Thomas Daniels
Nedávné porušení se zaměřilo na Monero crowdfundingovou peněženku komunity, čímž zcela vyčerpá své prostředky v celkové výši 2,675.73 460,000 XMR, což odpovídá přibližně XNUMX XNUMX $.
K porušení došlo 1. září, ale až 2. listopadu vývojář Monero Luigi odhalil incident na GitHubu. Uvedl, že původ narušení zůstává neznámý.
„Prvního září 2023 byla peněženka CCS vyprázdněna od celkových prostředků ve výši 2,675.73 244 XMR těsně před úderem půlnoci. Hot peněženka, vyhrazená pro platby našim přispěvatelům, nebyla ovlivněna a aktuálně drží kolem XNUMX XMR. Stále to vyšetřujeme a zatím jsme nezjistili zdroj narušení bezpečnosti,“ uvedl Luigi.
Monero Community Crowdfunding System (CCS) je zodpovědný za financování rozvojových iniciativ komunity. Ricardo „Fluffypony“ Spagni, další vývojář pro Monero, vyjádřil v diskusi své zděšení a poukázal na etické porušení, protože tyto ukradené prostředky mohly být kritické pro něčí základní životní náklady.
Luigi a Spagni byli jedinými jednotlivci, kteří měli přístup k základní frázi peněženky. Luigi zmínil, že peněženka CCS byla původně založena na platformě Ubuntu v roce 2020, která také provozovala uzel Monero. Pro provádění plateb členům komunity Luigi od roku 10 provozoval hot wallet na systému Windows 2017 Pro. Hot wallet dostával prostředky z peněženky CCS podle potřeby. 1. září však byla peněženka CCS vyprázdněna prostřednictvím devíti samostatných transakcí. V reakci na to hlavní tým Monero navrhl, že by Obecný fond měl kompenzovat okamžité finanční závazky.
Spagni navrhl, že tento incident by mohl souviset s řadou útoků, které byly svědky od dubna a zahrnovaly různé bezpečnostní kompromisy, včetně odcizených dat peněženek z více kryptoměn.
Někteří další vývojáři spekulují, že k porušení mohlo dojít v důsledku odhalení klíčů peněženky na serveru Ubuntu.
Vývojář Marcovelon pod pseudonymem předpokládal, že Luigiho počítač se systémem Windows mohl být kompromitován a zapsán do botnetu bez detekce. Předpokládal, že útočníci mohli provést loupež pomocí ukradených přihlašovacích údajů SSH nebo zneužitím trojského koně k získání ovládání vzdálené plochy, zatímco Luigi o tom nevěděl. Zdůraznil, že takové scénáře kompromitace vývojářských strojů a vedoucích k významnému narušení podnikové bezpečnosti nejsou bezprecedentní.
