Обнаружена критическая уязвимость в P2Pool Monero, перенаправляющая доходы майнеров

В программном обеспечении P2Pool, используемом для майнинга криптовалюты Monero, выявлена серьезная уязвимость, которая позволяла перенаправлять выплаты майнеров в пользу третьих лиц. Важно отметить, что сама сеть Monero не была скомпрометирована; проблема касалась исключительно пользователей, использующих устаревшие версии P2Pool.Механизм атаки заключался в следующем: злоумышленник идентифицировал одну действительную долю в пуле, после чего создавал многочисленные поддельные копии этой доли. Эти поддельные записи искусственно заполняли окно выплат. Для старых версий P2Pool такие записи выглядели легитимными, что приводило к значительному уменьшению доли награды, причитающейся добросовестным майнерам. В некоторых случаях атакующий мог присваивать до 80–100% от выплаты за найденный блок. Это означало, что майнеры продолжали нести операционные расходы (например, на электроэнергию), но их ожидаемый доход фактически уходил к злоумышленнику.Исправление уязвимости было выпущено 13 июня в версии P2Pool v4.16. Однако до этого момента уязвимость уже активно эксплуатировалась, и майнеры, не обновившие свое программное обеспечение, продолжали терять свои будущие доходы.