Monero-Patch: Wallet-Software warnte nicht vor "verbrannten" Einzahlungen

Die Krypto-Währung Monero (XMR) ist vor allem deswegen so beliebt, weil sie ihren Nutzern ein großes Maß an Privatheit garantiert. Unter anderem deshalb wird sie auch von Kriminellen seit Jahren dafür verwendet, heimlich per Trojaner auf Systemen Krypto-Geld zu schürfen. Die Entwickler hinter dem Monero-Referenz-Client haben nun eine Sicherheitslücke geschlossen, die es einem Angreifer zum Beispiel erlaubt hätte, Krypto-Geld-Tauschbörsen zu schädigen.

Dieser sogenannte Burning Bug war vor zwei Wochen bekannt geworden, als ein Reddit-Nutzer eine anscheinend unschuldige Was-Wäre-Wenn-Frage an die Monero-Community der Webseite gestellt hatte.

Nullsummenspiel für den Angreifer

Der Angriff macht sich eine Monero-Funktion namens Stealth-Adresse zu nutze. Diese Stealth-Adressen funktionieren ähnlich wie Postfächer: Der Empfänger des Krypto-Geldes kann sehen, von wem er bezahlt wird, aber die Menge der Stealth-Transaktionen in der Blockchain verschleiert dies für außenstehende Beobachter. Stealth-Adressen sind Wegwerf-Adressen und werden eigentlich nur für eine einzige Transaktion generiert. Weitere Zahlungen an eine einzelne Stealth-Adresse machen die dabei transferierten Guthaben ungültig, sie sind nicht mehr nutzbar und für das System "verbrannt".

Der Bug in der Software hätte es einem Angreifer zum Beispiel ermöglicht, 100 XMR in 1-XMR-Transaktionen an ein und dieselbe Stealth-Adresse zu schicken, ohne dass dem Empfänger diese Anomalie auffällt. 99 der 100 Transaktionen werden beim Eintragen in die Blockchain als ungültig betrachtet, so dass der Empfänger nur 1 XMR erhält. Die übrigen 99 XMR sind als verbrannt gekennzeichnet und können nicht mehr ausgegeben werden. Genau das hat die Wallet-Software dem Empfänger einer solchen Transaktion wegen eines Programmierfehlers aber nicht mitgeteilt, so dass etwa eine Börse vom Empfang von 100 XMR ausgegangen wäre.

Ein Angreifer könnte so also "verbrannte" XMR auf einer Börse in andere Währungen tauschen und das Geld dann abziehen. Das ist zwar nicht mal ein Nullsummenspiel für Angreifer, er müsste sogar noch Transaktionsgebühren draufzahlen und bekäme nur den Gegenwert (etwa in Dollar oder Bitcoin) seiner ausgegebenen XMR. Die Tauschbörse hingegen hätte den Schaden: Sie verliert die Tauschwährung und fast die komplette Summe der eingezahlten XMR.

Lücke geschlossen, Software-Update in Arbeit

Ein Patch für die Version 0.12.3.0 der Wallet-Software ist über GitHub verfügbar. Demnach arbeiten die Entwickler daran, diesen auch in die nächste Version des offiziellen Monero-Clients einzupflegen. Tests der Änderungen haben bereits begonnen. Allerdings sind durch die Lücke wohl nur Tauschbörsen, Händler und ähnliche Organisationen bedroht. Viele Tauschbörsen wurden von den Entwicklern auch vor Bekanntwerden des Problems im Stillen gewarnt. (fab)