Разработчики Monero устранили баг, позволявший похищать криптовалюту

Создатели криптовалюты Monero объявили об оперативном устранении уязвимости в коде. Баг позволял злоумышленникам получить средства со счетов криптообменников в неограниченных количествах. Сообщений о реальном использовании уязвимости не поступало. Разработчики направили соответствующие исправления кода заинтересованным лицам.

Баг в Monero

Уязвимость выявили, изучая теоретический сценарий, предложенный пользователем GasDoves на Reddit:

1. Пользователь А направляет пользователю Б XMR (валюту Monero) на анонимный счёт Б1.
2. Пользователь Б тратит валюту со счёта Б1.
3. Пользователь А направляет дополнительные средства на счёт Б1.

Анонимный счёт в системе Monero — адрес для одноразовой транзакции, который может сгенерировать пользователь для повышения анонимности действий. GasDoves спрашивал, будут ли дополнительные средства доступны пользователю Б.

Разбирая предложенный сценарий, разработчики выявили возможный вектор атаки на криптовалютные биржи. Злоумышленник может запросить у обменника адрес одноразового счёта для перевода валюты. После этого внести изменения в код клиента таким образом, чтобы транзакции направлялись только на этот счёт. Отправив миллион XMR по одной монете, хакер получит этот миллион на своём биржевом счету, хотя валидацию пройдёт только первая транзакция. До того как ошибка будет выявлена, у атакующего будет возможность обменять Monero на другую валюту и вывести её с биржи.

Подобным образом хакер может похитить у биржи любое доступное количество валюты, оставив только сгоревшие XMR. Однако сообщений от потерпевших о подобных атаках не поступало. Разработчики устранили баг 26 сентября 2018 года в версии 0.12.3.0.

Monero не в первый раз становится центром внимания из-за проблем с безопасностью. В марте 2018 года команда исследователей компьютерных уязвимостей Check Point поставила три скрипта-майнера на вершину рейтинга наиболее опасного ПО. Держатели сайтов с этими скриптами использовали устройства посетителей для добычи XMR.