Das Blockchain-Protokoll MimbleWimble wirbt mit Wahrung der Privatsphäre und verspricht Anonymität. Benutzt wird es von den Kryptowährung GRIN und BEAM. Doch jetzt zeigt eine Analyse: Schon mit einfachen Mitteln lassen sich fast alle Transaktionen in MimbleWimble konkreten Adressen zuordnen.
Als die Kryptowährung Grin (GRIN) Anfang 2019 launchte, war der Einsatz von MimbleWimble als technologische Basis der Hauptgrund für öffentliche Aufmerksamkeit. MimbleWimble nämlich sollte garantieren, dass Transaktionen bei GRIN nicht rückverfolgt werden können, also Privatsphäre und Anonymität gewährleistet sind. Dieses Versprechen erfüllt MimbleWimble aber nicht, wie eine Studie der Krypto-Investmentfirma Dragonfly Capital beweist. Mit relativ überschaubarem Fachwissen und 60 US-Dollar pro Monat für das Betreiben einer Node und Anmieten von Rechnerkapazität lassen sich bei 96 Prozent aller Transaktionen bei GRIN Sender und Empfänger feststellen, mit etwas mehr Aufwand wahrscheinlich 100 Prozent. Der Kurs von GRIN verlor wie der von BEAM, wo ebenso auf MimbleWimble gesetzt wird, nach Bekanntwerden der Nachricht um rund 15 Prozent.
Warum ist MimbleWimbles Struktur verwundbar?
Ivan Bogaty von Dragonfly Capital kam auf die Idee, bei GRIN selbst als Node-Betreiber aufzutreten. Mit dieser Teilnahme am Netzwerk in Echtzeit flossen Details zu Transaktionen zu ihm, bevor sie ausgeführt wurden. MimbleWimble funktioniert im Grunde ähnlich wie ein Bitcoin Mixer und fasst immer mehrere einzelne Transaktionen zu einer großen zusammen, wodurch die genauen Geldflüsse verschleiert werden sollen. Wendet man aber mit dem vor der Transaktion gesammelten Wissen einen Algorithmus auf die nach Transaktion öffentlichen Informationen an, lassen sich die Bewegungen doch wieder eindeutig zuordnen, so Bogaty. Er nennt es “Schnüffel-Modus”, wie sein Node funktioniert. Eigentlich soll bei GRIN und MimbleWimbles eine zweite Sicherheitsmauer namens Dandelion solche Spionage-Nodes verhindern, indem sie Transaktionen zufällig auf Nodes verteilt. Doch Bogatys Node gelang es innerhalb kurzer Zeit, an 200 der 3000 Nodes bei GRIN anzudocken und so auch deren Informationen auszulesen. Bogaty glaubt, dass sich seine Node mit etwa mehr Geduld dermaßen im Netzwerk etabliert hätte, dass er noch mehr Daten gewinnen könnte. Er hält die Verwundbarkeit von MimbleWimble für so tief im Code verankert, dass sie nicht mehr auszumerzen ist.
Ein Geheimnis immerhin bleibt bei GRIN bestehen: Die Beträge, die von A zu B transferiert werden. Hier ist der Code laut Bogaty effizient genug. Doch genaue Summen seien gerade bei heiklen Überweisungen für (staatliche) Beobachter gar nicht entscheidend, so der Analyst. Zwei Beispiele: Ein US-Bürger will bei Coinbase GRIN in Fiat tauschen und sich auszahlen lassen. Doch die Kryptobörse weiß, dass der Kunde GRIN aus Venezuela erhalten hat, was auf der Sanktionsliste der USA steht. Um nicht selbst Probleme zu bekommen, sperrt Coinbase das Konto. Zweiter Fall: Ein autoritäres System erfährt die GRIN-Adresse eines Dissidenten und kann jetzt nachverfolgen, von welcher Seite dieser finanzielle Unterstützung erhält. In beiden Szenarios hatten Sender und Empfänger GRIN gerade deshalb benutzt, weil sie sich darauf verließen, völlig anonym zu bleiben.
MimbleWimble, GRIN und BEAM für immer erledigt?
Dragonfly Capital und Bogaty betonen, dass ihre Veröffentlichung nicht gegen GRIN gerichtet ist. Sie sehen ihre Erkenntnisse als Forschungsbeitrag. Jede Kryptowährung müsse sich gefallen lassen, zu überprüfen, ob grundlegende Garantien eingehalten werden. Auch wenn sie ihre Spionage-Taktik offenbar nicht bei BEAM ausprobiert haben, legt der Bericht nahe, dass diese dort ebenfalls funktionieren sollte. BEAM und GRIN verlieren durch das Experiment ihre Glaubwürdigkeit in Sachen Privacy Coin. Wenn Bogaty Recht hat und MimbleWimble sich nicht reparieren lässt, dürften sich GRIN und BEAM von dem Schlag kaum erholen. Bogaty empfiehlt mit aller Vorsicht Zcash (ZEC) und Monero (XMR) als Altcoins für diejenigen, denen Anonymität wichtig ist. Dort wurden Angriffsstellen auf Verschleierungsmechanismen geschlossen und neue noch nicht entdeckt, so Bogaty. Entwarnung will er aber auch in diesen Fällen nicht geben, weil Forschung eben ein Prozess ist und ein anderer Experte jederzeit einen Kniff entdecken könne, mit denen die Anonymität bei ZEC und XMR ausgehebelt wird.
Wer noch keine Bitcoins hat kann diese bei eToro für Euro kaufen. Wie das funktioniert erfahrt ihr hier. Mit einem Hebel könnt ihr Bitcoins bei BitMEX (1:100) handeln, wie BitMEX funktioniert erfahrt ihr hier. Wer seine Bitcoin anlegen möchte und dafür bis zu 8,6% Zinsen erhalten will kann das bei BlockFi machen.
Hinterlasse jetzt einen Kommentar