Fermata #124 - L'inizio della fine di Chainalysis?

Sì, Chainalysis collabora praticamente con tutte le grandi agenzie federali. Lavora per l'FBI, l'IRS, la DEA1, l’ICE2, il DOJ3... Molte di queste agenzie hanno le licenze per utilizzare il software di Chainalysis e sono anche formate da Chainalysis stessa, l'azienda. Hanno sorvegliato Sterlingov per un periodo piuttosto lungo e non hanno trovato alcuna prova schiacciante. L'unica prova esistente è questa cosiddetta analisi forense della blockchain, tramite la quale affermano di poter collegare i pagamenti di Bitcoin Fog a Sterlingov.

Come qualsiasi altro software forense per blockchain, utilizza una serie di euristiche diverse. Alcune di esse sono piuttosto accurate. L'euristica di co-spend, per esempio, presume che ogni input di una transazione sia di proprietà della stessa persona. Questo inizia a diventare impreciso quando si utilizzano strumenti di privacy come CoinJoin o PayJoin.

Ma l'euristica utilizzata per individuare Sterlingov è impiegata soprattutto da Chainalysis ed è chiamata euristica comportamentale. Consiste nell'osservare il comportamento delle transazioni on-chain: che tipo di indirizzi si utilizzano; come si comporta il resto nelle transazioni; a che ora si effettuano i pagamenti; che importo si trasferisce, ecc. In questo modo, si cerca di trovare dei pattern nelle transazioni sulla blockchain.

Il problema di questa euristica è che è estremamente imprecisa. Solo perché indossi una felpa rossa tutti i giorni, non significa che tutti quelli che indossano un felpa rossa siano te.

Nel sistema giudiziario statunitense ci sono diverse metodologie per determinare se un software è scientificamente accurato o meno e provengono da quello che è definito il Daubert Standard. Alcuni parametri sono, per esempio: il software è stato sottoposto a peer-review? Esistono pubblicazioni scientifiche sul software? Chainalysis ha ammesso di non averle. Il software ha un tasso di errore noto? Quanto spesso produce dei falsi positivi? Anche questi sono dati che hanno ammesso di non avere. Un altro parametro è verificare se i metodi utilizzati siano ampiamente accettati dalla comunità scientifica. Questo non è il caso dell’euristica del clustering comportamentale.

CipherTrace, come altre aziende del settore, non utilizza l’euristica di clustering comportamentale. La stessa CipherTrace, inserendo i dati del caso Sterlingov nel  proprio software, non ha trovato alcuna prova che Roman Sterlingov fosse l'operatore di Bitcoin Fog.

Zero.

Tutto ciò che permette di essere coinvolti in un crimine senza alcuna prova minaccia questo principio. Quello che succede in questi casi è che l'FBI, per esempio, utilizza Reactor per collegare individui ad attività sospette. L'FBI ottiene così un mandato di comparizione e può richiedere tutte le informazioni finanziarie del sospettato.

Il problema è: se questo software indica le persone in modo casuale e non ha alcuna base scientifica, chiunque può diventarne vittima indipendentemente dal fatto che sia mai stato coinvolto in un crimine o meno. Questo problema è davvero importante, perché può riguardare tutti noi. Abbiamo un diritto alla privacy finanziaria che viene in questo modo messo a rischio.

Basta confrontare Reactor con altre tecnologie che non sono riuscite a soddisfare gli standard scientifici, per esempio la macchina della verità. La macchina della verità, nella maggior parte dei casi, non può essere utilizzata per creare un mandato di comparizione. Se fossi l'FBI, non potrei sottoporre qualcuno alla macchina della verità, scoprire che sta mentendo e avere accesso a tutte le informazioni che voglio su di lui, comprese quelle finanziarie. Perché le macchine della verità non funzionano in modo scientifico. Questo dovrebbe essere lo stesso standard per Reactor.

Sì, Chainalysis sta cercando di evitare l’audit con tutte le proprie forze. In pratica l’azienda sta dicendo: la rivelazione del codice sorgente rappresenta una minaccia per il nostro modello di business.

Sì. Ma tutti gli esperti che sono stati presentati finora sono stati giudicati inadeguati da Chainalysis. E’ stata proposta CipherTrace ma, essendo un competitor, ha un incentivo commerciale.

E’ stato proposto Bryan Bishop, moderatore della Bitcoin-dev mailing list e in questo caso Chainalysis ha avanzato tesi assurde per respingerlo. Sostengono che Bishop avrebbe un incentivo commerciale a rivelare il codice sorgente di Reactor o, comunque, a parlarne male, perché ha co-fondato Custodia Bank insieme a Caitlin Long.

E’ davvero divertente. La questione è che a Custodia Bank è stata rifiutata la licenza bancaria perché - secondo la Federal Reserve - non era in grado di prevenire sufficientemente le violazioni delle leggi anti-riciclaggio (AML).

Quindi Chainalysis dice: se gli riveliamo il nostro codice sorgente, Bishop ha un incentivo commerciale a condividerlo con altre persone perché vuole che la sua azienda funzioni.

Quello che Chainalysis non dice, però, è che il motivo per cui a Custodia Bank è stata negata la licenza è che le persone che hanno fatto l'audit hanno scoperto che le pratiche forensi sulla blockchain non funzionano per prevenire le violazioni delle leggi anti-riciclaggio… e hanno nominato specificamente Chainalysis.

Quello che Chainalysis sta dicendo ora è che non rivelerà il codice sorgente ma solo il funzionamento della sua euristica. Lo farà, però, solo con un ordine di protezione, il che significa che nulla sarà mai condiviso con il pubblico.

Non riveleranno il modo in cui costruiscono i loro prodotti, perché darebbero un vantaggio ai loro concorrenti. Penso che questa argomentazione abbia senso, ma non credo che sia corretta quando il software viene utilizzato per fornire prove in tribunale.

E’ davvero difficile da dire. Alla fine sarà la giuria a decidere. Il problema - che a mio avviso è anche il motivo per cui Chainalysis è stata in grado di sorvegliare le persone con un'euristica non scientifica - è che nessuno sa effettivamente come funzionino le transazioni sulla blockchain. Ci saranno 12 persone che non hanno la minima idea del funzionamento delle criptovalute, non hanno idea dell’attività forense sulla blockchain, tutto questo sarà estremamente estraneo per loro. E’ davvero difficile dire quale sarà l’esito del processo.

Dipende se il codice sorgente di Reactor sarà controllato o meno e, nel caso, da quante discrepanze verranno trovate. Molto dipende anche dalla pressione che riceveranno dai media. Ci sono molti precedenti in questo senso. C’è un’azienda di intelligence israeliana chiamata Cellebrite che vende servizi di hacking, tra l’altro collaborava anche con Chainalysis. Da anni Cellbrite vendeva i suoi servizi a un gruppo di Paesi che imprigionava i giornalisti, mandava a morte i dissidenti, ecc.

Grazie alla pressione dei media e delle campagne per i diritti umani, l’anno scorso hanno smesso di servire quei Paesi. La loro reputazione ha subito un colpo molto forte.

Ovviamente non si potrà porre fine alla sorveglianza on-chain: la blockchain è un registro pubblico e tutto ciò che è pubblico sarà controllato, analizzato e sorvegliato. Si può però influenzare il modo in cui gli strumenti vengono utilizzati, ad esempio nei procedimenti giudiziari. Più si fa pressione sul fatto che l’euristica comportamentale non funziona, sul fatto che è più simile a un rito voodoo che a un procedimento scientifico, più si può proteggere il proprio diritto alla privacy finanziaria.