Monero adelantó parche de seguridad ante divulgación de vulnerabilidad

Desarrolladores de Monero lanzaron el pasado domingo un parche para corregir una falla que permitía el envío de XMR con transacciones manipuladas que reflejaban un saldo superior al real. Esto, luego de que el error fuera publicado de forma “irresponsable”, de acuerdo al equipo de Monero. Así lo informaron a casas de cambio y servicios de pago que trabajan con carteras de Monero.

“Ya que el error ha sido, públicamente divulgado, irresponsablemente, por un tercero no relacionado con el revelador original (…) la comunidad de desarrolladores de Monero decidió adelantar la actualización“, reza el texto disponible en Github. El mismo fue enviado el domingo, pocas horas después de haber anunciado que la actualización se realizaría este miércoles.

En un chat de la comunidad de Monero presente en Reddit se establece que el responsable de la divulgación tenía conocimiento de la falla desde hace meses. Se estaba guardando la información “por razones desconocidas”.

Valiéndose de un error asociado a las transacciones coinbase (creación de monedas que se incluyen en un bloque recién minado), un atacante podía enviar una cantidad inflada de XMR a la dirección de su elección, pues la falla explotaba la discrepancia entre la cantidad desplegada al usuario y la cantidad chequeada por la red. Así se explica a través de una publicación de Ryo en Medium.

Por su parte, desde Monero alegaron además que no se trataba de un error de consenso, ni permitía la generación falsa de XMR.

Junto con la emisión de alerta con una solución temporal que vendría seguida de un parche corrigiendo el error, Monero anunció la habilitación de la descarga de la versión 0.14.0.1 de la cartera de Monero, que ponía solución a la vulnerabilidad, y la pusieron a la disposición de las casas de intercambio y servicios de pagos.

The patch can now be found in pull request #5216: https://t.co/6ExA8kyUJq

— Monero (XMR) (@monero) March 3, 2019

En agosto de 2018, reportaron un error similar, que permitía falsos envíos de XMR. El mismo fue también corregido en su momento con un parche.

Imagen destacada por BillionPhotos.com / stock.adobe.com