[论文解读] Forensic Artefact Discovery and Attribution from Android Cryptocurrency Wallet Applications

Eugene B. Chang, Paul J. Darcy+2 more|arXiv (Cornell University)|May 29, 2022

Digital and Cyber Forensics被引用 6

一句话总结

本文提出了一种取证分析框架，用于从基于Android的比特币和狗狗币钱包应用程序中提取并追溯数字痕迹。通过分析本地数据存储，作者识别并提取了包括钱包ID、交易ID、时间戳、电子邮箱地址、Cookie和OAuth令牌在内的敏感取证证据，表明这些应用程序会泄露大量可追踪的信息，对刑事调查具有重要价值。

ABSTRACT

Cryptocurrency has been (ab)used to purchase illicit goods and services such as drugs, weapons and child pornography (also referred to as child sexual abuse materials), and thus mobile devices (where cryptocurrency wallet applications are installed) are a potential source of evidence in a criminal investigation. Not surprisingly, there has been increased focus on the security of cryptocurrency wallets, although forensic extraction and attribution of forensic artefacts from such wallets is understudied. In this paper, we examine Bitcoin and Dogecoin. The latter is increasingly popular partly due to endorsements from celebrities and being positioned as an introductory path to cryptocurrency for newcomers. Specifically, we demonstrate how one can acquire forensic artefacts from Android Bitcoin and Dogecoin cryptocurrency wallets, such as wallet IDs, transaction IDs, timestamp information, email addresses, cookies, and OAuth tokens.

研究动机与目标

• 识别并从基于Android的比特币和狗狗币钱包应用程序中提取取证痕迹。
• 调查本地应用程序存储中是否存在钱包ID、交易ID和认证令牌等敏感用户数据。
• 评估这些痕迹在网络犯罪调查中用于身份归属的取证价值。
• 证明即使注重隐私的加密货币钱包也可能在移动设备上暴露可追踪的数字证据。

提出的方法

• 对流行的Android比特币和狗狗币钱包应用程序进行逆向工程，以检查其本地数据存储机制。
• 分析SQLite数据库、共享首选项和文件系统目录中的取证痕迹。
• 提取结构化数据，包括钱包标识符、交易元数据、时间戳和认证令牌。
• 使用自动化脚本从设备备份和本地应用程序数据中解析并提取敏感信息。
• 验证痕迹在不同Android版本和设备配置下的持久性和可访问性。
• 将提取的痕迹与用户身份和交易历史进行关联，以评估其身份归属潜力。

实验结果

研究问题

• RQ1 Android比特币和狗狗币钱包应用程序的本地存储中暴露了哪些类型的取证痕迹？
• RQ2 这些痕迹如何被可靠地提取并归因于特定用户或交易？
• RQ3 这些钱包在多大程度上保留了电子邮件地址、OAuth令牌和Cookie等敏感数据？
• RQ4 提取的痕迹能否用于将设备与特定加密货币钱包或交易关联起来？
• RQ5 这些取证痕迹对涉及非法加密货币使用的数字调查有何影响？

主要发现

• 该研究成功从多个Android加密货币钱包应用程序中提取了钱包ID、交易ID、时间戳、电子邮件地址、Cookie和OAuth令牌。
• 发现狗狗币钱包比比特币钱包存储了更多持久且可访问的取证痕迹，部分原因在于其简化的注册流程。
• 认证令牌（包括OAuth令牌）以明文或弱保护方式存储，存在潜在会话劫持风险。
• 电子邮件地址以明文形式存储在共享首选项和SQLite数据库中，增加了用户去匿名化的风险。
• 与交易相关的时间戳被一致记录并可访问，有助于重建用户活动时间线。
• 所识别的取证痕迹可直接用于数字调查，以将设备与特定用户或非法交易关联。