COIN Secure and Anonymous Decentralized Bitcoin Mixing - PowerPoint PPT Presentation

COIN Secure ¡and ¡Anonymous ¡ Decentralized ¡Bitcoin ¡Mixing ¡ PARTY Jan ¡Henrik ¡Ziegeldorf, ¡Roman ¡Matzu7, ¡Fred ¡Grossmann, ¡Mar;n ¡Henze, ¡Klaus ¡Wehrle ¡ Communica;on ¡and ¡Distributed ¡Systems ¡(COMSYS), ¡RWTH ¡Aachen, ¡Germany ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.comsys.rwth-­‑aachen.de ¡

Bitcoin ¡in ¡a ¡nutshell ¡ Bitcoin: ¡A ¡decentralized ¡crypto-­‑currency. ¡ P2P ¡WORKER ¡POOL ¡ TRANSACTIONS ¡ Signed ¡transfers ¡between ¡Bitcoin ¡addresses. ¡ Proof ¡of ¡work ¡ to ¡ensure ¡correctness. ¡ ¡ TX: ¡Alice ¡to ¡Bob ¡ From: ¡Alice ¡ To: ¡Bob ¡ Signed: ¡Alice ¡ BLOCKCHAIN ¡ A ¡ shared ¡public ¡ledger ¡of ¡all ¡accepted ¡ ¡ transac;ons ¡to ¡keep ¡balances. ¡ Rules ¡out, ¡e.g., ¡double ¡spending. ¡ ¡ BLK1 ¡ BLK2 ¡ BLK3 ¡ BLK4 ¡ BLK5 ¡ 2 2 Roman Matzutt

The ¡Bitcoin ¡Hype ¡Cycle ¡ Inflated ¡ expectaNons ¡ Slope ¡of ¡ enlightenment ¡ Technology ¡ trigger ¡ Disillusionment ¡ 3 3 Roman Matzutt

Is ¡it ¡used ¡at ¡all? ¡ 4 4 Roman Matzutt

Pro’s ¡and ¡Con’s ¡ Why ¡is ¡Bitcoin ¡used? ¡ Investment ¡(a ¡really ¡bad ¡one) ¡ • Fast ¡(and ¡simple) ¡ • More ¡secure ¡(in ¡a ¡way) ¡ • Because ¡it ¡offers ¡… ¡ Cool ¡& ¡hip ¡ • ¡ ¡ ¡ … ¡ • ¡ ANONYMITY ¡/ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ vs. ¡ FINANCIAL ¡PRIVACY ¡ ¡ ¡ ¡ Scams, ¡crime, ¡the\ ¡ • (No, ¡it ¡doesn’t) ¡ ¡ Vola;lity ¡ • Low ¡adop;on ¡ • … ¡ • 5 5 Roman Matzutt

Downfall ¡of ¡Silkroad ¡ 6 6 Roman Matzutt

Financial ¡Privacy ¡in ¡Bitcoin ¡ PSEUDONYMITY ¡ Virtually ¡unlimited ¡amount ¡of ¡addresses. ¡ ¡ Input: QWxpY2U Output: Qm9iYnk Value: 0.2 BTC vs ¡ How to re-establish Bitcoin’s broken promise of financial privacy? DE-­‑ANONYMISATION ¡ Blockchain ¡taint ¡analysis ¡+ ¡side ¡channels. ¡ Input: Alice Output: Bob Value: 0.2 BTC 7 7 Roman Matzutt

Bitcoin ¡Mixing ¡by ¡Example ¡ Alice ¡ Bob ¡ Charlie ¡ 8 8 Roman Matzutt

Bitcoin ¡Mixing ¡by ¡Example ¡ Alice ¡ Bob ¡ AnonymisaNon ¡ Charlie ¡ 9 9 Roman Matzutt

1 st ¡Gen: ¡Centralized ¡mixing ¡/ ¡eWallets ¡/ ¡Improvements ¡ IdenNfied ¡ ¡ Anonymous ¡ ¡ Mixing ¡Service ¡ users ¡ recipients ¡ ¡ ¡ Bitcoin ¡Pool ¡ , ¡O 1 ¡ ¡ ¡ O 1 ¡ Alice ¡ ¡ ¡ , ¡O 2 ¡ ¡ O 2 ¡ Bob ¡ ¡ ¡ ¡ , ¡O 3 ¡ ¡ O 3 ¡ ¡ Charlie ¡ ¡ ¡ , ¡O 4 ¡ ¡ O 4 ¡ ¡ Danny ¡ ¡ Pros: ¡Easy ¡to ¡use, ¡scalable, ¡big ¡ ¡anonymity ¡sets ¡ • Cons: ¡TTP ¡is ¡single ¡point ¡of ¡failure, ¡involved ¡mixing ¡& ¡Transac;on ¡fees ¡ • Improvements: ¡ Mixcoin, ¡BlindCoin ¡ • 10 10 Roman Matzutt

2 nd ¡Gen: ¡Decentralized ¡Mixing ¡(CoinJoin, ¡CoinShuffle, ¡…) ¡ Anonymous ¡ ¡ Group ¡TransacNon ¡ Decentralized ¡ IdenNfied ¡ ¡ recipients ¡ ¡ Mixing ¡ users ¡ ¡ Service ¡ ¡ I 1 ¡ O 3 ¡ Alice ¡ ¡ ¡ I 2 ¡ O 1 ¡ Bob ¡ ¡ ¡ I 3 ¡ O 4 ¡ Charlie ¡ ¡ ¡ I 4 ¡ O 2 ¡ Danny ¡ ¡ ¡ E.g. ¡CoinJoin, ¡CoinShuffle ¡(implemented ¡in ¡NXTcoin?), ¡XIM ¡ • Pros: ¡ Secure, ¡anonymity ¡against ¡insiders, ¡no ¡TTP, ¡no ¡SPoF ¡ • Cons: ¡ Small ¡anonymity ¡sets, ¡no ¡deniability, ¡(scalability) ¡ • 11 11 Roman Matzutt

Desiderata ¡ Requirements ¡for ¡an ¡ideal ¡mixing ¡service ¡ SCALABILITY ¡ SECURITY ¡ Large ¡numbers ¡of ¡users. ¡ ¡ No ¡the\, ¡double ¡spending ¡or ¡loss ¡of ¡funds. ¡ Low ¡impact ¡on ¡Bitcoin ¡network. ¡ No ¡DoS. ¡ ANONYMITY ¡ COST ¡EFFICIENCY ¡ Anonymous ¡against ¡in-­‑ ¡and ¡outsiders. ¡ ¡ No ¡mixing ¡fees. ¡ Big ¡anonymity ¡sets. ¡ Minimal ¡transac;on ¡fees. ¡ Unbiased ¡randomness. ¡ DENIABILITY ¡ APPLICABILITY ¡& ¡USABILITY ¡ Means ¡of ¡plausible ¡deniability. ¡ ¡ Compa;ble ¡with ¡Bitcoin ¡network. ¡ ¡ No ¡cryptographic ¡evidence. ¡ No ¡addi;onal ¡so\ware. ¡ [ ] MISUSE ¡PREVENTION ¡ Prevent ¡money-­‑laundering, ¡… ¡ ¡ ¡ 12 12 Roman Matzutt

This ¡presentaNon ¡ Centralized ¡mixing ¡ Decentralized ¡mixing ¡ ¡ ¡ Group ¡ ¡ Mixing ¡ Bitcoin ¡ ¡ TransacNon ¡ network ¡ Pool ¡ ¡ I 1 ¡ O 3 ¡ ¡ ¡ I 2 ¡ O 1 ¡ ¡ ¡ ¡ I 3 ¡ O 4 ¡ ¡ ¡ ¡ I 4 ¡ ¡ O 2 ¡ ¡ Security ¡ Anonymity ¡ Deniability ¡ Security ¡ Anonymity ¡ Deniability ¡ Scalability ¡ Costs ¡ Usability ¡ Scalability ¡ Costs ¡ Usability ¡ COIN Security ¡ Anonymity ¡ OUR ¡APPROACH ¡ Deniability ¡ ¡ • Threshold ¡ECDSA ¡ Scalability ¡ PARTY • Single ¡instead ¡of ¡group ¡transac;ons ¡ Costs ¡ • Separate ¡input ¡and ¡mixing ¡peers ¡ Usability ¡ 13 13 Roman Matzutt

CoinParty ¡Protocol ¡Overview ¡ INPUT ¡PEERS ¡ Larger ¡ anonymity ¡sets ¡ and ¡plausible ¡ deniability ¡ ¡ Users ¡ Fresh ¡unlinkable ¡ ¡ Output ¡addresses ¡ O 1 ¡ O 2 ¡ O 3 ¡ O 2 ¡ O 3 ¡ O 1 ¡ MIXING ¡NETWORK ¡ M 1 ¡ O 1 ¡ O 2 ¡ O 3 ¡ E 1 ¡ E 2 ¡ E 3 ¡ E 1 ¡ E 2 ¡ E 3 ¡ Distributed ¡ Genera;on ¡ Threshold ¡ECDSA ¡ ¡ M 2 ¡ of ¡Bitcoin ¡Addresses ¡ in ¡the ¡ malicious ¡model ¡ O 2 ¡ O 1 ¡ O 3 ¡ M 3 ¡ O 2 ¡ O 3 ¡ O 1 ¡ Efficient ¡and ¡ ¡ Verifiable ¡shuffling ¡ 1 2 3 COMMITMENT ¡ SHUFFLE ¡ TRANSACTION ¡ SHUFFLING ¡ 14 14 Roman Matzutt ¡

CoinParty ¡Protocol ¡Overview ¡ INPUT ¡PEERS ¡ Larger ¡ anonymity ¡sets ¡ and ¡plausible ¡ deniability ¡ ¡ Users ¡ Fresh ¡unlinkable ¡ ¡ Output ¡addresses ¡ O 1 ¡ O 2 ¡ O 3 ¡ O 2 ¡ O 3 ¡ O 1 ¡ MIXING ¡NETWORK ¡ M 1 ¡ O 1 ¡ O 2 ¡ O 3 ¡ E 1 ¡ E 2 ¡ E 3 ¡ E 1 ¡ E 2 ¡ E 3 ¡ Distributed ¡ Genera;on ¡ Threshold ¡ECDSA ¡via ¡SMC ¡ ¡ M 2 ¡ of ¡Bitcoin ¡Addresses ¡ in ¡the ¡ malicious ¡model ¡ O 2 ¡ O 1 ¡ O 3 ¡ M 3 ¡ O 2 ¡ O 3 ¡ O 1 ¡ Efficient ¡and ¡ ¡ Verifiable ¡shuffling ¡ 1 2 3 COMMITMENT ¡ SHUFFLE ¡ TRANSACTION ¡ SHUFFLING ¡ 15 15 Roman Matzutt ¡

Commitment ¡Phase ¡ Goal ¡1: ¡Shared ¡control ¡addresses ¡ M 1 ¡ M 2 ¡ M 3 ¡ • Gennaro ¡et ¡al. ¡adapted ¡to ¡EC ¡ • Shared ¡private ¡key ¡d ¡= ¡Recombine([d] 1 ,[d] 2 ,[d] 3 ) ¡ • Full ¡public ¡key ¡D ¡= ¡dG ¡ DISTRIBUTED ¡ECDSA ¡KEY ¡ • Indis&nguishable ¡from ¡normal ¡ Bitcoin ¡address ¡ GENERATION ¡ ¡(ECDKG) ¡ • Precompute ¡~ ¡80 ¡% ¡of ¡overhead ¡ (adapted ¡to ¡EC ¡from ¡Gennaro ¡et ¡al.) ¡ ¡ ¡ ¡ [d] 1 [d] 2 [d] 3 D = dG D = dG D = dG ¡ ¡ Goal ¡2: ¡Receive ¡commitments ¡ • Mixing ¡peers ¡provide ¡web ¡interface ¡ • User ¡checks ¡mixing ¡parameters ¡ • User ¡commits ¡funds ¡in ¡standard ¡transac;on ¡ Gennaro, Rosario, et al. "Secure distributed key generation for discrete-log based cryptosystems.” EUROCRYPT’99. Springer, 1999. 16 16 Roman Matzutt

CoinParty ¡Protocol ¡Overview ¡ INPUT ¡PEERS ¡ Larger ¡ anonymity ¡sets ¡ and ¡plausible ¡ deniability ¡ ¡ Users ¡ Fresh ¡unlinkable ¡ ¡ Output ¡addresses ¡ O 1 ¡ O 2 ¡ O 3 ¡ O 2 ¡ O 3 ¡ O 1 ¡ MIXING ¡NETWORK ¡ M 1 ¡ O 1 ¡ O 2 ¡ O 3 ¡ E 1 ¡ E 2 ¡ E 3 ¡ E 1 ¡ E 2 ¡ E 3 ¡ Distributed ¡ Genera;on ¡ Threshold ¡ECDSA ¡SMC ¡ ¡ M 2 ¡ of ¡Bitcoin ¡Addresses ¡ in ¡the ¡ malicious ¡model ¡ O 2 ¡ O 1 ¡ O 3 ¡ M 3 ¡ O 2 ¡ O 3 ¡ O 1 ¡ Efficient ¡and ¡ ¡ Verifiable ¡shuffling ¡ 1 2 3 COMMITMENT ¡ SHUFFLE ¡ TRANSACTION ¡ SHUFFLING ¡ 17 17 Roman Matzutt ¡

Shuffle ¡Phase ¡ Unlink ¡users ¡from ¡supplied ¡addresses. ¡ Goal : ¡ ¡ Shuffle ¡addresses. ¡ SoluNon: ¡ Verifiable ¡shuffle O 1 ¡ O 2 ¡ O 3 ¡ π 1 ¡ = ¡(231) O 3 ¡ O 1 ¡ O 2 ¡ M 1 ¡ π 2 ¡ = ¡(23) O 3 ¡ O 2 ¡ M 2 ¡ O 1 ¡ π 2 ¡ = ¡(312) O 1 ¡ O 3 ¡ O 2 ¡ M 3 ¡ π fix ¡ = ¡(123) O 2 ¡ O 1 ¡ O 3 ¡ M 1 ¡ M 2 ¡ M 3 ¡ π PRNG ¡ = ¡(321) O 1 ¡ O 3 ¡ O 2 ¡ M 2 ¡ M 1 ¡ M 3 ¡ 18 18 Roman Matzutt