Violazione della sicurezza svelata: il portafoglio CCS di Monero svuotato per 460.000 dollari

In un giro di eventi sorprendente, Monero, la popolare criptovaluta focalizzata sulla privacy, ha divulgato un exploit del suo portafoglio del Sistema di Crowdfunding Comunitario (CCS) verificatosi il 1° settembre 2023. L'attaccante è riuscito a svuotare il portafoglio di 2.675,73 XMR, equivalenti a circa 460.000 dollari. Questo incidente ha sollevato preoccupazioni riguardo alla sicurezza e alla privacy della blockchain di Monero.

L'attacco si è svolto in una serie di nove transazioni, in cui il responsabile è riuscito a drenare l'intero saldo dal portafoglio CCS. L'incidente è rimasto sotto traccia fino a quando non è stato recentemente identificato da Moonstone Research, una società di sicurezza blockchain.

Moonstone Research ha tracciato le transazioni dell'attaccante e ha suggerito che l'exploit è stato eseguito da un utente del portafoglio Monerujo che aveva abilitato una funzione nota come "PocketChange". Monerujo è un portafoglio Monero non custodial basato su Android che offre la funzione PocketChange, progettata per migliorare il modello di privacy di Monero creando più "tasche" o "enotes".

Analisi dello sfruttamento delle funzionalità di privacy di Monero

La funzione PocketChange di Monerujo funziona scomponendo le più grandi monete Monero in parti più piccole e distribuendole in dieci tasche diverse. Questa frammentazione garantisce che le monete non si fondano di nuovo, consentendo agli utenti di spendere da varie tasche istantaneamente senza il solito periodo di attesa.

Secondo i risultati di Moonstone Research, l'attaccante ha sfruttato questa funzione per creare 11 output enotes, un comportamento incoerente con le transazioni tipiche. Moonstone Research ha espresso fiducia nella propria valutazione, indipendentemente dal fatto che l'attaccante abbia utilizzato la versione 3.3.7 o 3.3.8 di Monerujo.

Il reporter di criptovalute cinese Colin Wu, noto per le sue intuizioni sull'industria delle criptovalute, si è espresso riguardo all'hack. Wu ha condiviso le sue osservazioni sulla sua pagina ufficiale X, Wu Blockchain, e ha evidenziato l'assunzione di SlowMist che la vulnerabilità potrebbe essere un "vuoto normativo nel modello di privacy di Monero". Sebbene la fonte dell'attacco rimanga un mistero, l'incidente ha sollevato domande sulla sicurezza della blockchain di Monero e sull'efficacia delle sue funzionalità di privacy.

Il portafoglio CCS, che funge da sistema di finanziamento per progetti guidati dalla comunità, deteneva un saldo totale di 2.675,73 XMR fino al 1° settembre 2023. Questo saldo è stato accumulato attraverso donazioni della comunità ed era destinato a sostenere varie iniziative all'interno dell'ecosistema.

Lo sfruttamento del portafoglio CCS ha suscitato preoccupazioni riguardo alla sicurezza della rete Monero. La privacy è un principio centrale nel design delle aziende, ma questo incidente ha sollevato domande sul fatto che le funzionalità di privacy possano essere sfruttate. Sebbene gli sviluppatori di Monero lavorino continuamente per migliorare la sicurezza della rete, l'incidente serve come promemoria che nessun sistema è completamente immune alle vulnerabilità.