, compter sur la gentillesse des gens n'est pas un système de sécurité très robuste.

La Solution : L'Autocollant à l'« Encre Évanescente »

Les auteurs, une équipe de cryptographes issus d'universités du Danemark, de Suisse et de Singapour, introduisent un nouveau primitif appelé Traçage de Pièces Éphémères (ECT). Ils le décrivent comme un « autocollant de suivi » programmé mathématiquement pour s'effacer.

Voici comment cela fonctionne dans leur système :

La Configuration : Lorsqu'un mandat est émis pour un suspect, l'autorité ne se contente pas de marquer l'argent ; elle le marque avec un « budget » d'étapes spécifique. Disons que le budget est de 10 sauts.
Le Voyage : Chaque fois que l'argent passe d'une personne à une autre, le marqueur effectue un « pas ». À chaque étape, le marqueur s'affaiblit. C'est comme une batterie qui se décharge un peu à chaque transaction.
L'Effacement : Après exactement 10 étapes, le marqueur atteint zéro. Il s'effondre en une valeur qui ressemble exactement à une pièce normale, non marquée. Même l'autorité qui a placé le marqueur ne peut plus le voir. Il est devenu « éphémère » — temporaire et disparu.
Le Filet de Sécurité : Crucialement, ce processus d'effacement est intégré dans la mathématique du système. Peu importe à quel point l'autorité souhaite continuer à surveiller, elle ne peut pas forcer le marqueur à durer plus longtemps que le budget. La limite est fixée par des paramètres publics, ce qui signifie que n'importe qui peut vérifier les règles, et l'autorité ne peut pas les modifier pour espionner davantage.

Comment la Magie Opère : Le Truc « Nilpotent »

L'article devient technique ici, mais l'idée centrale est un tour de magie mathématique appelé « dégradation nilpotente ». Imaginez que vous avez une encre spéciale qui change de couleur chaque fois que vous la touchez.

Étape 1 : L'encre est rouge vif (le marqueur du suspect).
Étape 2 : Elle devient orange.
Étape 3 : Elle devient jaune.
...
Étape 10 : Elle devient complètement transparente.

Dans le monde réel, si vous mélangez un liquide transparent avec un liquide rouge, vous obtenك généralement un mélange rosé. Mais dans ce système cryptographique, le liquide « transparent » (le marqueur expiré) est spécial. Lorsqu'il se mélange à d'autres marqueurs, il ne les gâche pas ; il disparaît simplement. Cela permet au système de gérer des situations complexes où l'argent d'un suspect tracé se mélange à l'argent de personnes innocentes. La partie tracée s'efface selon son propre calendrier, tandis que les parties innocentes restent invisibles pour le traqueur.

Les auteurs proposent deux façons de construire ce système :

ElGamal Exponentiel : Cette version utilise un type spécifique de groupe mathématique où les nombres deviennent de plus en plus petits jusqu'à atteindre zéro. Cela crée des marqueurs très petits et compacts, ce qui est excellent pour la vitesse, mais la mathématique devient complexe si l'on veut suivre un grand nombre de personnes à la fois.
Damgård–Jurik : Cette version utilise une structure mathématique différente, un peu plus large, mais qui permet un traçage beaucoup plus efficace de nombreuses personnes à la fois. C'est comme choisir entre une petite voiture de sport rapide (ElGamal) et un SUV légèrement plus grand et plus polyvalent (Damgård–Jurik).

Pourquoi Cela Importe

L'article soutient que cette approche résout l'impasse entre « vie privée et réglementation ».

Pour les Innocents : Si vous n'êtes pas un suspect, votre vie privée est intacte. Même si vous échangez avec un suspect, la « lampe de poche » finira par manquer de batterie avant de pouvoir retracer toute votre histoire.
Pour les Autorités : Elles peuvent toujours enquêter sur les crimes. Elles peuvent suivre l'argent d'un suspect pendant un nombre spécifique de sauts pour trouver des complices ou des circuits de blanchiment. Mais elles sont contraintes de s'arrêter. Elles ne peuvent pas simplement continuer à surveiller indéfiniment.
Pour le Système : Les règles sont transparentes. Le « budget de sauts » (jusqu'où le marqueur peut aller) est défini dans les paramètres publics. Si un gouvernement veut changer les règles pour permettre une surveillance plus longue, il doit changer le code public, que tout le monde peut voir. Ils ne peuvent pas le faire en secret.

Ce que l'Article Ne Fait *Pas***

Il est important de noter ce que cet article ne prétend pas faire.

Il ne résout pas le problème du traçage rétroactif. Si un crime a eu lieu dans le passé et que personne n'a été marqué à ce moment-là, ce système ne peut pas revenir en arrière pour marquer cet ancien argent. Il ne fonctionne que pour le traçage « prospectif » — marquer l'argent après l'émission d'un mandat.
Il n'identifie pas automatiquement qui est le suspect. Il suit simplement l'argent. Le système nécessite toujours un processus juridique pour lier le portefeuille à une personne réelle.
Il ne prétend pas être une solution « parfaite » qui élimine tout crime. C'est un outil pour rendre le traçage ciblé plus sûr et plus limité.

Le Verdict

Les auteurs ont prouvé mathématiquement que ce système fonctionne. Ils ont montré que les marqueurs vont expirer exactement quand ils le doivent, et que l'autorité ne peut pas altérer le système pour les faire durer plus longtemps. Ils ont également prouvé que les marqueurs sont indiscernables des pièces normales, de sorte qu'un utilisateur ne peut pas savoir s'il est surveillé ou non.

En fin de compte, cet article offre un nouveau type d'équilibre. Il suggère que nous n'avons pas à choisir entre un monde totalement privé où le crime sévit et un monde totalement transparent où tout le monde est surveillé. Nous pouvons avoir un système où la police dispose d'une lampe de poche, mais la lampe de poche possède un minuteur. Elle brille assez fort pour attraper les méchants, mais elle s'éteint avant de nous aveugler les uns les autres. Cela transforme la « bonne volonté » de l'autorité en une règle mathématique rigide qui ne peut être brisée.

Résumé Technique : Traçage de Pièces Éphémères (ECT - Ephemeral Coin Tracing)

1. Énoncé du Problème

Les systèmes de paiement préservant la confidentialité, y compris les Monnaies Numériques de Banque Centrale (MNBC) et les stablecoins institutionnels, font face à une barrière d'adoption critique : les régulateurs exigent des mécanismes permettant de tracer les fonds illicites (ex. : blanchiment d'argent) sans compromettre la vie privée des utilisateurs respectueux de la loi. Les schémas de traçage de pièces existants dans la littérature accordent aux autorités des capacités illimitées. Une fois qu'un traçage est initié, il se propage soit indéfiniment à travers le graphe des transactions, soit persiste à travers toutes les transactions futures d'un utilisateur ciblé. Ce manque de limites cryptographiques signifie que, en l'absence de la « bonne volonté » de l'autorité ou de l'indépendance d'un comité, la surveillance peut finir par déanonymiser l'intégralité du registre. Les atténuations actuelles, telles que les comités de seuil, limitent qui peut tracer mais pas combien peut être tracé ; une majorité qualifiée conserve la même puissance illimitée qu'une entité unique.

La question posée est la suivante : Pouvons-nous concevoir un protocole simple et efficace qui limite la capacité de surveillance de l'autorité de traçage (à la fois en nombre d'utilisateurs et en durée du traçage) tout en permettant le suivi ciblé de l'activité criminelle ?

2. Méthodologie : Traçage de Pièces Éphémères (ECT)

Les auteurs introduisent le Traçage de Pièces Éphémères (ECT), un primitif cryptographique où la capacité de traçage est limitée par construction. Le mécanisme central repose sur la dégradation nilpotente au sein d'un schéma de chiffrement additivement homomorphe.

Mécanisme Central

Dégradation Nilpotente : Le système utilise un anneau de texte clair contenant un élément nilpotent $\nu$ $ν$ d'indice $h$ $h$ (où $\nu^h = 0$ $ν^{h} = 0$ mais $\nu^{h-1} \neq 0$ $ν^{h - 1} \neq = 0$ ).
- Un tag de traçage est un chiffrement d'un identifiant d'utilisateur.
- Chaque « saut » (une étape définie par une politique, telle qu'un transfert sortant) applique une opération de dégradation publique qui multiplie le texte clair par $\nu$ .
- Après exactement $h$ sauts, le texte clair devient $0$ (l'élément identité).
- Une fois la valeur à $0$, elle reste à $0$ sous l'effet de dégradations ultérieures. Le tag devient indiscernable d'une pièce factice (non marquée), même pour l'autorité détenant la clé secrète.
Fusion et Encodage Positionnel :
- Lorsque les fonds provenant de plusieurs sources fusionnent, leurs tags sont combinés de manière homomorphe.
- Pour éviter les collisions entre les identifiants et les profondeurs de dégradation, le système utilise un encodage positionnel (base- $r$ pour les identifiants, base- $q$ ou base- $N$ pour les profondeurs).
- Cela garantit qu'une contribution expirée (valeur 0) agit comme un élément neutre, disparaissant sans détruire les contributions actives d'autres profondeurs.
Garanties de Sécurité :
- Indiscernabilité : Les utilisateurs ne peuvent pas déterminer si leur pièce porte un tag traçable ou un tag factice.
- Lien impossible (Unlinkability) : Le rerandomisation garantit qu'un tag avant et après dégradation ne peut être lié.
- Non-falsifiabilité : Seule l'autorité peut émettre des tags valides ; les utilisateurs ne peuvent pas créer de tags qui tracent vers des identifiants non autorisés.
- Traçabilité Éphémère : Une fois qu'un tag dépasse son budget de sauts $h$ , l'autorité perd cryptographiquement la capacité de récupérer l'identifiant. C'est une garantie inconditionnelle, qui ne repose pas sur des hypothèses de dureté computationnelle.

Constructions

Le papier fournit deux instanciations concrètes du modèle ECT :

ElGamal Exponentiel :
- Opère dans un groupe cyclique d'ordre $q^h$ (où $q$ est un nombre premier).
- L'élément nilpotent est le nombre premier $q$ ; la dégradation élève les chiffrements à la puissance $q$ .
- Avantages : Tags compacts.
- Inconvénients : Complexité de traçage exponentielle par rapport au nombre d'utilisateurs tracés simultanément ( $K$ ) en raison d'une recherche de type « rencontre dans le milieu » (meet-in-the-middle) ; nécessite des hypothèses DDH non standards dans des groupes d'ordre puissance de premier.
Damgård–Jurik :
- Opère sur l'anneau $\mathbb{Z}_{N^s}$ où $N$ est un module RSA et $s=h$ .
- L'élément nilpotent est le module $N$ ; la dégradation élève les chiffrements à la puissance $N$ .
- Avantages : Le traçage est en temps polynomial ($O(nh)$) quel que soit le nombre d'utilisateurs tracés ; repose sur l'hypothèse standard de la Résidusité Composée Décisionnelle (DCR).
- Inconvénients : Tailles de tags plus importantes par rapport à la construction minimale d'ElGamal.

3. Principales Contributions

Définition de l'ECT : Le premier schéma de traçage de pièces avec une expiration cryptographiquement imposée. Le budget de sauts $h$ est fixé dans les paramètres publics et ne peut être dépassé par l'autorité.
Surveillance Limitée : Le schéma limite à la fois la largeur (nombre d'utilisurs tracés simultanément, limité par le module du texte clair) et la profondeur (nombre de sauts, limité par l'indice nilpotent).
Fusion Efficace : Une méthode novatrice pour fusionner les tags de différents utilisateurs et de différentes profondeurs de dégradation sans collision, préservant les signaux de traçage actifs tout en permettant aux signaux expirés de disparaître.
Deux Constructions : Preuves de sécurité formelles pour deux instanciations distinctes (ElGamal et Damgård–Jurik) satisfaisant la correction du traçage, la correction de la fusion, l'indiscernabilité, la traçabilité éphémère, la non-falsifiabilité et l'impossibilité de lien.

4. Résultats et Performance

Correction : Les auteurs prouvent que les tags se dégradent exactement comme prévu : un tag émis avec un budget $h'$ reste récupérable pendant $h'$ sauts et devient indiscernable de zéro par la suite.
Sécurité : Le schéma satisfait toutes les propriétés de sécurité définies. Notamment, la Traçabilité Éphémère est prouvée de manière inconditionnelle (informationnelle) pour l'étape de dégradation, ce qui signifie qu'aucune puissance de calcul ne peut récupérer un identifiant une fois le budget épuisé.
Compromis d'Efficacité :
- ElGamal : Adapté pour de petits budgets de sauts et peu de traçages simultanés (ex. : tags de 0,75 Ko pour $h=10$ ). Le coût de traçage augmente avec le nombre de cibles actives.
- Damgård–Jurik : Adapté pour des ensembles de cibles plus larges et des tags fortement fusionnés (ex. : tags de 4,1 Ko pour $h=10$ ). Le coût de traçage est indépendant du nombre d'utilisateurs cibles, ne dépendant que des paramètres du système.

5. Signification et Revendications

Le papier affirme que l'ECT déplace fondamentalement le compromis entre vie privée et réglementation d'une question de retenue institutionnelle vers une question de conception cryptographique.

Limites Explicites : La capacité de surveillance de l'autorité est rendue explicite et auditable via les paramètres publics ( $h$ et $n$ ). Aucune autorité, aussi motivée soit-elle, ne peut élargir silencieusement la portée de la surveillance au-delà de ces paramètres.
Vie Privée Ciblée : L'ECT permet des enquêtes ciblées sans déanonymiser la base générale d'utilisateurs. La « grande majorité » des utilisateurs conserve des garanties de vie privée totales, car leurs pièces portent des tags factices qui sont indiscernables des tags tracés.
Nature Prospective : Les auteurs notent explicitement que l'ECT est prospectif. Il ne peut tracer les fonds qu'à partir du moment où un mandat est émis vers l'avant. Il ne permet pas la surveillance de masse rétrospective des transactions passées, ce qui limite son potentiel d'abus par rapport aux schémas de traçage illimités.
Portée d'Application : Le primitif est conçu pour des systèmes de paiement à comptes et avec permission (comme les MNBC) et peut être intégré aux outils réglementaires existants (ex. : gel de comptes, limites de transaction), mais ne les remplace pas. Il nécessite que le registre porte et valide les tags mais évite la lourde surcharge de calcul de l'exécution de calcul multi-parties sécurisées (MPC) sur chaque transaction.

En conclusion, le papier présente l'ECT comme une « première étape » qui équilibre la nécessité de la conformité réglementaire avec des garanties de vie privée fortes, garantissant que la surveillance est temporaire, limitée et mathématiquement exécutoire.