В популярній криптовалюті Monero знайшли серйозну вразливість

У децентралізованому майнінговому пулі P2Pool для криптовалюти Mon­ero виявили серйозну вразливість. Вона дозволяла зловмисникам маніпулювати системою виплат і привласнювати винагороди, які мали отримати чесні учасники мережі.

P2Pool дає змогу майнерам запускати власні вузли та отримувати виплати без центрального сервера і посередників. У штатному режимі кожен успішний результат майнінгу створює одну унікальну облікову одиницю, від якої залежить розмір винагороди.

Проблема міститься в старих версіях програми. Баг дозволяв видобути одну справжню частку, а потім згенерувати тисячі її підроблених копій і надіслати їх у систему. Старі версії P2Pool приймали фальшивки як коректні записи — з одного результату можна було отримати до 12 000 копій. Фейкові частки заповнювали «вікно виплат» PPLNS, через яке пул розподіляє винагороду за знайдений блок між учасниками. Унаслідок цього чесні майнери втрачали частину виплат, а зловмисник міг привласнити до 80% винагороди. При наступному успішному блоці атакувальник отримував уже всю виплату повністю.

У середу, 17 червня, більше половини хешрейту підмереж Mini та Nano працювали на застарілому коді. Через це видобуток цих учасників фактично перетікав до зловмисника. Щоб мінімізувати збитки, розробники самі почали видобувати спеціально сформовані блоки — це дозволило перехопити несанкціоновану винагороду і згодом повернути кошти постраждалим майнерам.

Розробники запевнили, що вразливість не відкриває доступу до гаманців, не розкриває приватних ключів і не загрожує вже отриманим монетам. Ризик стосується виключно майбутніх виплат: майнер на старій версії програмного забезпечення може продовжувати роботу, однак частина його видобутку й надалі відходитиме зловмисникам. Переносити монети, змінювати або оновлювати гаманець через цей баг не потрібно.

Цей інцидент стався на тлі нещодавнього скандалу з блокчейном Zcash, де також виявили критичну помилку. Вона дозволяла створювати необмежену кількість підроблених токенів ZEC усередині пулу і існувала ще з травня 2022 року. Після розголошення інформації про вразливість курс ZEC обвалився більш ніж на 50%.