Thomas Daniels
'n Onlangse oortreding het die Monero gemeenskap se skarebefondsingsbeursie, wat sy fondse ten bedrae van 2,675.73 XMR heeltemal dreineer, gelykstaande aan ongeveer $460,000.
Die oortreding het op 1 September plaasgevind, maar dit was eers op 2 November dat Monero-ontwikkelaar Luigi die voorval op GitHub bekend gemaak het. Hy het berig dat die oortreding se oorsprong onbekend is.
“Op die eerste September, 2023, is die CCS Wallet leeggemaak van sy totale fondse, ten bedrae van 2,675.73 244 XMR, net voor die slag van middernag. Die warm beursie, gereserveer vir betalings aan ons bydraers, is nie geraak nie en hou tans ongeveer XNUMX XMR. Ons ondersoek steeds en het nog nie die bron van die sekuriteitskending vasgestel nie,” het Luigi gesê.
Die Monero Community Crowdfunding System (CCS) is verantwoordelik vir die finansiering van die gemeenskap se ontwikkelingsinisiatiewe. Ricardo "Fluffypony" Spagni, nog 'n ontwikkelaar vir Monero, het sy ontsteltenis in die bespreking uitgespreek en die etiese skending uitgewys aangesien hierdie gesteelde fondse van kritieke belang kon wees vir iemand se basiese lewenskoste.
Luigi en Spagni was die enigste individue met toegang tot die beursie se saadfrase. Luigi het genoem dat die CCS-beursie aanvanklik in 2020 op 'n Ubuntu-platform gevestig is, wat ook 'n Monero-nodus bedryf het. Om betalings aan gemeenskapslede uit te voer, het Luigi sedert 10 'n warm beursie op 'n Windows 2017 Pro-stelsel bedryf. Die warm beursie het fondse uit die CCS-beursie ontvang soos nodig. Op 1 September is die CCS-beursie egter deur nege afsonderlike transaksies leeggemaak. In reaksie hierop het die Monero-kernspan voorgestel dat die Algemene Fonds vir die onmiddellike finansiële verpligtinge moet vergoed.
Spagni het voorgestel dat hierdie voorval verbind kan word met 'n reeks aanvalle wat sedert April gesien is, wat verskeie sekuriteitskompromieë behels, insluitend gesteelde beursiedata van verskeie kripto-geldeenhede.
Sommige ander ontwikkelaars spekuleer dat die oortreding die gevolg kon wees van die blootstelling van die beursiesleutels op die Ubuntu-bediener.
Ontwikkelaar Marcovelon, onder 'n skuilnaam, het veronderstel dat Luigi se Windows-rekenaar moontlik gekompromitteer is en sonder opsporing by 'n botnet ingeskryf is. Hy het teoretiseer dat die aanvallers die rooftog kon uitgevoer het deur gebruik te maak van gesteelde SSH-bewyse of deur 'n trojaan te ontgin om afstandrekenaarbeheer te verkry terwyl Luigi onbewus was. Hy het beklemtoon dat sulke scenario's van ontwikkelaarmasjiene wat gekompromitteer word en tot beduidende korporatiewe sekuriteitsbreuke lei, nie ongekend is nie.
