Nei tribunali USA il caso Sterlingov mette in dubbio la legittimità di Reactor, il software di Chainalysis: “Nessuna attendibilità scientifica”. L’intervista alla scrittrice che segue la vicenda
Finire in carcere su basi probabilistiche.
Reactor, il software proprietario di attività forense on-chain di Chainalysis sta venendo utilizzato per incarcerare sospettati, ma l’azienda nei tribunali non ha fornito prove della sua validità scientifica.
Non solo: “Non è nemmeno in grado di fornire ai tribunali i coefficienti di errore”, spiega L0la L33tz, scrittrice sotto pseudonimo che sta seguendo da vicino il caso che potrebbe accendere i riflettori sull’azienda che detiene il monopolio de-facto della sorveglianza on-chain.
Il caso è quello di Roman Sterlingov, arrestato a Los Angeles nel 2021 dall’IRS – Internal Revenue Service, l’ente USA responsabile della raccolta fiscale – con l’accusa di essere il presunto gestore di un mixer custodial di bitcoin – Bitcoin Fog – tramite il quale avrebbe riciclato $336 milioni. “Bitcoin Fog è definito come un trasmettitore di denaro che operava senza licenza bancaria – spiega L0la L33tz. Poiché Bitcoin Fog non disponeva di protezioni antiriciclaggio, si sostiene che costituisse una forma di riciclaggio di denaro”.
Nonostante i due anni di carcere del sospettato, il caso è ancora alle sue prime battute e l’inizio del processo è stato recentemente rimandato a gennaio 2024. Fin dalle udienze preliminari, però, si è capito che il caso non riguarderà il solo destino di Sterlingov – che si è sempre dichiarato innocente – ma la legittimità stessa dell’operato di Chainalysis.
Quali sono state le evidenze che hanno portato all’incarcerazione di Sterlingov? I risultati del software Reactor di Chainalysis sono stati utilizzati come prove?
Sì, Chainalysis collabora praticamente con tutte le grandi agenzie federali. Lavora per l’FBI, l’IRS, la DEA, l’ICE, il DOJ… Molte di queste agenzie hanno le licenze per utilizzare il software di Chainalysis e sono anche formate da Chainalysis stessa, l’azienda. Hanno sorvegliato Sterlingov per un periodo piuttosto lungo e non hanno trovato alcuna prova schiacciante. L’unica prova esistente è questa cosiddetta analisi forense della blockchain, tramite la quale affermano di poter collegare i pagamenti di Bitcoin Fog a Sterlingov.
Come funziona Reactor?
Come qualsiasi altro software forense per blockchain, utilizza una serie di euristiche diverse. Alcune di esse sono piuttosto accurate. L’euristica di co-spend, per esempio, presume che ogni input di una transazione sia di proprietà della stessa persona. Questo inizia a diventare impreciso quando si utilizzano strumenti di privacy come CoinJoin o PayJoin.
Ma l’euristica utilizzata per individuare Sterlingov è impiegata soprattutto da Chainalysis ed è chiamata euristica comportamentale. Consiste nell’osservare il comportamento delle transazioni on-chain: che tipo di indirizzi si utilizzano; come si comporta il resto nelle transazioni; a che ora si effettuano i pagamenti; che importo si trasferisce, ecc. In questo modo, si cerca di trovare dei pattern nelle transazioni sulla blockchain.
Il problema di questa euristica è che è estremamente imprecisa. Solo perché indossi una felpa rossa tutti i giorni, non significa che tutti quelli che indossano un felpa rossa siano te.
Come riportato da L0la L33tz, durante l’udienza preliminare dello scorso 23 giugno l’avvocato difensore di Sterlingov, Tor Ekeland, ha interrogato il Responsabile delle Indagini di Chainalysis Government Solutions, Elizabeth Bisbee. Bisbee ha testimoniato di essere “all’oscuro” di evidenze scientifiche relative all’accuratezza del software Reactor di Chainalysis.
Come si determina la validità scientifica di un software negli Stati Uniti?
Nel sistema giudiziario statunitense ci sono diverse metodologie per determinare se un software è scientificamente accurato o meno e provengono da quello che è definito il Daubert Standard. Alcuni parametri sono, per esempio: il software è stato sottoposto a peer-review? Esistono pubblicazioni scientifiche sul software? Chainalysis ha ammesso di non averle. Il software ha un tasso di errore noto? Quanto spesso produce dei falsi positivi? Anche questi sono dati che hanno ammesso di non avere. Un altro parametro è verificare se i metodi utilizzati siano ampiamente accettati dalla comunità scientifica. Questo non è il caso dell’euristica del clustering comportamentale.
Jonelle Still, direttore delle indagini e dell’intelligence di CipherTrace (altra azienda di analisi on-chain), descrive l’euristica utilizzata da Chainalysis per il caso Sterlingov come “avventata”.
CipherTrace, come altre aziende del settore, non utilizza l’euristica di clustering comportamentale. La stessa CipherTrace, inserendo i dati del caso Sterlingov nel proprio software, non ha trovato alcuna prova che Roman Sterlingov fosse l’operatore di Bitcoin Fog.
Nessuna?
Zero.
Se davvero l’euristica che utilizza Chainalysis – che è la società di analisi on-chain più grande al mondo per distacco – fosse così imprecisa, significherebbe che le persone rischiano di essere imprigionate senza prove. Non si rischia di invertire il principio dell’innocenza fino a prova contraria con quello della colpevolezza fino a prova contraria?
Tutto ciò che permette di essere coinvolti in un crimine senza alcuna prova minaccia questo principio. Quello che succede in questi casi è che l’FBI, per esempio, utilizza Reactor per collegare individui ad attività sospette. L’FBI ottiene così un mandato di comparizione e può richiedere tutte le informazioni finanziarie del sospettato.
Il problema è: se questo software indica le persone in modo casuale e non ha alcuna base scientifica, chiunque può diventarne vittima indipendentemente dal fatto che sia mai stato coinvolto in un crimine o meno. Questo problema è davvero importante, perché può riguardare tutti noi. Abbiamo un diritto alla privacy finanziaria che viene in questo modo messo a rischio.
Basta confrontare Reactor con altre tecnologie che non sono riuscite a soddisfare gli standard scientifici, per esempio la macchina della verità. La macchina della verità, nella maggior parte dei casi, non può essere utilizzata per creare un mandato di comparizione. Se fossi l’FBI, non potrei sottoporre qualcuno alla macchina della verità, scoprire che sta mentendo e avere accesso a tutte le informazioni che voglio su di lui, comprese quelle finanziarie. Perché le macchine della verità non funzionano in modo scientifico. Questo dovrebbe essere lo stesso standard per Reactor.
La difesa ha provato a proporre un audit esterno di Reactor ma Chainalysis si è sempre opposta: come mai?
Sì, Chainalysis sta cercando di evitare l’audit con tutte le proprie forze. In pratica l’azienda sta dicendo: la rivelazione del codice sorgente rappresenta una minaccia per il nostro modello di business.
Questo ha senso, ma la verifica non può essere effettuata senza rivelare pubblicamente il codice, con il solo intervento di un esperto indipendente?
Sì. Ma tutti gli esperti che sono stati presentati finora sono stati giudicati inadeguati da Chainalysis. E’ stata proposta CipherTrace ma, essendo un competitor, ha un incentivo commerciale.
E’ stato proposto Bryan Bishop, moderatore della Bitcoin-dev mailing list e in questo caso Chainalysis ha avanzato tesi assurde per respingerlo. Sostengono che Bishop avrebbe un incentivo commerciale a rivelare il codice sorgente di Reactor o, comunque, a parlarne male, perché ha co-fondato Custodia Bank insieme a Caitlin Long.
Come sono collegate le due cose?
E’ davvero divertente. La questione è che a Custodia Bank è stata rifiutata la licenza bancaria perché – secondo la Federal Reserve – non era in grado di prevenire sufficientemente le violazioni delle leggi anti-riciclaggio (AML).
Quindi Chainalysis dice: se gli riveliamo il nostro codice sorgente, Bishop ha un incentivo commerciale a condividerlo con altre persone perché vuole che la sua azienda funzioni.
Quello che Chainalysis non dice, però, è che il motivo per cui a Custodia Bank è stata negata la licenza è che le persone che hanno fatto l’audit hanno scoperto che le pratiche forensi sulla blockchain non funzionano per prevenire le violazioni delle leggi anti-riciclaggio… e hanno nominato specificamente Chainalysis.
Quello che Chainalysis sta dicendo ora è che non rivelerà il codice sorgente ma solo il funzionamento della sua euristica. Lo farà, però, solo con un ordine di protezione, il che significa che nulla sarà mai condiviso con il pubblico.
Chainalysis è un’azienda valutata $8,6 miliardi. Se rivelasse il codice sorgente e si scoprisse che l’euristica è estremamente fallace, molto probabilmente crollerebbe. Che idea ti sei fatta?
Non riveleranno il modo in cui costruiscono i loro prodotti, perché darebbero un vantaggio ai loro concorrenti. Penso che questa argomentazione abbia senso, ma non credo che sia corretta quando il software viene utilizzato per fornire prove in tribunale.
Come proseguirà ora il caso Sterlingov?
E’ davvero difficile da dire. Alla fine sarà la giuria a decidere. Il problema – che a mio avviso è anche il motivo per cui Chainalysis è stata in grado di sorvegliare le persone con un’euristica non scientifica – è che nessuno sa effettivamente come funzionino le transazioni sulla blockchain. Ci saranno 12 persone che non hanno la minima idea del funzionamento delle criptovalute, non hanno idea dell’attività forense sulla blockchain, tutto questo sarà estremamente estraneo per loro. E’ davvero difficile dire quale sarà l’esito del processo.
Può essere l’inizio della fine per Chainalysis?
Dipende se il codice sorgente di Reactor sarà controllato o meno e, nel caso, da quante discrepanze verranno trovate. Molto dipende anche dalla pressione che riceveranno dai media. Ci sono molti precedenti in questo senso. C’è un’azienda di intelligence israeliana chiamata Cellebrite che vende servizi di hacking, tra l’altro collaborava anche con Chainalysis. Da anni Cellbrite vendeva i suoi servizi a un gruppo di Paesi che imprigionava giornalisti, mandava a morte i dissidenti, ecc.
Grazie alla pressione dei media e delle campagne per i diritti umani, l’anno scorso hanno smesso di servire quei Paesi. La loro reputazione ha subito un colpo molto forte.
Ovviamente non si potrà porre fine alla sorveglianza on-chain: la blockchain è un registro pubblico e tutto ciò che è pubblico sarà controllato, analizzato e sorvegliato. Si può però influenzare il modo in cui gli strumenti vengono utilizzati, ad esempio nei procedimenti giudiziari. Più si fa pressione sul fatto che l’euristica comportamentale non funziona, sul fatto che è più simile a un rito voodoo che a un procedimento scientifico, più si può proteggere il proprio diritto alla privacy finanziaria.
