Violação de segurança revelada: carteira CCS do Monero esvaziada com US$ 460.000

Em uma reviravolta surpreendente, o Monero, a popular criptomoeda focada em privacidade, divulgou uma exploração de sua carteira do Sistema de Financiamento Comunitário (CCS) que ocorreu em 1º de setembro de 2023. O atacante conseguiu drenar a carteira de 2.675,73 XMR, equivalente a aproximadamente US$ 460.000. Este incidente levantou preocupações sobre a segurança e a privacidade da blockchain do Monero.

O ataque se desenrolou em uma série de nove transações, nas quais o perpetrador conseguiu sugar todo o saldo da carteira CCS. O incidente passou despercebido até recentemente, quando a Moonstone Research, uma empresa de segurança blockchain, identificou as ações do atacante.

A Moonstone Research rastreou as transações do atacante e sugeriu que a exploração foi executada por um usuário da carteira Monerujo que havia ativado um recurso conhecido como “PocketChange”. O Monerujo é uma carteira Monero não custodial baseada em Android que oferece o recurso PocketChange, projetado para aprimorar o modelo de privacidade do Monero criando múltiplos “bolsos” ou “enotes”.

Analisando a exploração dos recursos de privacidade do Monero

O recurso PocketChange do Monerujo funciona dividindo moedas Monero maiores em partes menores e distribuindo-as em dez bolsos diferentes. Essa fragmentação garante que as moedas não se fundam novamente, permitindo que os usuários gastem de vários bolsos instantaneamente, sem o período de espera habitual.

De acordo com as descobertas da Moonstone Research, o atacante explorou esse recurso para criar 11 enotes de saída, um comportamento inconsistente com transações típicas. A Moonstone Research expressou confiança em sua avaliação, independentemente de o atacante ter usado a versão 3.3.7 ou 3.3.8 do Monerujo.

O repórter de criptomoedas chinês Colin Wu, conhecido por suas percepções sobre a indústria de criptomoedas, comentou sobre o hack. Wu compartilhou suas observações em sua página oficial X, Wu Blockchain, e destacou a suposição da SlowMist de que a vulnerabilidade pode ser uma “lacuna no modelo de privacidade do Monero”. Embora a origem do ataque permaneça um mistério, o incidente levantou questões sobre a segurança da blockchain do Monero e a eficácia de seus recursos de privacidade.

A carteira CCS, que serve como um sistema de financiamento para projetos impulsionados pela comunidade, tinha um saldo total de 2.675,73 XMR até 1º de setembro de 2023. Esse saldo foi acumulado por meio de doações da comunidade e era destinado a apoiar várias iniciativas dentro do ecossistema.

A exploração da carteira CCS provocou preocupações sobre a segurança da rede Monero. A privacidade é um princípio central do design das empresas, mas este incidente levantou questões sobre se os recursos de privacidade podem ser explorados. Embora os desenvolvedores do Monero trabalhem continuamente para aprimorar a segurança da rede, o incidente serve como um lembrete de que nenhum sistema está totalmente imune a vulnerabilidades.