Por qué Bitcoin no es privado

Aquí tenéis un pago. Alternadlo entre cómo lo registra Bitcoin y cómo lo registra una transacción blindada de Zcash. El mismo dinero moviéndose, una cantidad de ropa tendida en público radicalmente distinta.

En el lado transparente podéis leerlo todo: quién, a quién, cuánto. En el lado blindado, una prueba de conocimiento cero dice «esta transacción es válida» sin revelar nada de ello. Dedicaremos todo este tema a explicar cómo funciona ese truco de magia. Pero antes necesitáis sentir el problema en vuestros huesos, y el problema es Bitcoin.

El libro mayor que nunca olvida

Bitcoin es un libro mayor transparente y de solo adición. Cada transacción —dirección del remitente, dirección del receptor, importe exacto— se anota una vez y se conserva para siempre, legible por cualquiera en la Tierra con una conexión a internet. No hay cifrado del valor. No hay cifrado de las partes. Está todo simplemente… ahí.

Pensadlo como pagar por todo escribiendo una línea en una hoja de cálculo de Google pública que todo el planeta puede leer y que nunca se puede editar ni borrar. No firmáis con vuestro nombre legal: usáis un seudónimo (vuestra dirección). Parece privado. No lo es.

Ahora fija la propiedad central escribiéndola, no solo eligiéndola.

Seudónimo, no anónimo

Esta es la distinción que despista a todo el mundo.

• Anónimo = nadie puede jamás conectar esta actividad contigo.
• Seudónimo = la actividad está ligada a un seudónimo, y el seudónimo aguanta hasta que alguien lo vincula contigo una sola vez.

Una dirección de Bitcoin es un seudónimo. La trampa: en el momento en que una sola dirección se ata a vuestra identidad real, su historial entero queda expuesto — cada pago que hizo o recibió jamás, hacia atrás en el tiempo y hacia delante para siempre. El estudio de 2013 A Fistful of Bitcoins (Meiklejohn et al.) demostró que esto no es teórico; los investigadores desanonimizaron a usuarios reales a gran escala usando únicamente datos públicos.

Así que el seudónimo de la hoja de cálculo pública os oculta exactamente hasta el primer vínculo. Entonces alguien lee vuestra fila entera, en ambas direcciones, para siempre.

El pecado capital: reutilizar direcciones

Reutilizad una dirección para muchos pagos y habréis grapado amablemente todos ellos en un único perfil. Cada remitente que os pagó alguna vez y cada comercio al que pagasteis queda ahora en un montón ordenado, esperando que un solo vínculo de identidad lo encienda todo.

Cómo te desanonimiza realmente el análisis de cadena

Empresas como Chainalysis y Elliptic se ganan la vida con esto. Las herramientas son ingeniosas, pero las heurísticas centrales son lo bastante sencillas como para repasarlas.

Heurística de propiedad común de entradas (CIOH)

El caballo de batalla. Si una sola transacción gasta múltiples entradas, se asume que todas esas direcciones de entrada comparten un único propietario, porque normalmente necesitáis la clave privada de cada entrada para firmar la transacción.

Así que una transacción con 5 entradas fusiona al instante 5 direcciones en un único clúster. Acabáis de decirle al mundo «todas estas son mías» al gastarlas juntas.

Detección de la dirección de cambio

Cuando gastáis un UTXO mayor de lo que debéis, lo sobrante os vuelve como cambio, normalmente a una dirección recién creada. Los analistas lo detectan: es la salida nueva nunca vista antes, o coincide con vuestro tipo de script, o la otra salida es un número sospechosamente redondo. Identificad la salida de cambio y habréis extendido el clúster a otra dirección más.

Cadenas de pelado

Mover una suma grande y dividirla en muchas transacciones secuenciales —un poquito «pelado» en cada salto— y habréis dibujado un rastro que a los analistas les encanta seguir. Es un patrón clásico de blanqueo, y es legible en un libro mayor público.

Los datos fuera de la cadena son el tiro de gracia

La agrupación en la cadena junta direcciones. Vincular ese clúster a un humano requiere datos fuera de la cadena: registros KYC en los exchanges, filtraciones de IP, recibos de comercios. Un solo retiro con KYC —un exchange conoce vuestro nombre (normativa AML), retiráis a vuestra propia cartera— ancla un clúster entero a una identidad real. El nombre se propaga entonces por cada dirección vinculada.

Tres mitos que conviene derribar

Derribemos los tres mitos que la gente repite más.

• «Bitcoin es anónimo.» Falso. Es seudónimo y muy rastreable. Las direcciones son seudónimos, no capas de invisibilidad, y existe toda una industria próspera dedicada precisamente a desenmascararlas.
• «Una dirección nueva por transacción me hace anónimo.» Ayuda, pero no vence a la CIOH ni a la detección de cambio. En el momento en que gastáis varios UTXO juntos, habréis vuelto a vincular las direcciones «separadas» en un solo clúster de todos modos.
• «El mezclado / tumbling borra del todo el rastro.» A menudo no. La vinculación previa y posterior al mezclado, el momento temporal y el «cambio tóxico» pueden reducir vuestro conjunto de anonimato real muy por debajo de lo que anuncia el mezclador. Profundizaremos en esto en una lección posterior.

Recapitulación: júntalo todo

Ahora demuestra que se ha fijado: este cuestionario mezcla toda la lección.

Entonces, ¿qué haría falta para una privacidad de verdad?

La privacidad de seudónimo de Bitcoin está a un vínculo de identidad de derrumbarse, y todo el sentido de este tema es arreglar eso como es debido. Pero antes de poder ocultar nada, necesitamos definir el objetivo.

A continuación: ¿qué debe ocultar realmente el «dinero privado» para merecer ese nombre?