Une faille de sécurité dans Monero met les fonds des utilisateurs en risque

Hier, des chercheurs en sécurité bénévoles ont détecté une faille significative faille de sécurité dans le portefeuille Monero qui aurait pu inciter ses utilisateurs à télécharger une version malveillante, mettant ainsi leurs fonds en risque.

Le 19 novembre 2019, un membre de l'équipe centrale d'XMR /u/binaryFate a publié un avertissement de sécurité Monero sur le subreddit qui indiquait un piratage potentiel des binaires CLI au cours des vingt-quatre dernières heures. Selon la publication, certains utilisateurs de portefeuilles Monero ont noté que le hachage des binaires téléchargés était différent des résultats attendus. Bien que le problème ait été rendu public, il n'a pas encore été résolu.

Une faille de sécurité majeure dans Monero

Ainsi, l'équipe a exhorté quiconque a téléchargé les binaires au cours des vingt-quatre dernières heures et n'a pas vérifié l'authenticité des fichiers, à vérifier immédiatement si les hachages correspondent. S'ils ne correspondent pas, il est demandé aux utilisateurs de ne pas exécuter le fichier téléchargé. Et ceux qui ont déjà exécuté le fichier, transfèrent tous les fonds hors du portefeuille, empêchant ainsi qu'ils ne soient volés.

Pendant ce temps, les modérateurs ont demandé la coopération des utilisateurs jusqu'à ce que l'équipe de sécurité puisse élucider ce problème et le résoudre. Parallèlement, si quelqu'un souhaite utiliser la version sécurisée du portefeuille Monero, le lien vers les hachages corrigés a été partagé par l'équipe Monero.

Les pirates pourraient obtenir un contrôle non autorisé

Justin Ehrenhofer, organisateur du groupe de réponse aux malwares Monero, explique que bien que les pirates aient fréquemment ciblé le site Web Monero pour des activités malveillantes, c'était en fait la première fois qu'il était compromis. Il a ajouté que les chercheurs ont détecté un code qui transfère la graine mnémonique Monero, avec les informations sur les clés privées, vers le serveur des pirates, mettant ainsi en danger les fonds des victimes stockés dans le portefeuille.

Une enquête plus approfondie sur les activités liées à l'accès à distance suggère que les attaquants pourraient être en mesure d'effectuer d'autres actions non autorisées au nom des utilisateurs, a ajouté Ehrenhofer.

Une catastrophe qui aurait pu être évitée

Pendant ce temps, un chercheur en cybersécurité pseudonyme et propriétaire d'un site de sécurité a commenté que si Monero avait été transparent sur la faille de sécurité bien à l'avance, de nombreux utilisateurs auraient été épargnés de la corvée de vérifier leurs fichiers téléchargés. Au lieu de cela, selon lui, Monero a choisi de publier les avertissements aussi tard que quatorze heures après la brèche, uniquement sur des plateformes telles que Twitter et Reddit, exposant ainsi de nombreux utilisateurs à un risque.

Si le site Web officiel de Monero avait averti ses utilisateurs du risque potentiel immédiatement après que la faille a été remarquée, beaucoup de dégâts auraient pu être évités, affirme l'expert en cybersécurité.

Image à la une par Pixabay