transazioni anonime monero
La crittografia che rese obsoleto ogni sistema di mixing precedente
Le transazioni anonime di Monero non si basano su una semplice promessa di privacy, ma su un insieme di meccanismi crittografici progettati per nascondere contemporaneamente mittente, destinatario e importo della transazione.
Il sistema che rende possibile tutto questo si chiama RingCT, abbreviazione di Ring Confidential Transactions, introdotto nel 2016 come evoluzione fondamentale dell’architettura privacy di Monero.
Prima di RingCT, il protocollo CryptoNote utilizzato da Monero riusciva già a proteggere l’identità del mittente e del destinatario tramite ring signatures e one-time keys.
Gli importi delle transazioni, però, restavano visibili sulla blockchain. Ed era un limite molto più serio di quanto potesse sembrare.
Il tallone d’Achille delle blockchain private
Immagina di ricevere 0,9 XMR. Su una blockchain trasparente, chiunque voglia analizzare il flusso dei fondi non deve fare altro che cercare tutte le transazioni che contengono quell’importo preciso. L’anonimato crolla. Non perché abbiano trovato le tue chiavi private — ma perché l’importo è un’impronta digitale visibile a tutti.
Il protocollo originale CryptoNote tentava di mitigare questo problema frammentando le transazioni in piccole parti — il cosiddetto “knapsack mixing”. Funzionava parzialmente, ma generava una quantità enorme di “dust transactions”: microtransazioni residue che occupavano spazio sulla blockchain senza alcun valore pratico, e che in certi scenari permettevano comunque di tracciare gli indirizzi correlati.
C’era un altro limite strutturale: il ring mixing richiedeva che i pubkey inseriti nell’anello avessero tutti lo stesso importo. Per importi rari o inusuali, il numero di possibili decoy scendeva drasticamente — riducendo l’anonimato reale a una finzione.
Come RingCT risolve il problema alla radice
Shen Noether del Monero Research Lab introduce in MRL-0005 una soluzione che combina due tecniche crittografiche già esistenti, mai usate insieme in questo modo: le Confidential Transactions di Gregory Maxwell e le ring signatures di CryptoNote.
Il meccanismo centrale è il Pedersen Commitment: una struttura matematica che permette di “impegnarsi” su un valore senza rivelarlo. Formalmente: C(a, x) = xG + aH, dove a è l’importo, x è una chiave mascherante, e G, H sono punti sulla curva ellittica ed25519. Il network può verificare che gli input equivalgano agli output — senza sapere di quanto — semplicemente controllando che la somma dei commitment si azzeri.
Questo risolve la privacy degli importi. Ma come si integra con le ring signatures per mantenere l’anonimato del mittente?
MLSAG: la firma che firma su vettori, non su chiavi singole
La vera innovazione di RingCT è la MLSAG — Multilayered Linkable Spontaneous Anonymous Group signature. È una generalizzazione delle LSAG signatures, ma invece di firmare su un insieme di chiavi singole, firma su un insieme di vettori di chiavi.
— In pratica: ogni input di una transazione porta con sé sia il pubkey dell’indirizzo che il commitment all’importo. L’MLSAG firma su entrambi simultaneamente — garantendo che il mittente conosca la chiave privata dell’indirizzo E il valore corretto del commitment, senza rivelare quale elemento dell’anello sia quello reale.
La proprietà di linkability garantisce che lo stesso pubkey non possa firmare due ring signature diverse senza che la rete lo rilevi — prevenendo il double spending senza esporre l’identità del firmatario.
Le transazioni anonime Monero e la generazione trustless di monete
Un vantaggio importante di RingCT è che il sistema non richiede alcun setup iniziale fidato.
A differenza di Zcash, non esiste una fase iniziale in cui un gruppo ristretto deve generare chiavi segrete da cui dipende la sicurezza dell’intera rete.
In Monero tutto rimane verificabile pubblicamente. Le nuove monete continuano a essere create tramite proof-of-work e il network può controllare che non vengano generati XMR dal nulla, perché input e output delle transazioni devono sempre bilanciarsi correttamente.
Questo elimina anche un rischio teorico presente nei sistemi con trusted setup: che qualcuno ottenga le chiavi segrete iniziali e le usi per creare monete invisibili senza che la rete possa accorgersene.
Il paper introduce inoltre due componenti aggiuntivi.
Gli Aggregate Schnorr Range Proofs servono a dimostrare che gli importi nascosti nelle transazioni siano validi e positivi. Senza questo controllo, sarebbe teoricamente possibile usare valori negativi per creare moneta dal nulla.
Il Ring Multisignature, invece, permette transazioni multi-firma mantenendo anonimi i partecipanti che hanno effettivamente autorizzato l’operazione.
Cosa cambia per chiunque usi Monero
RingCT non è teoria. Dal gennaio 2017 è obbligatorio su tutte le transazioni Monero. Ogni volta che viene inviato un XMR, il network verifica matematicamente che il bilancio sia corretto — senza mai sapere quanto è stato inviato, da chi, a chi.
— Il risultato: un set di anonimato aperto a tutti gli output presenti sulla blockchain, non più limitato a quelli con lo stesso importo. L’analisi on-chain diventa strutturalmente impossibile, non solo difficile.
La domanda che rimane aperta è più filosofica che tecnica: fino a dove deve spingersi la privacy monetaria in una società che pretende trasparenza? E chi decide dove si trova quel confine?