💻 computer science

A Tattered Cloak of Invisibility: Measuring Anonymity Loss in Railgun on Ethereum

Questo articolo dimostra che, nonostante le solide fondamenta crittografiche di Railgun su Ethereum, i modelli comportamentali degli utenti come la tempistica, il riutilizzo degli indirizzi e gli importi delle transazioni possono compromettere significativamente l'anonimato, permettendo alle euristiche di collegare in modo univoco il 17,65% dei prelievi ai depositi e causando una perdita mediana di anonimato di 3,42 bit.

Autori originali: Kanan Huseynov, Ali Shahzaib, István András Seres, János Tapolcai

Pubblicato 2026-06-25

📖 6 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Kanan Huseynov, Ali Shahzaib, István András Seres, János Tapolcai

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di entrare in una gigantesca banca trasparente dove tutti possono vedere il tuo nome, il tuo saldo e ogni singola transazione che tu abbia mai effettuato. Ecco come funziona la maggior parte delle blockchain pubbliche (come Ethereum). Per risolvere questo problema, le persone hanno costruito dei "mixer" come Railgun. Pensa a Railgun come a un mantello dell'invisibilità tecnologico e magico. Entri, consegni i tuoi soldi, e il mantello li mescola con i soldi di migliaesi di altre persone. Quando esci, riprendi i tuoi soldi, ma teoricamente nessuno sa in quale mucchio di contanti avevi inserito i tuoi originariamente.

Il documento che hai fornito, intitolato "A Tattered Cloak of Invisibility" (Un Mantello dell'Invisibilità Strappato), pone una domanda semplice ma inquietante: il mantello è effettivamente strappato?

Gli autori (un team di ricercatori ungheresi) sostengono che, sebbene la matematica dietro il mantello sia perfetta, le persone che lo indossano sono goffe. Anche se la magia è impeccabile, gli utenti lasciano dietro di sé impronte comportamentali che permettono agli osservatori di ricucire il mantello e capire chi sei.

Ecco come hanno trovato i buchi nel mantello, spiegati attraverso analogie quotidiane:

I Cinque Modi in cui il Mantello si Strappa

I ricercatori hanno identificato cinque modi specifici in cui gli utenti rivelano accidentalmente la propria identità:

1. L'errore della "Stessa Porta" (Riutilizzo dell'Indirizzo)

L'Analogia: Immagina di entrare in una stanza magica attraverso una porta anteriore con l'etichetta "John". Ottieni il tuo mantello dell'invisibilità, mescoli i tuoi soldi e poi decidi di uscire proprio dalla stessa porta anteriore con l'etichetta "John".
La Realtà: Nel mondo digitale, questo si chiama Riutilizzo dell'Indirizzo (Address Reuse). Se usi lo stesso indirizzo digitale per inserire i soldi e per prelevarli, il mantello è inutile. I ricercatori hanno scoperto che circa il 6% degli utenti ha commesso questo errore, collegando istantaneamente il deposito al prelievo.

2. Il "Saluto Amichevole" (Transazioni Dirette)

L'Analogia: Entri nella stanza magica, ottieni il tuo mantello e poi esci immediatamente e saluti il tuo amico (che si trova proprio fuori dalla stanza). Anche se sei invisibile all'interno, quel saluto ti connette al tuo amico.
La Realtà: Gli utenti spesso inviano denaro dal loro indirizzo di "deposito" al loro indirizzo di "prelievo" (o viceversa) per pagare le commissioni di gas o per ricaricare i saldi. Questo crea una stretta di mano digitale diretta. I ricercatori hanno scoperto che questo accadeva in circa il 9% dei casi.

3. La Fuga del "Tassista" (Riutilizzo del Pagatore di Gas)

L'Analogia: Per uscire dalla stanza magica, devi pagare un tassista (un "relayer") perché non hai contanti con te. Di solito, un estraneo ti trasporta. Ma a volte, guidi tu stesso. Se guidi tu, la tua targa (il tuo indirizzo di deposito) è visibile sull'auto, rivelando chi sei.
La Realtà: Quando effettui un prelievo, devi pagare una commissione di transazione. Se non utilizzi un "relayer" terzo per pagare questa commissione, potresti pagarla dal tuo stesso indirizzo di deposito. I ricercatori hanno scoperto che molti utenti facevano così, collegando circa il 2% dei prelievi direttamente ai depositi.

4. Il "Puzzle" (Corrispondenza Knapsack)

L'Analogia: Immagina di mettere tre banconote specifiche in una macchina: una da $5, una da $10 e una da $20. Più tardi, ne prelevi esattamente $35. Anche se la macchina ha mescolato i soldi, il fatto che $5 +$ 10 + $20 =$ 35 è un enorme indizio.
La Realtà: Railgun permette di depositare qualsiasi importo. Se depositi importi specifici (come 1,5 ETH e 2,3 ETH) e in seguito prelevi esattamente 3,8 ETH, un computer può risolvere questo "puzzle matematico" (chiamato problema dello zaino o knapsack problem) e indovinare che il tuo prelievo proviene da quei depositi specifici. Questo non fornisce sempre un match al 100%, ma restringe drasticamente la lista dei sospettati.

5. L' "Impronta Digitale" (Impronte degli Importi)

L'Analogia: Metti una quantità di denaro molto specifica e strana, come $12,3456789. Quando la riprendi, prelevi $12,3456789 (meno una piccola commissione). Quella sequenza specifica di numeri è come un'impronta digitale unica.
La Realtà: A differenza dei vecchi mixer che accettavano solo numeri tondi (come esattamente $100), Railgun accetta qualsiasi numero. Se depositi un numero "psicologicamente saliente" (come 1,234567), tendi a mantenere quelle stesse cifre quando prelevi. I ricercatori hanno scoperto che, sebbene questo non fosse un collegamento perfetto da solo, aggiungeva altri indizi.

Il Grande Risultato

Combinando questi cinque indizi, i ricercatori sono stati in grado di collegare unicamente il 17,65% di tutti i prelievi a un deposito specifico.

Pensa a questo: se 100 persone entrano nella stanza invisibile, la matematica dice che dovrebbero essere tutti ugualmente anonimi. Ma a causa di questi errori comportamentali, i ricercatori potevano dire con certezza: "Sappiamo con certezza che la Persona #17 è la stessa persona che è uscita come Persona #42".

Inoltre, hanno usato un programma per computer per risolvere i "puzzle matematici" (il problema dello zaino). Questo non forniva sempre una singola risposta, ma ha ridotto l' "anonimato" (il numero di possibili sospettati) di circa 3,4 bit per ogni transazione. In parole povere, la cerchia dei potenziali sospettati si è ristretta significativamente, rendendo molto più facile indovinare chi è chi.

Il Problema del "Fast-Forward" (Tempistica)

Il documento evidenzia anche un problema di tempistica. Molti utenti trattano il mixer come un tunnel veloce: mettono i soldi dentro e li ritirano quasi immediatamente (spesso entro un giorno).

L'Analogia: Se entri in una stanza affollata ed esci 10 secondi dopo, ci sono solo poche persone che potresti essere. Se rimani per un mese, potresti essere chiunque.
La Realtà: I ricercatori hanno scoperto che l'utente "mediano" aspettava meno di un giorno. Questa minuscola finestra temporale rende incredibilmente facile indovinare cosa è stato depositato e da chi.

Cosa Dovresti Fare? (Il Consiglio)

Il documento si conclude con una lista di "cose da non fare" per chiunque voglia mantenere l'anonimato:

Non usare mai la stessa porta: Usa sempre un nuovo indirizzo per ritirare i tuoi soldi.
Non salutare gli amici: Non inviare denaro tra il tuo indirizzo di deposito e quello di prelievo.
Prendi il taxi: Usa sempre un "relayer" terzo per pagare le tue commissioni, in modo che il tuo indirizzo non venga visto mentre paga l'uscita.
Non essere prevedibile: Non depositare e prelevare esattamente gli stessi importi. Mescola le cose, o effettua alcune transazioni interne (come lo scambio di token) all'interno del pool per rimescolare i numeri.
Aspetta che passi il tempo: Non avere fretta. Resta nel pool per settimane o mesi, in modo che il tuo prelievo si perda in una folla più grande.

Conclusione

Il messaggio principale del documento è che la privacy non riguarda solo la matematica; riguarda il comportamento. Anche se il "mantello" è fatto del tessuto magico più resistente, se lo indossi mentre saluti i tuoi amici, corri in linea retta o lasci le tue impronte nel fango, il mantello non ti salverà. I ricercatori non hanno rotto la magia; hanno solo dimostrato come gli utenti stiano accidentalmente strappando il tessuto da soli.

Sintesi Tecnica: Un Mantello dell'Invisibilità Logoro: Misurare la Perdita di Anonimato in Railgun su Ethereum

1. Definizione del Problema

Sebbene i protocolli di privacy crittografica come Railgun su Ethereum utilizzino prove a conoscenza zero (zero-knowledge proofs) per nascondere il legame tra le transazioni di deposito e di prelievo, l'anonimato pratico fornito agli utenti è spesso compromesso dalla fuga di informazioni comportamentali (behavioral leakage). A differenza del sistema bancario tradizionale, dove le cronologie delle transazioni sono private, le blockchain pubbliche espongono gli importi delle transazioni, i tempi e le relazioni grafiche. Gli autori sostengono che, anche se il protocollo crittografico sottostante è sicuro, i comportamenti degli utenti — come i pattern temporali, il riutilizzo degli indirizzi e gli importi transazionali distintivi — possono ridurre significativamente l'insieme di anonimato effettivo. Il documento investiga l'entità con cui queste tracce comportamentali permettono a un avversario di collegare euristicamente un prelievo specifico al suo corrispondente deposito nel pool protetto di Railgun.

2. Metodologia

Lo studio impiega un modello di avversario passivo, utilizzando esclusivamente dati pubblicamente disponibili dalla blockchain Ethereum Layer-1. Gli autori hanno raccolto un dataset completo di transazioni Railgun (depositi, prelievi, trasferimenti interni e swap) fino a maggio 2026. Hanno formulato cinque euristiche distinte per identificare legami plausibili tra le transazioni di deposito ( $d_i$ ) e le transazioni di prelievo ( $w_j$ ):

Riutilizzo dell'Indirizzo (H1): Identifica i legami in cui l'indirizzo di prelievo è identico a un precedente indirizzo di deposito. Questa euristica è deterministica e produce, per definizione, zero falsi positivi.
Collegamento Transazionale Diretto (H2): Rileva i legami in cui esiste una transazione on-chain tra un indirizzo di deposito e un indirizzo di prelievo (in entrambe le direzioni), accade spesso quando un utente ricarica un indirizzo di prelievo con fondi dal proprio indirizzo di deposito per coprire le commissioni del gas.
Riutilizzo dell'Indirizzo che Paga il Gas (H3): Analizza il mittente della transazione di prelievo. Se un utente trasmette il proprio prelievo (self-broadcast) anziché utilizzare un relayer terzo, e l'indirizzo che paga il gas corrisponde a un noto depositante, si stabilisce un legame.
Corrispondenza Knapsack (H4): Tratta il problema come un problema di subset sum (knapsack). Tenta di trovare un sottoinsieme di depositi precedenti il cui importo sommi a un determinato importo di prelievo (entro una tolleranza $\epsilon$ per le commissioni). Gli autori hanno adattato l'algoritmo di programmazione dinamica di Pisinger per risolvere questi casi in modo efficiente.
Impronte Digitali dell'Importo (H5): Esamina l'espansione decimale degli importi delle transazioni. Cerca "impronte digitali" uniche (specificamente le prime tre cifre frazionarie non nulle) che si preservano tra depositi e prelievi, assumendo che gli utenti non randomizzino completamente i valori delle loro transazioni.

Lo studio ha inoltre utilizzato la Legge di Little per stimare il tempo medio di residenza dei fondi nel pool e ha analizzato la distribuzione degli intervalli temporali tra depositi e prelievi.

3. Contributi Chiave

Prospettiva della Fuga Comportamentale: Il documento sposta l'attenzione dalle vulnerabilità crittografiche all'interazione tra il design del protocollo e il comportamento dell'utente, dimostrando come le informazioni side-channel riducano l'anonimato.
Framework Euristico: Gli autori introducono e formalizzano cinque euristiche specifiche (H1–H5) adattate alla natura flessibile di Railgun, che supporta importi arbitrari e transazioni interne, a differenza di mixer a denominazione fissa come Tornado Cash.
Misurazione Empirica: Lo studio fornisce la prima misurazione su larga scala della perdita di anonimato in Railgun, quantificando la riduzione dell'insieme di anonimato effettivo basata su dati osservabili on-chain.
Rilascio Open-Source: Gli autori hanno rilasciato il dataset raccolto e il codice di analisi per facilitare ulteriori ricerche sulla misurazione della privacy.

4. Risultati

L'applicazione di queste euristiche al dataset di Railgun ha prodotto i seguenti risultati:

Tasso di Collegamento: Le prime quattro euristiche (H1–H4) hanno collegato con successo in modo univoco il 17,65% di tutte le transazioni di prelievo a una singola transazione di deposito. Nello specifico:
- H1 (Riutilizzo Indirizzo) ha collegato il 6,10% dei prelievi.
- H2 (Collegamento Diretto Tx) ha collegato l'8,98% dei prelievi.
- H3 (Riutilizzo Pagatore Gas) ha collegato il 2,20% dei prelievi.
- H4 (Corrispondenza Knapsack) ha collegato il 4,41% dei prelievi.
Sensibilità Temporale: Il tempo mediano tra deposito e prelievo per le coppie collegate è stato di 0,84 giorni, indicando che una parte significativa degli utenti tratta il pool come un semplice mixer piuttosto che come uno strumento di privacy a lungo termine. Questo ciclo rapido riduce drasticamente l'insieme di anonimato effettivo.
Analisi Knapsack: Il risolutore knapsack ha prodotto una perdita di anonimato mediana di 3,42 bit per le transazioni di prelievo, il che significa che l'incertezza riguardo alla fonte dei fondi è stata ridotta di questo importo per il caso mediano.
Fingerprinting: Sebbene il test di Kolmogorov–Smirnov abbia mostrato differenze statistiche nelle impronte degli importi, gli autori hanno scoperto che le impronte degli importi frazionari (H5) non erano sufficientemente affidabili per un de-anonimizzazione autonoma a causa del rumore generato dalle commissioni di transazione e dagli effetti di arrotondamento globale.
Utilizzo del Pool: Solo il 15,00% dell'ETH depositato rimaneva nel pool protetto al momento della misurazione, suggerendo che la maggior parte degli utenti preleva rapidamente. Il tempo medio di residenza stimato era di circa 183 giorni, ma il comportamento mediano era molto più veloce.

5. Significato e Rivendicazioni

Il documento afferma che, sebbene Railgun fornisca una forte garanzia crittografica di unlinkability (non collegabilità), la privacy pratica è sostanzialmente più debole a causa del comportamento dell'utente. Gli autori sottolineano che:

L'anonimato non è assoluto: Anche in sistemi con ampi insiemi di anonimato nominale, i pattern comportamentali possono restringere l'insieme delle origini plausibili a un singolo utente o a un gruppo molto piccolo.
Protocollo vs. Comportamento: La perdita di anonimato documentata deriva dall'interazione tra il protocollo e il comportamento dell'utente, non da un fallimento del sistema di prova a conoscenza zero in sé.
Approfondimenti Azionabili: Lo studio fornisce raccomandazioni specifiche per gli utenti per migliorare la propria privacy, come l'uso costante di relayer terzi, l'evitare il riutilizzo degli indirizzi, attendere più a lungo prima di prelevare e l'evitare importi transazionali psicologicamente rilevanti o tondi.
Implicazioni di Design: Gli autori suggeriscono che i futuri protocolli di privacy potrebbero imporre tempi minimi di residenza o offrire livelli a denominazione fissa per mitigare i canali di fuga specifici identificati (H4 e H5).

Gli autori concludono che il loro lavoro evidenzia la "posizione fragile" delle infrastrutture che potenziano la privacy, dove l'utilità del sistema (flessibilità, velocità) spesso entra in conflitto con l'ideale di anonimato totale. Essi dichiarano esplicitamente che i loro risultati non identificano identità del mondo reale, ma dimostrano piuttosto i legami probabilistici disponibili per qualsiasi analista di blockchain passivo.