Раскрыт сбой безопасности: кошелек CCS Monero обокраден на $460 000

В неожиданном повороте событий Monero, популярная криптовалюта, ориентированная на конфиденциальность, раскрыла эксплуатацию кошелька своей системы краудфандинга сообщества (CCS), произошедшую 1 сентября 2023 года. Атакующему удалось опустошить кошелек на 2 675,73 XMR, что эквивалентно примерно $460 000. Этот инцидент вызвал опасения относительно безопасности и конфиденциальности блокчейна Monero.

Атака развернулась в серии из девяти транзакций, в ходе которых злоумышленник смог слить весь баланс с кошелька CCS. Инцидент оставался незамеченным до недавнего времени, пока исследовательская компания Moonstone Research не выявила действия атакующего.

Moonstone Research отследила транзакции атакующего и предположила, что эксплуатация была выполнена пользователем кошелька Monerujo, который включил функцию, известную как «PocketChange». Monerujo — это некастодиальный кошелек Monero на базе Android, предлагающий функцию PocketChange, которая предназначена для усиления модели конфиденциальности Monero путем создания нескольких «карманов» или «enotes».

Анализ эксплуатации функций конфиденциальности Monero

Функция PocketChange в Monerujo работает путем разделения больших монеро на более мелкие части и распределения их по десяти различным «карманам». Эта фрагментация гарантирует, что монеты не объединятся снова, позволяя пользователям тратить средства из различных карманов мгновенно, без обычного периода ожидания.

Согласно выводам Moonstone Research, атакующий использовал эту функцию для создания 11 выходных enotes, что является поведением, несовместимым с типичными транзакциями. Moonstone Research выразила уверенность в своей оценке, независимо от того, использовал ли атакующий версию Monerujo 3.3.7 или 3.3.8.

Китайский крипто-репортер Колин Ву, известный своими инсайтами в индустрию криптовалют, высказал свое мнение по поводу взлома. Ву поделился своими наблюдениями на своей официальной странице в X под названием Wu Blockchain и выделил предположение SlowMist о том, что уязвимость может быть «лазейкой в модели конфиденциальности Monero». Хотя источник атаки остается загадкой, инцидент вызвал вопросы о безопасности блокчейна Monero и эффективности его функций конфиденциальности.

Кошелек CCS, который служит системой финансирования проектов, поддерживаемых сообществом, имел общий баланс в 2 675,73 XMR до 1 сентября 2023 года. Этот баланс был накоплен за счет пожертвований от сообщества и предназначался для поддержки различных инициатив в экосистеме.

Эксплуатация кошелька CCS вызвала опасения относительно безопасности сети Monero. Конфиденциальность является центральным принципом дизайна компаний, но этот инцидент вызвал вопросы о том, можно ли эксплуатировать функции конфиденциальности. Хотя разработчики Monero постоянно работают над улучшением безопасности сети, инцидент служит напоминанием о том, что ни одна система не полностью защищена от уязвимостей.