💻 computer science

A Tattered Cloak of Invisibility: Measuring Anonymity Loss in Railgun on Ethereum

Este artigo demonstra que, apesar das fortes fundações criptográficas do Railgun na Ethereum, padrões comportamentais do usuário, como tempo, reutilização de endereços e valores de transação, podem comprometer significativamente o anonimato, permitindo que heurísticas vinculem de forma única 17,65% dos saques a depósitos e causem uma perda mediana de anonimato de 3,42 bits.

Autores originais: Kanan Huseynov, Ali Shahzaib, István András Seres, János Tapolcai

Publicado 2026-06-25

📖 7 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Kanan Huseynov, Ali Shahzaib, István András Seres, János Tapolcai

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você entra em um banco gigante e transparente onde todos podem ver seu nome, seu saldo e cada transação que você já fez. É assim que a maioria das blockchains públicas (como a Ethereum) funciona. Para consertar isso, as pessoas construíram "mixers" como o Railgun. Pense no Railgun como uma capa de invisibilidade tecnológica e mágica. Você entra, entrega seu dinheiro, a capa o mistura com o dinheiro de milhares de outras pessoas e, quando você sai, recebe seu dinheiro de volta, mas, teoricamente, ninguém sabe em qual pilha de dinheiro você colocou originalmente.

O artigo fornecido, intitulado "A Tattered Cloak of Invisibility" (Uma Capa de Invisibilidade Esfarrapada), faz uma pergunta simples, mas assustadora: A capa está realmente rasgada?

Os autores (uma equipe de pesquisadores da Hungria) argumentam que, embora a matemática por trás da capa seja perfeita, as pessoas que a usam são desastradas. Mesmo que a magia seja impecável, os usuários deixam rastros comportamentais que permitem aos observadores costurar a capa de volta e descobrir quem você é.

Aqui está como eles encontraram os buracos na capa, explicados através de analogias do cotidiano:

As Cinco Maneiras Como a Capa se Esgarça

Os pesquisadores identificaram cinco maneiras específicas pelas quais os usuários revelam acidentalmente sua identidade:

1. O Erro da "Mesma Porta" (Reuso de Endereço)

A Analogia: Imagine que você entra em uma sala mágica pela porta da frente rotulada como "João". Você recebe sua capa de invisibilidade, mistura seu dinheiro e depois decide sair pela exata mesma porta da frente rotulada como "João".
A Realidade: No mundo digital, isso é chamado de Reuso de Endereço. Se você usa o mesmo endereço digital para colocar o dinheiro e para retirá-lo, a capa é inútil. Os pesquisadores descobriram que cerca de 6% dos usuários cometeram esse erro, vinculando instantaneamente seu depósito à sua retirada.

2. O "Aceno Amigável" (Transações Diretas)

A Analogia: Você entra na sala mágica, recebe sua capa e, imediatamente, sai e acena para seu amigo (que está parado logo ali fora da sala). Mesmo que você esteja invisível dentro da sala, esse aceno conecta você ao seu amigo.
A Realidade: Usuários frequentemente enviam dinheiro de seu endereço de "depósito" para seu endereço de "retirada" (ou vice-versa) para pagar taxas de gás ou complementar saldos. Isso cria um aperto de mão digital direto. Os pesquisadores descobriram que isso aconteceu em cerca de 9% dos casos.

3. O Vazamento do "Taxista" (Reuso de Pagador de Gás)

A Analogia: Para sair da sala mágica, você precisa pagar um taxista (um "relayer") porque está sem dinheiro vivo. Geralmente, um estranho te leva. Mas, às vezes, você mesmo dirige. Se você dirigir a si mesmo, sua placa de identificação (seu endereço de depósito) estará visível no carro, revelando quem você é.
A Realidade: Ao realizar uma retirada, você precisa pagar uma taxa de transação. Se você não usar um "relayer" de terceiros para pagar essa taxa, pode pagá-la a partir do seu próprio endereço de depósito. Os pesquisadores descobriram que muitos usuários fizeram isso, vinculando cerca de 2% das retiradas diretamente aos seus depósitos.

4. O "Quebra-Cabeça" (Correspondência de Mochila/Knapsack)

A Analogia: Imagine que você coloca três notas específicas em uma máquina: uma de \ $5, uma de \$ 10 e uma de \ $20. Mais tarde, você retira exatamente \$ 35. Mesmo que a máquina tenha misturado o dinheiro, o fato de \ $5 + \$ 10 + \ $20 = \$ 35 é uma pista enorme.
A Realidade: O Railgun permite que você deposite qualquer valor. Se você deposita valores específicos (como 1,5 ETH e 2,3 ETH) e depois retira exatamente 3,8 ETH, um computador pode resolver este "quebra-cabeça matemático" (chamado de problema da mochila ou knapsack problem) e adivinhar que sua retirada veio daqueles depósitos específicos. Isso nem sempre dá uma correspondência de 100%, mas reduz drasticamente a lista de suspeitos.

5. A "Impressão Digital" (Impressões Digitais de Valor)

A Analogia: Você coloca uma quantia de dinheiro muito específica e estranha, como \ $12,3456789. Quando retira, você retira \$ 12,3456789 (menos uma pequena taxa). Essa sequência específica de números é como uma impressão digital única.
A Realidade: Diferente de mixers mais antigos que aceitavam apenas números redondos (como exatamente $100), o Railgun aceita qualquer número. Se você deposita um número "psicologicamente saliente" (como 1,234567), você tende a manter esses dígitos específicos ao retirar. Os pesquisadores descobriram que, embora isso não fosse um elo perfeito por si só, adicionava pistas às outras.

O Grande Resultado

Ao combinar essas cinco pistas, os pesquisadores foram capazes de vincular de forma única 17,65% de todas as retiradas a um depósito específico.

Pense desta forma: se 100 pessoas entram na sala invisível, a matemática diz que todas deveriam ser igualmente anônimas. Mas, devido a esses erros comportamentais, os pesquisadores puderam dizer com confiança: "Sabemos com certeza que a Pessoa nº 17 é a mesma pessoa que saiu como a Pessoa nº 42".

Além disso, eles usaram um programa de computador para resolver os "quebra-cabeças matemáticos" (o problema da mochila). Isso nem sempre dava uma resposta única, mas reduziu a "anonimidade" (o número de possíveis suspeitos) em cerca de 3,4 bits para cada transação. Em termos simples, o grupo de potenciais suspeitos encolheu significativamente, tornando muito mais fácil adivinhar quem é quem.

O Problema do "Acelerar o Passo" (Tempo)

O artigo também destaca um problema de tempo. Muitos usuários tratam o mixer como um túnel rápido: colocam o dinheiro e o retiram quase imediatamente (frequentemente em menos de um dia).

A Analogia: Se você entra em uma sala lotada e sai 10 segundos depois, há poucas pessoas que você poderia ser. Se você ficar por um mês, você pode ser qualquer um.
A Realidade: Os pesquisadores descobriram que o usuário "mediano" esperava menos de um dia. Essa pequena janela torna extremamente fácil adivinhar o que foi depositado, independentemente de quantas pessoas estejam no grupo.

O Que Você Deve Fazer? (O Conselho)

O artigo conclui com uma lista de "não faça" para qualquer pessoa que queira manter o anonimato:

Nunca use a mesma porta: Sempre use um endereço novo para retirar seu dinheiro.
Não acene para seus amigos: Não envie dinheiro entre seu endereço de depósito e seu endereço de retirada.
Pegue o táxi: Sempre use um "relayer" de terceiros para pagar suas taxas, para que seu próprio endereço não seja visto pagando pela saída.
Não seja previsível: Não deposite e retire exatamente os mesmos valores. Varie os valores ou faça algumas transações internas (como trocar tokens) dentro do pool para misturar os números.
Espere o tempo passar: Não tenha pressa. Permaneça no pool por semanas ou meses para que sua retirada se perca em uma multidão maior.

A Conclusão Principal

A mensagem principal do artigo é que a privacidade não é apenas sobre a matemática; é sobre o comportamento. Mesmo que a "capa" seja feita do tecido mágico mais forte, se você a usar enquanto acena para seus amigos, corre em linha reta ou deixa suas pegadas na lama, a capa não o salvará. Os pesquisadores não quebraram a magia; eles apenas mostraram como os próprios usuários estão, acidentalmente, rasgando o tecido.

Resumo Técnico: Um Manto de Invisibilidade Esfarrapado: Medindo a Perda de Anonimato no Railgun na Ethereum

1. Definição do Problema

Embora os protocolos de privacidade criptográfica como o Railgun na Ethereum utilizem provas de conhecimento zero para ocultar o vínculo entre transações de depósito e saque, a anonimidade prática fornecida aos usuários é frequentemente comprometida por vazamentos comportamentais. Diferente do sistema bancário tradicional, onde os históricos de transações são privados, as blockchains públicas expõem valores de transação, tempo e relações de grafos. Os autores argumentam que, mesmo que o protocolo criptográfico subjacente seja seguro, os comportamentos dos usuários — como padrões de tempo, reutilização de endereços e valores de transação distintos — podem reduzir significativamente o conjunto de anonimato efetivo. O artigo investiga até que ponto esses rastros comportamentais permitem que um adversário vincule heuristicamente um saque específico ao seu depósito correspondente no pool protegido do Railgun.

2. Metodologia

O estudo emprega um modelo de adversário passivo, utilizando apenas dados publicamente disponíveis da blockchain Ethereum Layer-1. Os autores coletaram um conjunto abrangente de dados de transações do Railgun (depósitos, saques, transferências internas e trocas/swaps) até maio de 2026. Eles formularam cinco heurísticas distintas para identificar vínculos plausíveis entre transações de depósito ( $d_i$ ) e de saque ( $w_j$ ):

Reutilização de Endereço (H1): Identifica vínculos onde o endereço de saque é idêntico a um endereço de depósito anterior. Esta heurística é determinística e produz zero falsos positivos por definição.
Vinculação Transacional Direta (H2): Detecta vínculos onde existe uma transação on-chain entre um endereço de depósito e um endereço de saque (em qualquer direção), ocorrendo frequentemente quando usuários abastecem um endereço de saque com fundos de seu endereço de depósito para cobrir taxas de gás.
Reutilização de Endereço Pagador de Gás (H3): Analisa o remetente da transação de saque. Se um usuário transmite seu próprio saque (auto-transmissão) em vez de usar um relayer de terceiros, e o endereço pagador do gás coincide com um depositante conhecido, um vínculo é estabelecido.
Problema da Mochila (Knapsack Matching) (H4): Trata o problema como um problema de soma de subconjuntos (mochila). Tenta encontrar um subconjunto de depósitos anteriores cujos valores somem a um valor de saque específico (dentante de uma tolerância $\epsilon$ para taxas). Os autores adaptaram o algoritmo de programação dinâmica de Pisinger para resolver essas instâncias de forma eficiente.
Impressões Digitais de Valor (Amount Fingerprints) (H5): Examina a expansão decimal dos valores das transações. Busca por "impressões digitais" únicas (especificamente os três primeiros dígitos fracionários não nulos) que são preservadas entre depósitos e saques, assumindo que os usuários não randomizam totalmente os valores de suas transações.

O estudo também utilizou a Lei de Little para estimar o tempo médio de residência dos fundos no pool e analisou a distribuição dos intervalos de tempo entre depósitos e saques.

3. Principais Contribuições

Perspectiva de Vazamento Comportamental: O artigo desloca o foco das vulnerabilidades criptográficas para a interação entre o design do protocolo e o comportamento do usuário, demonstrando como informações de canal lateral reduzem o anonimato.
Estrutura Heurística: Os autores introduzem e formalizam cinco heurísticas específicas (H1–H5) adaptadas à natureza flexível do Railgun, que suporta valores arbitrários e transações internas, ao contrário de mixers de denominação fixa como o Tornado Cash.
Medição Empírica: O estudo fornece a primeira medição em larga escala da perda de anonimato no Railgun, quantificando a redução do conjunto de anonimato efetivo com base em dados observáveis on-chain.
Lançamento de Código Aberto: Os autores disponibilizaram o conjunto de dados coletado e o código de análise para facilitar futuras pesquisas sobre medição de privacidade.

4. Resultados

A aplicação dessas heurísticas ao conjunto de dados do Railgun gerou os seguintes achados:

Taxa de Vinculação: As quatro primeiras heurísticas (H1–H4) vincularam com sucesso 17,65% de todas as transações de saque a uma única transação de depósito. Especificamente:
- H1 (Reutilização de Endereço) vinculou 6,10% dos saques.
- H2 (Vínculo de Transação Direta) vinculou 8,98% dos saques.
- H3 (Reutilização de Pagador de Gás) vinculou 2,20% dos saques.
- H4 (Problema da Mochila) vinculou 4,41% dos saques.
Sensibilidade ao Tempo: O tempo mediano entre o depósito e o saque para pares vinculados foi de 0,84 dias, indicando que uma parte significativa dos usuários trata o pool como um simples mixer em vez de uma ferramenta de privacidade de longo prazo. Esse ciclo rápido reduz drasticamente o conjunto de anonimato efetivo.
Análise da Mochila: O resolvedor da mochila produziu uma perda de anonimato mediana de 3,42 bits para as transações de saque, o que significa que a incerteza em relação à origem dos fundos foi reduzida por esse montante para o caso mediano.
Impressão Digital (Fingerprinting): Embora o teste de Kolmogorov–Smirnov tenha mostrado diferenças estatísticas nas impressões digitais de valores, os autores descobriram que as impressões digitais de valores fracionários (H5) não eram suficientemente confiáveis para desanonimização isolada devido ao ruído das taxas de transação e efeitos de arredondamento global.
Uso do Pool: Apenas 15,00% do ETH depositado permanecia no pool protegido no momento da medição, sugerindo que a maioria dos usuários saca rapidamente. O tempo médio de residência estimado foi de aproximadamente 183 dias, mas o comportamento mediano foi muito mais rápido.

5. Significância e Alegações

O artigo alega que, embora o Railgun forneça uma forte garantia criptográfica de desvinculabilidade, a privacidade prática é substancialmente mais fraca devido ao comportamento do usuário. Os autores enfatizam que:

A anonimidade não é absoluta: Mesmo em sistemas com grandes conjuntos de anonimato nominais, padrões comportamentais podem estreitar o conjunto de origens plausíveis para um único usuário ou um grupo muito pequeno.
Protocolo vs. Comportamento: A perda de anonimato documentada surge da interação entre o protocolo e o comportamento do usuário, não de uma falha no próprio sistema de prova de conhecimento zero.
Insights Acionáveis: O estudo fornece recomendações específicas para os usuários melhorarem sua privacidade, como sempre usar relayers de terceiros, evitar a reutilização de endereços, esperar mais tempo antes de sacar e evitar valores de transação psicologicamente salientes ou redondos.
Implicações de Design: Os autores sugerem que futuros protocolos de privacidade poderiam impor tempos mínimos de residência ou oferecer níveis de denominação fixa para mitigar os canais de vazamento específicos identificados (H4 e H5).

Os autores concluem que seu trabalho destaca a "posição frágil" da infraestrutura de aumento de privacidade, onde a utilidade do sistema (flexibilidade, velocidade) frequentemente entra em conflção com o ideal de anonimato total. Eles declaram explicitamente que seus achados não identificam identidades do mundo real, mas demonstram os vínculos probabilísticos disponíveis para qualquer analista de blockchain passivo.