Brecha de seguridad revelada: la billetera CCS de Monero vaciada de $460,000

En un giro sorprendente de los acontecimientos, Monero, la popular criptomoneda centrada en la privacidad, reveló una explotación de la billetera de su Sistema de Financiamiento Comunitario (CCS) que ocurrió el 1 de septiembre de 2023. El atacante logró vaciar la billetera de 2,675.73 XMR, equivalente a aproximadamente $460,000. Este incidente ha generado preocupaciones sobre la seguridad y privacidad de la cadena de bloques de Monero.

El ataque se desarrolló en una serie de nueve transacciones, donde el perpetrador logró sustraer el saldo completo de la billetera CCS. El incidente pasó desapercibido hasta recientemente cuando Moonstone Research, una firma de seguridad de blockchain, identificó las acciones del atacante.

Moonstone Research rastreó las transacciones del atacante y sugirió que la explotación fue ejecutada por un usuario de la billetera Monerujo que había habilitado una función conocida como "PocketChange". Monerujo es una billetera no custodial de Monero basada en Android que ofrece la función PocketChange, diseñada para mejorar el modelo de privacidad de Monero creando múltiples "bolsillos" o "enotes".

Análisis de la explotación de las características de privacidad de Monero

La función PocketChange de Monerujo funciona dividiendo monedas Monero más grandes en partes más pequeñas y distribuyéndolas en diez bolsillos diferentes. Esta fragmentación asegura que las monedas no se fusionen nuevamente, permitiendo a los usuarios gastar desde varios bolsillos al instante sin el período de espera habitual.

Según los hallazgos de Moonstone Research, el atacante explotó esta función para crear 11 enotes de salida, un comportamiento inconsistente con las transacciones típicas. Moonstone Research expresó confianza en su evaluación, independientemente de si el atacante utilizó la versión 3.3.7 o 3.3.8 de Monerujo.

El reportero de criptomonedas chino Colin Wu, conocido por sus perspectivas sobre la industria de las criptomonedas, se pronunció sobre el hackeo. Wu compartió sus observaciones en su página oficial X, Wu Blockchain, y destacó la suposición de SlowMist de que la vulnerabilidad podría ser un "vacío en el modelo de privacidad de Monero". Si bien el origen del ataque sigue siendo un misterio, el incidente ha planteado preguntas sobre la seguridad de la cadena de bloques de Monero y la efectividad de sus características de privacidad.

La billetera CCS, que sirve como sistema de financiación para proyectos impulsados por la comunidad, tenía un saldo total de 2,675.73 XMR hasta el 1 de septiembre de 2023. Este saldo se acumuló a través de donaciones de la comunidad y estaba destinado a apoyar varias iniciativas dentro del ecosistema.

La explotación de la billetera CCS ha generado preocupaciones sobre la seguridad de la red Monero. La privacidad es un principio central del diseño de las empresas, pero este incidente ha planteado preguntas sobre si las características de privacidad pueden ser explotadas. Si bien los desarrolladores de Monero trabajan continuamente para mejorar la seguridad de la red, el incidente sirve como recordatorio de que ningún sistema es completamente inmune a las vulnerabilidades.