Eine öffentliche Blockchain zeigt jede Transaktion, beschriftet aber niemanden. Eine Adresse ist nur eine Zeichenfolge, bis etwas sie mit anderen Adressen oder einer realen Identität verknüpft. Clustering ist die Sammlung von Techniken, mit denen Ermittler diesen ersten Schritt vollziehen und Adressen gruppieren, die höchstwahrscheinlich zu einer einzigen Wallet, Entität oder einem einzigen Akteur gehören – selbst wenn nichts im Ledger dies ausdrücklich sagt.
Die Common-Input-Ownership-Heuristik
Dies ist die älteste und am weitesten verbreitete Clustering-Technik, und sie beruht auf einer einfachen technischen Tatsache: Eine Bitcoin-artige Transaktion, die aus mehreren Adressen als Inputs ausgibt, erfordert für jeden dieser Inputs eine gültige Signatur mit dem privaten Schlüssel. Da für die Erzeugung dieser Signatur der private Schlüssel benötigt wird, werden Adressen, die gemeinsam als Inputs in einer einzigen Transaktion verwendet werden, in der überwältigenden Mehrheit der Fälle von derselben Entität kontrolliert. Über eine umfangreiche Transaktionshistorie hinweg angewandt, kann diese Heuristik allein Tausende zuvor getrennter Adressen zu einer kleinen Anzahl von Clustern zusammenführen, von denen jedes wahrscheinlich eine Wallet oder einen Dienst repräsentiert.
Erkennung von Wechselgeld-Adressen
Die meisten Transaktionen geben einen Input nicht bis auf den letzten Cent genau aus, sodass die Differenz als neue „Wechselgeld"-Adresse an den Absender zurückfließt – typischerweise eine, die die eigene Wallet des Absenders automatisch generiert hat. Zu erkennen, welcher Output einer Transaktion das Wechselgeld ist und nicht die eigentliche Zahlung, erlaubt es einem Ermittler, diese neue Adresse in denselben Cluster wie die Input-Adressen einzuordnen. Mehrere Muster helfen dabei, Wechselgeld von Zahlung zu unterscheiden: Ein Wechselgeld-Output ist oft eine frische, im Ledger noch nie aufgetauchte Adresse, während die Zahlungsadresse bereits Historie aufweisen kann; Wallets erzeugen Wechselgeld häufig im gleichen Adressformat und Skripttyp wie ihre Inputs, während eine externe Zahlungsadresse das nicht tut; und rundere, „sauberer" wirkende Beträge sind häufiger die beabsichtigte Zahlung als das Wechselgeld, das eher ein unregelmäßiger Restbetrag ist.
Verhaltensbasierter Musterabgleich
Über diese strukturellen Regeln hinaus achten Ermittler auch auf Verhalten, das innerhalb der Aktivität eines einzelnen Akteurs über die Zeit tendenziell konsistent bleibt: eine gleichbleibende Strategie bei der Gebührenwahl über Transaktionen hinweg, ein erkennbares zeitliches Muster wie Aktivität, die sich auf bestimmte Uhrzeiten konzentriert, Gewohnheiten bei der Wiederverwendung von Adressen sowie der Fingerabdruck, den die Art einer bestimmten Wallet-Software beim Erstellen von Transaktionen hinterlässt. Keines dieser Signale ist für sich genommen schlüssig, doch konsistente Verhaltens-Fingerabdrücke, die zusätzlich zum strukturellen Clustering herangezogen werden, erhöhen die Zuversicht spürbar, dass separate Cluster tatsächlich demselben zugrunde liegenden Akteur gehören.
Keine Clustering-Heuristik ist unfehlbar, und eine einzelne davon als Eigentumsnachweis zu behandeln, ist eine dokumentierte Fehlerquelle in Ermittlungen. CoinJoin-artige Transaktionen und ähnliche Koordinationstechniken sind gezielt darauf ausgelegt, die Common-Input-Ownership-Annahme zu verletzen, und eine Custodial-Exchange, die Auszahlungen vieler Kunden in einer einzigen Transaktion bündelt, kann dazu führen, dass nicht verbundene Nutzer fälschlich als zusammengehöriger Cluster erscheinen.
Warum dies mit Off-Chain-Beweisen kombiniert wird
Da jede Heuristik unter den richtigen Bedingungen Fehlalarme erzeugen kann, wird kompetente Clustering-Arbeit selten als eigenständige Schlussfolgerung präsentiert. Sie wird, wo immer möglich, durch Off-Chain-Beweise untermauert: Know-your-Customer-Daten, die über eine rechtliche Anfrage bei einer Exchange erlangt wurden, IP- oder Gerätedaten, die mit einem Konto verknüpft sind, oder unabhängig gemeldete Vorfälle, die einen Cluster mit einem bekannten Betrug oder Diebstahl in Verbindung bringen. Der Cluster grenzt den Kreis der Kandidaten erheblich ein. Die untermauernden Beweise sind meist das, was aus einer starken Wahrscheinlichkeit etwas macht, auf dessen Grundlage das Compliance-Team einer Exchange oder ein Gericht tatsächlich handelt.