Brèche de sécurité révélée : le portefeuille CCS de Monero vidé de 460 000 $

Dans un tournant surprenant des événements, Monero, la cryptomonnaie populaire axée sur la confidentialité, a divulgué l'exploitation de son portefeuille du Système de Financement Participatif Communautaire (CCS) survenue le 1er septembre 2023. L'attaquant a réussi à vider le portefeuille de 2 675,73 XMR, soit environ 460 000 $. Cet incident a suscité des inquiétudes quant à la sécurité et à la confidentialité de la blockchain de Monero.

L'attaque s'est déroulée en une série de neuf transactions, au cours desquelles le responsable a réussi à soutirer la totalité du solde du portefeuille CCS. L'incident est resté discret jusqu'à récemment, lorsque Moonstone Research, une firme de sécurité blockchain, a identifié les actions de l'attaquant.

Moonstone Research a retrace les transactions de l'attaquant et a suggéré que l'exploitation a été exécutée par un utilisateur du portefeuille Monerujo qui avait activé une fonctionnalité connue sous le nom de « PocketChange ». Monerujo est un portefeuille Monero non custodial basé sur Android qui offre la fonctionnalité PocketChange, conçue pour renforcer le modèle de confidentialité de Monero en créant plusieurs « poches » ou « enotes ».

Analyse de l'exploitation des fonctionnalités de confidentialité de Monero

La fonction PocketChange de Monerujo fonctionne en divisant les pièces Monero plus importantes en parties plus petites et en les répartissant dans dix poches différentes. Cette fragmentation garantit que les pièces ne fusionnent pas à nouveau, permettant aux utilisateurs de dépenser depuis diverses poches instantanément, sans la période d'attente habituelle.

Selon les conclusions de Moonstone Research, l'attaquant a exploité cette fonctionnalité pour créer 11 enotes de sortie, un comportement incohérent avec les transactions typiques. Moonstone Research a exprimé sa confiance dans son évaluation, que l'attaquant ait utilisé la version 3.3.7 ou 3.3.8 de Monerujo.

Le journaliste chinois spécialisé dans la crypto, Colin Wu, connu pour ses analyses de l'industrie des cryptomonnaies, s'est exprimé sur le piratage. Wu a partagé ses observations sur sa page officielle X, Wu Blockchain, et a souligné l'hypothèse de SlowMist selon laquelle la vulnérabilité pourrait être une « faille dans le modèle de confidentialité de Monero ». Bien que la source de l'attaque reste un mystère, l'incident a soulevé des questions sur la sécurité de la blockchain de Monero et l'efficacité de ses fonctionnalités de confidentialité.

Le portefeuille CCS, qui sert de système de financement pour les projets communautaires, détenait un solde total de 2 675,73 XMR jusqu'au 1er septembre 2023. Ce solde a été accumulé grâce aux dons de la communauté et était destiné à soutenir diverses initiatives au sein de l'écosystème.

L'exploitation du portefeuille CCS a suscité des inquiétudes quant à la sécurité du réseau Monero. La confidentialité est un principe central de la conception des entreprises, mais cet incident a soulevé des questions sur la possibilité d'exploiter les fonctionnalités de confidentialité. Bien que les développeurs de Monero travaillent continuellement à renforcer la sécurité du réseau, l'incident rappelle qu'aucun système n'est entièrement immunisé contre les vulnérabilités.