Vulnerabilidad de Monero compromete la privacidad de sus transacciones

Si un usuario gasta fondos inmediatamente después de recibidos, es posible identificar la salida como el gasto efectivo.

No se revelan detalles sobre direcciones o monto de la transacción.
Desarrolladores recomiendan esperar una hora antes de disponer de los fondos.

Los desarrolladores de Monero reportaron este lunes 26 de julio la detección de una vulnerabilidad importante en la selección de señuelos, que puede impactar la privacidad de las transacciones.

En el foro de desarrolladores Forum Monero Space, el usuario spg_ notificó, la noche de este lunes 26 de julio lo siguiente: «una vulnerabilidad bastante significativa fue detectada en el algoritmo de selección de señuelos de Monero». La selección de señuelos es un proceso diseñado para ocultar la salida de una transacción real entre 10 señuelos tomados al azar de transacciones anteriores.

Dicha notificación, reproducida después en este hilo de la cuenta @Monero en Twitter, daba más detalles sobre la vulnerabilidad.

If users spend funds immediately following the lock time in the first 2 blocks allowable by consensus rules (~20 minutes after receiving funds), then there is a good probability that the output can be identified as the true spend.

2/6
— Monero (XMR) (@monero) July 27, 2021

«Si un usuario gasta fondos inmediatamente después del lapso de bloqueo contemplado en las reglas de consenso (20 minutos, después de recibir los fondos), hay una buena probabilidad que la salida sea identificada como el gasto verdadero», dice el tuit. También se aclara que los fondos no corren riesgo de ser robados y que el hecho de detectar la transacción realizada, no revela direcciones o montos de esta.

Si bien esta falla en el código persiste en el código del monedero oficial de Monero, de acuerdo a los desarrolladores, estos recomiendan esperar al menos una hora para gastar los fondos recién recibidos, hasta que se incorpore la solución en una futura actualización de la cartera. De este modo se mitigaría el impacto de la vulnerabilidad.

El usuario Justin Berman detectó la vulnerabilidad, y notificó primero a los desarrolladores de Monero, antes de publicarlo en su cuenta de Twitter.

Esta vulnerabilidad es importante en el caso de Monero, por tratarse de una criptomoneda orientada a la privacidad. Bitcoin, por su parte, no contempla mecanismos en su protocolo para ocultar las direcciones o los montos de las transacciones realizadas.

En una entrevista concedida a CriptoNoticias en noviembre de 2020, el que fuera desarrollador principal de Monero, Riccardo Spagni, afirmó que Bitcoin adquiriría gradualmente mayor privacidad. De hecho, se espera para noviembre de este año la activación de Taproot, una actualización que mejora la configuración de privacidad de Bitcoin.