Ein kürzlich erfolgter Angriff hat die Community-Crowdfunding-Wallet von Monero kompromittiert und das gesamte Guthaben von 2.675,73 Monero (XMR) im Wert von fast 460.000 US-Dollar vernichtet.
Der Vorfall ereignete sich am 1. September, war aber nur offengelegt auf GitHub am 2. November von Moneros Entwickler Luigi. Ihm zufolge sei die Quelle des Verstoßes noch nicht identifiziert worden.
„Das CCS-Wallet wurde am 1. September 2023, kurz vor Mitternacht, um 2.675,73 XMR (das gesamte Guthaben) geleert. Das Hot Wallet, das für Zahlungen an Mitwirkende verwendet wird, ist unberührt; sein Guthaben beträgt ~244 XMR. Das haben wir bisher nicht getan.“ in der Lage, die Ursache des Verstoßes zu ermitteln.“
Das Community Crowdfunding System (CCS) von Monero finanziert Entwicklungsvorschläge seiner Mitglieder. „Dieser Angriff ist skrupellos, da sie Gelder gestohlen haben, auf die ein Spender möglicherweise angewiesen ist, um seine Miete zu bezahlen oder Lebensmittel zu kaufen“, bemerkte Monero-Entwickler Ricardo „Fluffypony“ Spagni in dem Thread.
Luigi und Spagni waren die einzigen beiden Personen, die Zugriff auf die Wallet-Seed-Phrase hatten. Laut Luigis Beitrag wurde das CCS-Wallet im Jahr 2020 auf einem Ubuntu-System neben einem Monero-Knoten eingerichtet.
Um Zahlungen an Community-Mitglieder zu leisten, nutzte Luigi ein Hot Wallet, das sich seit 2017 auf einem Windows 10 Pro-Desktop befindet. Bei Bedarf wurde das Hot Wallet durch das CCS-Wallet finanziert. Am 1. September wurde das CCS-Wallet jedoch in neun Transaktionen gelöscht. Das Kernteam von Monero fordert, dass der General Fund seine aktuellen Verbindlichkeiten abdeckt.
„Es ist durchaus möglich, dass es mit den anhaltenden Angriffen zusammenhängt, die wir seit April gesehen haben, da sie eine Vielzahl kompromittierter Schlüssel umfassen (einschließlich Bitcoin wallet.dats, mit allerlei Hardware und Software generierte Seeds, Ethereum-Vorverkaufs-Wallets, usw.) und schließen XMR ein, das gefegt wurde“, bemerkte Spagni im Thread.
Anderen Entwicklern zufolge könnte der Verstoß darauf zurückzuführen sein, dass die Wallet-Schlüssel online auf dem Ubuntu-Server verfügbar waren.
„Es würde mich nicht wundern, wenn Luigis Windows-Rechner bereits Teil eines unentdeckten Botnetzes wäre und seine Betreiber diesen Angriff über SSH-Sitzungsdetails auf diesem Rechner durchführen würden (entweder indem sie den SSH-Schlüssel stehlen oder die Remote-Desktop-Kontrollfunktion des Trojaners live nutzen, während das Opfer es war). „Es ist keine Seltenheit, dass die Windows-Rechner von Entwicklern kompromittiert werden, was zu großen Unternehmensverstößen führt“, bemerkte der pseudonyme Entwickler Marcovelon.
Zeitschrift: Slumdog-Milliardär – Unglaubliche Geschichte vom Tellerwäscher zum Millionär von Sandeep Nailwal von Polygon