💻 computer science

A Tattered Cloak of Invisibility: Measuring Anonymity Loss in Railgun on Ethereum

Dit artikel toont aan dat ondanks de sterke cryptografische fundamenten van Railgun op Ethereum, gebruikersgedragspatronen zoals timing, adreshergebruik en transactiebedragen de anonimiteit aanzienlijk kunnen compromitteren, waardoor heuristieken erin slagen om 17,65% van de opnames uniek te koppelen aan stortingen en een mediaan anonimiteitsverlies van 3,42 bits te veroorzaken.

Oorspronkelijke auteurs: Kanan Huseynov, Ali Shahzaib, István András Seres, János Tapolcai

Gepubliceerd 2026-06-25

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Kanan Huseynov, Ali Shahzaib, István András Seres, János Tapolcai

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een enorme, transparante bank binnenloopt waar iedereen je naam, je saldo en elke transactie die je ooit hebt gedaan, kan zien. Dat is hoe de meeste publieke blockchains (zoals Ethereum) werken. Om dit op te lossen, hebben mensen "mixers" gebouwd zoals Railgun. Zie Railgun als een technologisch hoogwaardige, magische onzichtbaarheidsmantel. Je loopt naar binnen, geeft je geld af, en de mantel vermengt het met het geld van duizenden anderen. Wanneer je naar buiten loopt, krijg je je geld terug, maar in theorie weet niemand uit welke stapel contant geld jij oorspronkelijk je geld hebt gestopt.

De paper die je hebt verstrekt, getiteld "A Tattered Cloak of Invisibility," stelt een eenvoudige maar angstaanjagende vraag: Is de mantel daadwerkelijk gescheurd?

De auteurs (een team onderzoekers uit Hongarije) betogen dat hoewel de wiskunde achter de mantel perfect is, de mensen die hem dragen onhandig zijn. Zelfs als de magie foutloos is, laten gebruikers gedragsmatige voetsporen achter waarmee waarnemers de mantel weer aan elkaar kunnen naaien om te ontdekken wie je bent.

Hier is hoe ze de gaten in de mantel vonden, uitgelegd aan de hand van alledaagse analogieën:

De Vijf Manieren waarop de Mantel Gescheurd Raakt

De onderzoekers identificeerden vijf specifieke manieren waarop gebruikers onbedoeld hun identiteit onthullen:

1. De "Dezelfde Deur" Fout (Address Reuse)

De Analogie: Stel je voor dat je een magische kamer binnenkomt via een voordeur met het label "John". Je krijgt je onzichtbaarheidsmantel, mengt je geld, en besluit vervolgens via exact dezelfde voordeur met het label "John" weer naar buiten te gaan.
De Realiteit: In de digitale wereld wordt dit Address Reuse genoemd. Als je hetzelfde digitale adres gebruikt om geld erin te doen en er weer uit te halen, is de mantel nutteloos. De onderzoekers vonden dat ongeveer 6% van de gebruikers deze fout maakte, waardoor hun storting direct werd gekoppeld aan hun opname.

2. De "Vriendelijke Zwaai" (Direct Transactions)

De Analogie: Je gaat een magische kamer binnen, krijgt je mantel, en loopt vervolgens direct weer naar buiten om naar je vriend te zwaaien (die vlak buiten de kamer staat). Zelfs als je binnen onzichtbaar bent, verbindt die zwaai je met je vriend.
De Realiteit: Gebruikers sturen vaak geld van hun "deposit"-adres naar hun "withdrawal"-adres (of andersom) om gas fees te betalen of saldi aan te vullen. Dit creëert een directe digitale handdruk. De onderzoekers vonden dat dit in ongeveer 9% van de gevallen gebeurde.

3. De "Taxi Chauffeur" Lek (Gas Payer Reuse)

De Analogie: Om de magische kamer te verlaten, moet je een taxichauffeur (een "relayer") betalen omdat je zelf geen contant geld bij je hebt. Meestal rijdt een vreemde je. Maar soms rijd je zelf. Als je zelf rijdt, is je nummerplaat (je deposit address) zichtbaar op de auto, wat onthult wie je bent.
De Realiteit: Bij een opname moet je een transactiekost betalen. Als je niet een derde partij "relayer" gebruikt om deze kosten te betalen, betaal je deze misschien vanuit je eigen deposit address. De onderzoekers vonden dat veel gebruikers dit deden, waardoor ongeveer 2% van de opnames direct aan hun stortingen werd gekoppeld.

4. De "Puzzel" (Knapsack Matching)

De Analogie: Stel je voor dat je drie specifieke biljetten in een machine stopt: een $5, een $10 en een $20. Later neem je precies $35 eruit. Zelfs als de machine het geld heeft gemengd, is het feit dat $5 +$ 10 + $20 =$ 35 een enorme aanwijzing.
De Realiteit: Railgun staat toe dat je elk bedrag stort. Als je specifieke bedragen stort (zoals 1,5 ETH en 2,3 ETH) en later exact 3,8 ETH opneemt, kan een computer deze "wiskundige puzzel" (de zogenaamde knapsack problem) oplossen en raden dat jouw opname afkomstig is van die specifieke stortingen. Dit geeft niet altijd een 100% match, maar het verkleint de lijst met verdachten drastisch.

5. De "Vingerafdruk" (Amount Fingerprints)

De Analogie: Je stopt een heel specifiek, vreemd bedrag in, zoals $12,3456789. Wanneer je het eruit haalt, neem je $12,3456789 eruit (minus een kleine vergoeding). Die specifieke reeks cijfers is als een unieke vingerafdruk.
De Realiteit: In tegenstelling tot oudere mixers die alleen ronde getallen accepteerden (zoals precies $100), accepteert Railgun elk bedrag. Als je een "psychologisch opvallend" getal stort (zoals 1,234567), behoud je de neiging om die specifieke cijfers ook bij de opname aan te houden. De onderzoekers vonden dat dit op zichzelf geen perfecte link was, maar het voegde wel toe aan de andere aanwijzingen.

Het Grote Resultaat

Door deze vijf aanwijzingen te combineren, waren de onderzoekers in staat om 17,65% van alle opnames uniek te koppelen aan een specifieke storting.

Denk er zo over na: Als 100 mensen een onzichtbare kamer binnenlopen, zegt de wiskunde dat ze allemaal even anoniem zouden moeten zijn. Maar door deze gedragsmatige fouten konden de onderzoekers met zekerheid zeggen: "We weten zeker dat Persoon #17 dezelfde persoon is die naar buiten kwam als Persoon #42."

Bovendien gebruikten ze een computerprogramma om de "wiskundige puzzels" (het knapsack-probleem) op te lossen. Dit gaf niet altijd één enkel antwoord, maar verminderde de "anonimiteit" (het aantal mogelijke verdachten) met ongeveer 3,4 bits voor elke transactie. In gewone mensentaal betekent dit dat de groep potentiële verdachten aanzienlijk kleiner werd, waardoor het veel gemakkelijker werd om te raden wie wie is.

Het "Fast-Forward" Probleem (Timing)

De paper belicht ook een timing-probleem. Veel gebruikers behandelen de mixer als een snelle tunnel: ze storten geld en halen het bijna onmiddellijk er weer uit (vaak binnen één dag).

De Analogie: Als je een drukke kamer binnenloopt en 10 seconden later weer naar buiten komt, zijn er slechts enkele mensen die jij zou kunnen zijn. Als je een maand blijft, kun je iedereen zijn.
De Realiteit: De onderzoekers ontdekten dat de "mediaan" gebruiker minder dan één dag wachtte. Dit kleine tijdsbestek maakt het extreem gemakkelijk om te raden wat er is gestort.

Wat Moet Je Doen? (Het Advies)

De paper concludeert met een lijst van "niet doen" voor iedereen die anoniem wil blijven:

Gebruik nooit dezelfde deur: Gebruik altijd een nieuw adres om je geld eruit te halen.
Waw niet naar vrienden: Stuur geen geld tussen je deposit- en withdrawal-adressen.
Neem de taxi: Gebruik altijd een derde partij "relayer" om je kosten te betalen, zodat je eigen adres niet gezien wordt terwijl het de exit betaalt.
Wees niet voorspelbaar: Stort en neem niet exact dezelfde bedragen op. Wissel het af, of doe bijvoorbeeld interne transacties (zoals het wisselen van tokens) binnen de pool om de getallen te door elkaar te husselen.
Wacht het uit: Haast je niet. Blijf weken of maanden in de pool zodat je opname verloren gaat in een grotere menigte.

De Kernboodschap

De belangrijkste boodschap van de paper is dat privacy niet alleen over de wiskunde gaat, maar over gedrag. Zelfs als de "mantel" gemaakt is van het sterkste magische weefsel, is de mantel nutteloos als je hem draagt terwijl je naar je vrienden zwaait, in een rechte lijn rent of je voetsporen in de modder achterlaat. De onderzoekers hebben de magie niet gebroken; ze hebben slechts aangetoond hoe gebruikers de stof per ongeluk zelf verscheuren.

Technische Samenvatting: Een Versleten Onzichtbaarheidsmantel: Het Meten van Anonimiteitsverlies in Railgun op Ethereum

1. Probleemstelling

Hoewel cryptografische privacyprotocollen zoals Railgun op Ethereum gebruikmaken van zero-knowledge bewijzen om de link tussen stortings- en opname-transacties te verbergen, wordt de praktische anonimiteit die aan gebruikers wordt geboden vaak aangetast door gedragsmatige lekkage. In tegenstelling tot traditioneel bankieren, waarbij transactiegeschiedenissen privé zijn, leggen publieke blockchains transactiebedragen, timing en grafische relaties bloot. De auteurs stellen dat zelfs als het onderliggende cryptografische protocol veilig is, gebruikersgedragingen—zoals timingpatronen, adreshergebruik en kenmerkende transactiebedragen—de effectieve anonimiteitsset aanzienlijk kunnen verkleinen. Het artikel onderzoekt in welke mate deze gedragssporen een tegenstander in staat stellen om heuristisch een specifieke opname te koppelen aan de bijbehorende storting in de Railgun-shielded pool.

2. Methodologie

De studie maakt gebruik van een passief tegenstandermodel, waarbij uitsluitend gebruik wordt gemaakt van publiekelijk beschikbare gegevens van de Ethereum Layer-1 blockchain. De auteurs verzamelden een uitgebreide dataset van Railgun-transacties (stortingen, opnames, interne transfers en swaps) tot mei 2026. Zij formuleerden vijf verschillende heuristieken om plausibele links te identificeren tussen stortingstransacties ( $d_i$ ) en opnametransacties ( $w_j$ ):

Adreshergebruik (H1): Identificeert links waarbij het opnameadres identiek is aan een eerder gebruikt stortingsadres. Deze heuristiek is deterministisch en produceert per definitie nul fout-positieven.
Directe Transactionele Koppeling (H2): Detecteert links waarbij een transactie op de chain bestaat tussen een stortingsadres en een opnameadres (in beide richtingen), wat vaak voorkomt wanneer gebruikers een opnameadres aanvullen met fondsen van hun stortingsadres om de gas fees te dekken.
Gas Payer Adreshergebruik (H3): Analyseert de afzender van de opnametransactie. Als een gebruiker zijn eigen opname uitzendt (self-broadcast) in plaats van een externe relayer te gebruiken, en het gas-betalende adres overeenkomt met een bekende stortende partij, wordt er een link gelegd.
Knapsack Matching (H4): Behandelt het probleem als een subset-som (knapsack) probleem. Het probeert een subset van eerdere stortingen te vinden waarvan de bedragen samen een specifiek opnamebedrag vormen (binnen een tolerantie $\epsilon$ voor kosten). De auteurs pasten Pisinger's dynamisch programmeringsalgoritme aan om deze instanties efficiënt op te lossen.
Bedrag-vingerafdrukken (H5): Onderzoekt de decimale expansie van transactiebedragen. Het zoekt naar unieke "vingerafdrukken" (specifiek de eerste drie niet-nul fractionele cijfers) die behouden blijven tussen stortingen en opnames, uitgaande van het feit dat gebruikers hun transactiewaarden niet volledig randomiseren.

De studie maakte ook gebruik van Little's Law om de gemiddelde verblijfstijd van fondsen in de pool te schatten en analyseerde de distributie van tijdsintervallen tussen stortingen en opnames.

3. Belangrijkste Bijdragen

Perspectief op Gedragsmatige Lekkage: Het artikel verschuift de focus van cryptografische kwetsbaarheden naar de interactie tussen protocolontwerp en gebruikersgedrag, en laat zien hoe zijdezijige informatie de anonimiteit vermindert.
Heuristisch Kader: De auteurs introduceren en formaliseren vijf specifieke heuristieken (H1–H5) die zijn afgestemd op de flexibele aard van Railgun, dat willekeurige bedragen en interne transacties ondersteunt, in tegenstelling tot mixers met vaste denominaties zoals Tornado Cash.
Empirische Meting: De studie biedt de eerste grootschalige meting van anonimiteitsverlies in Railgun, waarbij de reductie van de effectieve anonimiteitsset wordt gekwantificeerd op basis van observeerbare on-chain gegevens.
Open-Source Release: De auteurs hebben de verzamelde dataset en de analysecode vrijgegeven om verder onderzoek naar privacy-meting te faciliteren.

4. Resultaten

De toepassing van deze heuristieken op de Railgun-dataset leverde de volgende bevindingen op:

Koppelingspercentage: De eerste vier heuristieken (H1–H4) slaagden erin om 17,65% van alle opnametransacties uniek te koppelen aan een enkele stortingstransactie. Specifiek:
- H1 (Adreshergebruik) koppelde 6,10% van de opnames.
- H2 (Directe Tx Link) koppelde 8,98% van de opnames.
- H3 (Gas Payer Hergebruik) koppelde 2,20% van de opnames.
- H4 (Knapsack Matching) koppelde 4,41% van de opnames.
Tijdsgevoeligheid: De mediaan-tijd tussen storting en opname voor gekoppelde paren was 0,84 dagen, wat aangeeft dat een aanzienlijk deel van de gebruikers de pool behandelt als een eenvoudige mixer in plaats van een langetermijn-privacytool. Dit snelle cyclische proces vermindert de effectieve anonimiteitsset drastisch.
Knapsack-analyse: De knapsack-solver produceerde een mediane anonimiteitsverlies van 3,42 bits voor opnametransacties, wat betekent dat de onzekerheid over de bron van de fondsen met dit bedrag werd verminderd in het mediane geval.
Vingerafdrukken: Hoewel de Kolmogorov–Smirnov-test statistische verschillen in bedrag-vingerafdrukken aantoonde, stelden de auteurs vast dat fractionele bedrag-vingerafdrukken (H5) niet voldoende betrouwbaar waren voor zelfstandige de-anonimisering vanwege ruis door transactiekosten en globale afrondingseffecten.
Poolgebruik: Slechts 15,00% van de gestorte ETH bleef in de shielded pool op het moment van meting, wat suggereert dat de meeste gebruikers snel opnemen. De geschatte gemiddelde verblijfstijd was ongeveer 183 dagen, maar het mediane gedrag was veel sneller.

5. Betekenis en Claims

Het artikel claimt dat hoewel Railgun een sterke cryptografische garantie van onkoppeling biedt, de praktische privacy aanzienlijk zwakker is door gebruikersgedrag. De auteurs benadrukken dat:

Anonimiteit is niet absoluut: Zelfs in systemen met grote nominale anonimiteitssets kunnen gedragspatronen de set van plausibele oorsprongen verkleinen tot één enkele gebruiker of een zeer kleine groep.
Protocol versus Gedrag: Het gedocumenteerde anonimiteitsverlies komt voort uit de interactie tussen het protocol en gebruikersgedrag, en niet uit een falen van het zero-knowledge bewijs systeem zelf.
Actiegerichte Inzichten: De studie biedt specifieke aanbevelingen voor gebruikers om hun privacy te verbeteren, zoals het altijd gebruiken van externe relayers, het vermijden van adreshergebruik, het langer wachten voor opnames, en het vermijden van psychologisch saillante of ronde transactiebedragen.
Ontwerpimplicaties: De auteurs suggereren dat toekomstige privacyprotocollen minimale verblijftijden zouden kunnen afdwingen of vaste denominatie-niveaus zouden kunnen aanbieden om de geïdentificeerde specifieke lekkagekanalen (H4 en H5) te mitigeren.

De auteurs concluderen dat hun werk de "fragiele positie" van privacy-verbeterende infrastructuur belicht, waarbij het nut van het systeem (flexibiliteit, snelheid) vaak botst met het ideaal van totale anonimiteit. Zij verklaren expliciet dat hun bevindingen geen real-world identiteiten identificeren, maar eerder de probabilistische links demonstreren die beschikbaar zijn voor elke passieve blockchain-analist.