Este artículo presenta un método para ocultar los montos de las transacciones en Monero, una criptomoneda anónima y altamente descentralizada. Al igual que Bitcoin, Monero se distribuye mediante un proceso de prueba de trabajo (minería). El protocolo original de Monero se basaba en CryptoNote, que utiliza firmas de anillo y claves de un solo uso para ocultar el origen y el destino de las transacciones. Recientemente, Gregory Maxwell, desarrollador de Bitcoin Core, propuso e implementó la técnica de usar un esquema de compromiso para ocultar el monto de una transacción. En este artículo, se describe un nuevo tipo de firma de anillo: una firma de grupo anónima espontánea multicapa vinculable. Esta permite ocultar los montos, orígenes y destinos de las transacciones con una eficiencia razonable y una generación de monedas verificable y sin necesidad de confianza. Se presentan algunas extensiones del protocolo, como las pruebas de rango Schnorr agregadas y la multifirma de anillo. El autor desea señalar que los primeros borradores de este trabajo se publicaron en la comunidad de Monero y en el canal IRC de investigación de Bitcoin. Los borradores con hash de blockchain están disponibles en [14], lo que demuestra que este trabajo se inició en el verano de 2015 y se completó a principios de octubre de 2015. También hay disponible una preimpresión en http://eprint.iacr.org/2015/1098.

Identificamos varios ataques de análisis de blockchain que podrían comprometer la imposibilidad de rastreo del protocolo CryptoNote 2.0. Analizamos posibles soluciones, discutimos sus ventajas y desventajas, y recomendamos mejoras al protocolo Monero que, idealmente, proporcionarán resistencia a largo plazo a la criptomoneda contra el análisis de blockchain. Nuestras recomendaciones para Monero incluyen una política de mezcla mínima a nivel de protocolo y en toda la red de n = 2 salidas externas por firma de anillo, un aumento a nivel de protocolo de este valor a n = 4 después de dos años, y un valor predeterminado a nivel de billetera de n = 4 durante ese período. También recomendamos un método de envío de salidas de Monero similar al de torrents. Asimismo, analizamos un método de selección de mezcla no uniforme y dependiente de la antigüedad para mitigar las demás formas de análisis de blockchain identificadas aquí, pero no hacemos recomendaciones formales sobre su implementación por diversas razones. Las repercusiones de estas mejoras también se discuten en detalle. Este boletín de investigación no ha sido revisado por pares y refleja únicamente los resultados de una investigación interna.

El 4 de septiembre de 2014, se llevó a cabo un ataque inusual contra la red de criptomonedas Monero. Este ataque dividió la red en dos subconjuntos distintos que se negaban a reconocer la legitimidad del otro. Esto tuvo múltiples consecuencias, algunas aún desconocidas. El atacante dispuso de un breve lapso de tiempo durante el cual pudo producirse, por ejemplo, algún tipo de falsificación. Este boletín de investigación describe las deficiencias en el código de referencia de CryptoNote que permitieron este ataque, la solución propuesta inicialmente por Rafal Freeman de Tigusoft.pl y posteriormente por el equipo de CryptoNote, la corrección actual en el código fuente de Monero y detalla el impacto del bloque malicioso en la red. Este boletín no ha sido revisado por pares y refleja únicamente los resultados de una investigación interna.

Este boletín de investigación describe un posible ataque a un sistema de anonimato basado en firmas de anillo. Nos inspiramos en el protocolo de criptomoneda CryptoNote 2.0, publicado por Nicolas van Saberhagen en 2012. Se ha demostrado que la anonimato que oculta un par de claves de un solo uso puede depender del anonimato de todas las claves utilizadas para componer dicha firma de anillo. Esto permite la posibilidad de reacciones en cadena en la trazabilidad entre firmas de anillo, lo que podría provocar una pérdida crítica de anonimato en toda la red si los parámetros se eligen incorrectamente y si un atacante controla un porcentaje suficiente de la red. Sin embargo, las firmas siguen siendo de un solo uso, y un ataque de este tipo no necesariamente vulneraría el anonimato de los usuarios. No obstante, un ataque de este tipo podría debilitar la resistencia que CryptoNote demuestra frente al análisis de la cadena de bloques. Este boletín de investigación no ha sido revisado por pares y refleja únicamente los resultados de una investigación interna.

Este documento no pretende ser un consejo financiero; es la interpretación que hacen los matemáticos del libro blanco antes de analizar el código.