Ok, mir ist jetzt zumindest klar was du meinst. Theoretisch kann ich mir das vorstellen. Das ist allerdings nicht meine Domäne, deshalb ist da auch viel Halbwissen im Spiel.
Irgendjemand, oder ein Node-Betreiber selbst, durchforstet z.B. alle Anfragen auf die Node. Dann sucht er sich darunter diejenigen aus, deren Adressen die größte Balance aufweisen. Anschließend müssen noch die IPs mit Realwelt-Adressen in Verbindung gebracht werden und schon weiß man, wo man Moskau-Inkasso hinschicken muss.
Die ersten Schritte wären tatsächlich sehr einfach. Der letzte allerdings wäre praktisch nur durch einen Hack des ISPs, oder vom Staat selbst beim ISP durchzusetzen. Aber gut immerhin.
Falls man bei Einzelpersonen vermutet, dass sie im Geheimen ein hohes Bitcoinvermögen besitzen, geht das ganze natürlich auch andersherum. Mittels Infos vom ISP findet man schnell heraus, ob es Verbindungen zu bekannten Nodes gab (Ledger, Bitbox etc.). Anschließend könnte der Node-Betreiber anhand der IPs die Info herausgeben, welche Bitcoin-Adressen vermutlich der Person gehören.
Übrigens bräuchte man ja nicht einmal die Mithilfe des Node-Betreibers, wenn man den Internet-Verkehr von Verdachtspersonen überwacht. Die IPs der großen Nodes sind bekannt und die Kommunikation mit diesen ist unverschlüsselt.
All diese Szenarien könnte man vermutlich stark erschweren oder vermeiden, wenn man ein VPN oder Tor verwendet. Oder wenn man wie du schreibst gleich eine eigene Node verwendet, die nur über Tor kommuniziert.
Die Umsetzung des BIP-324 zur verschlüsselten Kommunikation der Nodes würde an diesen Stellen nur teilweise helfen, da es schon fast reicht zu wissen, dass und mit welcher IP Kontakt zu einer bekannten Node-IP bestand. Der Node-Betreiber müsste dann allerdings noch kooperieren.