Cluster-Analyse

Definition

Verfahren, mit denen mehrere Adressen einer gemeinsamen Kontrolle zugeordnet werden. Die wichtigste Heuristik: Wenn mehrere Adressen als Eingänge derselben Transaktion verwendet werden, kontrolliert dieselbe Person alle diese Adressen, weil sie die Transaktion mit allen Schlüsseln signieren musste. Weitere Heuristiken betreffen Wechselgeldadressen, Zeitmuster und Verhaltensmerkmale.

Erscheinungsform in der Praxis

Clustering ist der Grund, warum die Verwendung frischer Adressen (II.22) allein nicht schützt. Wer hundert Adressen verwendet und irgendwann Werte von mehreren zusammenführt, verrät, dass sie zusammengehören. Analysewerkzeuge bauen aus solchen Verbindungen Cluster, die Tausende Adressen umfassen können. Eine Börse ist ein Cluster mit Millionen Adressen. Ein Betrugsbetrieb ist ein Cluster mit Hunderten Einzahlungsadressen und einer Sammeladresse.

Die Heuristik ist eine Annahme, keine Gewissheit. CoinJoin (II.5) verletzt sie absichtlich: Dort haben viele Personen Eingänge in einer Transaktion. Zahlungsdienstleister, die für viele Kunden Transaktionen bündeln, verletzen sie ebenfalls. Ein Cluster, der auf einer verletzten Heuristik beruht, fasst Fremde zusammen. Die Konfidenz eines Clusters hängt davon ab, welche Heuristiken ihn stützen und ob Gegenindizien vorliegen.

Bei Ethereum und ähnlichen Ketten mit Kontenmodell funktioniert die Multi-Input-Heuristik nicht, weil Transaktionen einen einzelnen Absender haben. Dort beruht Clustering auf Verhaltensmustern und Interaktionen.

Praktische Hinweise

Für Ermittler: Cluster-Ergebnisse sind mit der zugrunde liegenden Heuristik zu dokumentieren. Vor Gericht ist zu erwarten, dass die Verteidigung die Heuristik angreift. Für Compliance: Ein Cluster-Label ist eine Wahrscheinlichkeitsaussage.

Abgrenzung

Quelle

1. Meiklejohn, Sarah et al.: A Fistful of Bitcoins (IMC 2013), doi 10.1145/2504730.2504747, Abschnitt zur Multi-Input-Heuristik
2. Akademische Literatur zu Clustering-Heuristiken (Übersichtsliteratur, Fußnotenquelle).