Cyber-Block-Forensics

Bitcoin, Ethereum, Ripple, Litecoin und Monero: Seit 2017 sind durch den Bitcoin-Boom Kryptowährungen in aller Munde und verzeichnen Millionen von Nutzern. Kryptowährungen werben dabei mit hoher Anonymität, Dezentralität und fehlender Regulierung im Gegensatz zu klassischen Fiat-Währungen. Da jedoch alle Transaktionsdaten unveränderlich in einer öffentlichen Transaktionshistorie gespeichert werden, können diese als Grundlage für eine Spurensuche nach Mustern und Verbindungen zwischen Transaktions- und Walletadressen dienen.

Ziel des Projekts Cyber-Block-Forensics ist es, sich mit der jungen internationalen Forschungsrichtung der Cyberforensik auf Blockchains zu befassen und voranzutreiben. Es sollen bereits verfügbare Analyse-Tools für Bitcoin, Ethereum und Monero evaluiert werden und Heuristiken zur Klassifizierung und Gruppierung von Transaktionen zu erarbeiten.  Des Weiteren sollen Flüsse von eigenen Transaktionen durch die Blockchain nachverfolgt und damit theoretische Erkenntnisse in der Praxis angewendet werden.

Der Aufbau der Server-Infrastruktur und der entsprechenden Softwaretools konnte erfolgreich abgeschlossen werden. Eine Toolchain ermöglicht es nun, basierend auf einer Eingangsadresse oder -transaktion, einem vorgegebenen Zeitraum sowie weiteren Parametern, Transaktionsketten zu erstellen. Diese können dann mittels bekannter Heuristiken analysiert werden. Erste Ergebnisse wurden auf der Konferenz Polizeiinformatik 2021 präsentiert und werden entsprechend veröffentlicht.

Derzeit arbeitet das Projektteam an einer Implementierung zur Klassifizierung von Bitcoin Adressen mittels überwachten, maschinellen Lernens (Supervised Machine Learning). Besonders interessant sind hier Mixing Services, (illegale) Marktplätze und Glücksspielseiten. Hierfür werden Informationen zu Adressen öffentlich bekannten Entitäten aus dem Internet abgefragt und in einer Datenbank gespeichert. Nützliche Informationen können beispielsweise die Transaktionsanzahl und -häufigkeit, die zeitliche Verteilung oder die überwiesenen Summen sein. Der Algorithmus versucht dann eigenständig diese Trainingsdaten der korrekten Klasse zuzuordnen. Ist der Algorithmus trainiert, kann dieser auf ihm unbekannte Daten ausgeweitet werden.

In Zukunft ist die Erweiterung der Klassifikation um ganze Transaktionsgraphen geplant. Hierfür werden die Graphen mittels Graph Embedding in eine für Algorithmen lesbare Matrix überführt.

Das Team verspricht sich hiervon eine verbesserte Klassifizierung durch eine größere Eingangsdatenmenge. Darüber hinaus ist dieses Vorgehen nicht von externen Quellen abhängig, sondern kann direkt über die bereits vorhandene Datenbank der Bitcoin-Transaktionen gebildet werden.