门罗币众筹钱包被黑损失2675枚XMR！社群提议解散核心开发团队

欧易交易所

软件大小：268.26MB

软件版本：v3.4.2

APP下载

币灵灵财经(bilingling.com)：隐私币王者门罗币(Monero)近期揭露了社群众筹钱包(Community Crowdfunding System,CCS)自九月起遭攻击事件，总共损失了原先要支持开发者的2,675.73枚门罗币(XMR)，涉及金额达为46万美元，事件也引起社群争议，让向来认为牢不可破的门罗币隐私引起争议。

仍未查明漏洞源头

该CCS钱包泄漏事故是2日由Monero开发者Luigi在GitHub上公开，此事件早在9月1日就已发生，目前仍未查出安全漏洞的具体源头，而不幸中的大幸，用来支付给核心开发发者的热钱包，其内约有244枚XMR则幸免于难，过去门罗币一直是使用该钱包向外界募款，借此来支持核心开发者。

据Github上的贴文，Luigi与Spagni(又名Fluffypony)两人是唯一掌握该CCS钱包私钥的人士，CCS钱包于2020年在一台装有Ubuntu的系统上建立，该系统同时也执行着一个Monero节点，有需要时Luigi就会从CCS钱包中拨款至热钱包来对社群成员进行付款，这个热钱包自2017年起就运行在一台Windows10Pro的桌面电脑上，然而在9月1日，CCS钱包却在九笔交易中被掏空，因此Monero核心团队现在正寻求其他一般基金(General Fund)出面解决当前核心团队的债务问题。

Spagni指出，这次攻击可能与自四月份以来发生的一系列骇客事件有关，其中涉及到了多种被盗用的私钥，包括比特币钱包文件(wallet.dats)、多种硬软体生成的密码种子，以太坊预售钱包等，现在甚至还有已被扫空的XMR资金。

另一位匿名开发者Marcovelon评论道，如果Luigi的Windows电脑已被某botnet控制且未被发现的话，攻击者就可能通过窃取SSH密钥或利用木马远程桌面控制功能在用户毫无察觉的情况下发起了这次攻击，这样由开发者电脑被侵造成的大型企业安全事件并不鲜见；另有其他开发者推测，此次遭窃的起因可能是Ubuntu服务器上可能泄露的钱包密钥。

提案解散核心团队

昨(5)日晚间，Spagni在GitHub上发布了另一项提案，讨论解散Monero核心团队，表示最近的CCS钱包事件就是核心团队可能成为风险源头的实例之一，因此提案将核心团队转型为六个自主形成的工作组，于2025年1月1日前转型。

这项提案获得Douglas Tuman支持，他表示这让人看到了进步的希望，坚信此次CCS事件将是Monero项目发展的一个转折点，促使开发和治理方式、以及资金筹措手段变得更加去中心化，更能抵御攻击和安全漏洞。不过，他也表示，不完全确定目前的提案是否最佳，但有看到这样的讨论是好事。

社群怀疑监守自盗

针对漏洞的可能源头，也引起社群广泛讨论。研究员ChrisBlec怀疑：「最有可能的情况是控制钱包的人(Luigi和/或fluffy)偷了钱」。

另有网友毫不客气地表示Spagni是主要嫌疑人：谈到信誉问题，fluffy是显而易见的嫌疑人。从过往行为来看，luffy是显而易见的嫌疑人。这些年我一直在强调fluffy是#Monero面临的最大风险。

对此，Tuman是表态，除非有确凿的证据显示Spagni对Monero有害，否则基于他对Monero的巨大贡献，他将永远对他持敬意和信任。Spagn自己也回覆道，过去投入了数十万美元的资金来开发门罗币，并公开了自己的花费明细。

隐私币还能保护隐私吗？

值得关注的是，Moonstone Research发布报告，调查此次事件的攻击者如何转移这些资金，最后确认了三笔可能包含「被盗」资金的门罗币交易，并表示所有门罗币交易所和服务都应检查是否收到以下交易，这样它们就有可能被交易所冻结。然而，可以被追踪的资金流向与隐私币的概念不合，因此，也引起了社群对隐私币是否足够隐私的广泛讨论。

对此，Seth For Privacy发文表示，Moonstone Research的分析方法并不适用于几乎所有使用Monero的人，重申Monero依然是预设隐私的，用户无需额外操作即可规避大范围的监控，并且在大多数常见情境下能抵抗针对性的追踪。此外，也透露Monero未来还会持续改进，像是在实施Seraphis全球匿名集之后，Moonstone Research现在的追踪方法将几乎(或完全)不可能实现。

对此，Chris再度发文回应，虽然隐私保护技术，如Monero，正处于持续的进化之中。然而，我们今天所进行的操作，以及所应用的当前隐私技术，都会成为历史记录并被未来的数据考古学家挖掘和研究。他想表达的就如同他前一篇推文：不存在「永远的隐私」，所有隐私技术都是转瞬即逝的。今天有效，但不会永远有效。