Laporan: Pengguna Dompet Monerujo Menguras Dompet CCS Monero

• Dompet Community Crowdfunding System (CCS) Monero dieksploitasi dan dikuras pada tanggal 1 September.
• Hingga 1 September, dompet tersebut memiliki total saldo 2.675,73 XMR, senilai US$460.000.
• Moonstone Research mengidentifikasi bahwa eksploitasi dilakukan oleh pengguna dompet Monerujo dengan fitur PocketChange.

Secara tiba-tiba, proyek berbasis komunitas terdesentralisasi Monero mengungkapkan eksploitasi dompet Community Crowdfunding System (CCS) yang terjadi pada tanggal 1 September 2023. Sesuai laporan, penyerang menghabiskan dompet dalam sembilan transaksi, mengumpulkan seluruh saldonya sebesar 2.675,73 XMR, senilai US$460.000.

Reporter kripto Tiongkok Colin Wu melalui halaman X resminya, Wu Blockchain, untuk berbagi wawasan tentang peretasan CCS Monero, yang sumbernya masih menjadi misteri. Reporter tersebut juga merefleksikan asumsi perusahaan keamanan blockchain SlowMist bahwa kerentanan adalah “celah dalam model privasi Monero.”

Sesuai pengungkapan Monero, hingga 1 September, CCS, sebuah sistem yang didanai oleh donasi, memiliki total saldo 2.675,73 XMR. Pada bulan November, pengembang Monero Luigi mengidentifikasi bahwa kepemilikan dompet telah sepenuhnya dicuri.

Moonstone Research menelusuri transaksi penyerang dan menyimpulkan dengan anggapan bahwa pengeksploitasi adalah pengguna dompet Monerujo yang mengaktifkan fitur PocketChange. Monerujo adalah dompet Monero non-kustodian Android, menawarkan fitur PocketChange yang mengurangi kelemahan Monero dengan membuat banyak “kantong” atau “notes.” Laporan tersebut lebih lanjut menjelaskan gagasan tersebut, mencerminkan pernyataan Monerujo yang berbunyi,

Selama [PocketChange is] diaktifkan, setiap kali Anda menggunakan Monerujo untuk mengirim monero ke suatu tempat, ia akan mengambil koin yang lebih besar, membaginya menjadi beberapa bagian, dan menyebarkan koin-koin yang lebih kecil itu ke dalam 10 kantong berbeda. Dengan begitu, koin-koin tersebut tidak akan tergabung lagi, dan Anda akan siap untuk membelanjakan uang secara instan dari semua kantong tersebut tanpa harus menunggu 20 menit yang mengerikan.

Dengan empat Laporan Penemuan Crescent, Moonstone Research mengidentifikasi bahwa penyerang telah membuat 11 keluaran enotes, yang tidak mungkin terjadi pada transaksi biasa. Mengulangi asumsi mereka, Moonstone Research menyatakan, “Kami yakin ini adalah kasus yang paling mungkin terjadi, terlepas dari apakah penyerang menggunakan Monerujo versi 3.3.7 atau 3.3.8.”