В этой статье представлен метод сокрытия сумм транзакций в сильно децентрализованной анонимной криптовалюте Monero. Подобно Bitcoin, Monero — это криптовалюта, которая распространяется посредством процесса «майнинга» на основе доказательства работы (Proof-of-Work). Оригинальный протокол Monero был основан на CryptoNote, который использует кольцевые подписи и одноразовые ключи для сокрытия получателя и источника транзакций. Недавно разработчик Bitcoin Core Грегори Максвелл обсудил и реализовал метод использования схемы обязательств для сокрытия суммы транзакции. В этой статье описывается новый тип кольцевой подписи — многослойная связываемая спонтанная анонимная групповая подпись (A Multi-layered Linkable Spontaneous Anonymous Group signature), которая позволяет скрывать суммы, источники и назначения транзакций с разумной эффективностью и проверяемой, не требующей доверия генерацией монет. Представлены некоторые расширения протокола, такие как Aggregate Schnorr Range Proofs и Ring Multisignature. Автор хотел бы отметить, что ранние черновики этого протокола были опубликованы в сообществе Monero и на канале исследования биткоина IRC. Черновики хэшированного блокчейна доступны в [14], что свидетельствует о том, что эта работа была начата летом 2015 года и завершена в начале октября 2015 года. Электронная версия также доступна по адресу http://eprint.iacr.org/2015/1098.

Мы выявляем несколько атак на анализ блокчейна, способных снизить неотслеживаемость протокола CryptoNote 2.0. Мы анализируем возможные решения, обсуждаем относительные преимущества и недостатки этих решений и рекомендуем усовершенствования протокола Monero, которые, как мы надеемся, обеспечат долгосрочную устойчивость криптовалюты к анализу блокчейна. Рекомендуемые нами улучшения Monero включают в себя политику минимального количества микс-ин на уровне протокола, составляющую n = 2 внешних выхода на кольцевую подпись, увеличение этого значения на уровне протокола до n = 4 через два года и значение по умолчанию на уровне кошелька n = 4 в промежуточный период. Мы также рекомендуем метод отправки выходов Monero в стиле торрентов. Мы также обсуждаем неравномерный, зависящий от возраста метод выбора микс-ин для снижения риска других форм анализа блокчейна, описанных в настоящем документе, но не даем официальных рекомендаций по его реализации по ряду причин. Также подробно обсуждаются последствия этих улучшений. Данный исследовательский бюллетень не проходил экспертную оценку и отражает только результаты внутреннего исследования.

4 сентября 2014 года на сеть криптовалюты Monero была совершена необычная и новая атака. Эта атака разделила сеть на два отдельных подмножества, которые отказались признавать легитимность другого подмножества. Это имело множество последствий, не все из которых пока известны. У злоумышленника был короткий промежуток времени, в течение которого, например, могла произойти подделка. В этом исследовательском бюллетене описываются недостатки в коде CryptoNote, позволяющие осуществить эту атаку, описывается решение, первоначально предложенное Рафалом Фрименом из Tigusoft.pl, а затем командой CryptoNote, описывается текущее исправление в кодовой базе Monero и подробно описывается, как именно блок-нарушитель повлиял на сеть. Этот исследовательский бюллетень не проходил экспертную оценку и отражает только результаты внутреннего расследования.

В этом исследовательском бюллетене описывается вероятная атака на систему анонимности, основанную на кольцевых подписях. В качестве обоснования мы используем криптовалютный протокол CryptoNote 2.0, якобы опубликованный Николасом ван Саберхагеном в 2012 году. Ранее было продемонстрировано, что невозможность отслеживания одноразовой пары ключей может зависеть от невозможности отслеживания всех ключей, используемых при составлении этой кольцевой подписи. Это допускает цепную реакцию в отслеживаемости между кольцевыми подписями, что приводит к критической потере отслеживаемости по всей сети, если параметры выбраны неудачно, а злоумышленник владеет достаточной долей сети. Однако подписи по-прежнему являются одноразовыми, и любая такая атака не обязательно нарушит анонимность пользователей. Однако такая атака может, вероятно, ослабить устойчивость CryptoNote к анализу блокчейна. Этот исследовательский бюллетень не проходил экспертную оценку и отражает только результаты внутреннего расследования.

Этот документ не предназначен для использования в качестве финансовой консультации; это своего рода техническая документация, с которой математики знакомятся перед изучением кода.