門羅幣社群眾籌錢包（CCS）傳資金遭掏空，損失 2,675.73 枚門羅幣，金額約為 46 萬美元。社群懷疑是私鑰管理者 Luigi 與 Spagni 兩人自導自演，而這也引起了社群提出應該解散核心開發團隊的意見，並稱這是門羅幣當前最大的中心化風險。
（前情提要：幣安比利時9/21下架隱私幣，禁門羅幣XMR、MobileCoin等交易）
（背景補充：隱私幣始祖「門羅幣 XMR」是什麼？發展現狀、未來展望、市場增長、監管危機）
隱私幣王者門羅幣（Monero）近期揭露了社群眾籌錢包（Community Crowdfunding System, CCS）自九月起遭攻擊事件，總共損失了原先要支援開發者的 2,675.73 枚門羅幣（XMR），涉及金額達為 46 萬美元，事件也引起社群爭議，讓向來認為牢不可破的門羅幣隱私引起爭議。
仍未查明漏洞源頭
該 CCS 錢包洩漏事故是 2 日由 Monero 開發者 Luigi 在 GitHub 上公開，此事件早在 9 月 1 日就已發生，目前仍未查出安全漏洞的具體源頭，而不幸中的大幸，用來支付給核心開發發者的熱錢包，其內約有 244 枚 XMR 則幸免於難，過去門羅幣一直是使用該錢包向外界募款，藉此來支援核心開發者。
據 Github 上的貼文，Luigi 與 Spagni（又名 Fluffypony）兩人是唯一掌握該 CCS 錢包私鑰的人士，CCS 錢包於 2020 年在一台裝有 Ubuntu 的系統上建立，該系統同時也執行著一個 Monero 節點，有需要時 Luigi 就會從 CCS 錢包中撥款至熱錢包來對社群成員進行付款，這個熱錢包自 2017 年起就運行在一台 Windows 10 Pro 的桌面電腦上，然而在 9 月 1 日，CCS 錢包卻在九筆交易中被掏空，因此Monero 核心團隊現在正尋求其他一般基金（General Fund ）出面解決當前核心團隊的債務問題。
Spagni 指出，這次攻擊可能與自四月份以來發生的一系列駭客事件有關，其中涉及到了多種被盜用的私鑰，包括比特幣錢包文件（wallet.dats）、多種硬軟體生成的密碼種子，以太坊預售錢包等，現在甚至還有已被掃空的 XMR 資金。
另一位匿名開發者 Marcovelon 評論道，如果 Luigi 的 Windows 電腦已被某 botnet 控制且未被發現的話，攻擊者就可能通過竊取 SSH 密鑰或利用木馬遠程桌面控制功能在用戶毫無察覺的情況下發起了這次攻擊，這樣由開發者電腦被侵造成的大型企業安全事件並不鮮見；另有其他開發者推測，此次遭竊的起因可能是 Ubuntu 伺服器上可能洩露的錢包密鑰。
提案解散核心團隊
昨（5）日晚間，Spagni 在 GitHub 上發布了另一項提案，討論解散 Monero 核心團隊，表示最近的 CCS 錢包事件就是核心團隊可能成為風險源頭的實例之一，因此提案將核心團隊轉型為六個自主形成的工作組，於 2025 年 1 月 1 日前轉型。
這項提案獲得 Douglas Tuman 支持，他表示這讓人看到了進步的希望，堅信此次 CCS 事件將是 Monero 項目發展的一個轉折點，促使開發和治理方式、以及資金籌措手段變得更加去中心化，更能抵御攻擊和安全漏洞。不過，他也表示，不完全確定目前的提案是否最佳，但有看到這樣的討論是好事。
This looks like progress to me. https://t.co/xO7lbR4D5i
I’m confident the CCS incident will only strengthen the Monero project. Development/governance and means for funding development will evolve to be more decentralized and less prone to attack and security flaws. I don’t…
— Douglas Tuman (@DouglasTuman) November 5, 2023
社群懷疑監守自盜
針對漏洞的可能源頭，也引起社群廣泛討論。研究員 Chris Blec 懷疑：「最有可能的情況是控制錢包的人（Luigi 和/或 fluffy）偷了錢」。
The most likely scenario is that the people controlling the wallet (Luigi and/or fluffy) stole the money.
Is there any way to rule this possibility out to clear their names (aside from good-will reputation-based stuff)?
— Chris Blec (@ChrisBlec) November 2, 2023
另有網友毫不客氣地表示 Spagni 是主要嫌疑人：
談到信譽問題，fluffy 是顯而易見的嫌疑人。
從過往行為來看，luffy 是顯而易見的嫌疑人。
這些年我一直在強調：fluffy 是 #Monero 面臨的最大風險。
對此，Tuman 是表態，除非有確鑿的證據顯示 Spagni 對 Monero 有害，否則基於他對 Monero 的巨大貢獻，他將永遠對他持敬意和信任。Spagn 自己也回覆道，過去投入了數十萬美元的資金來開發門羅幣，並公開了自己的花費明細。
My guy. I poured hundreds of thousands of USD of my own money into Monero's development until we had the FFS running. Your positioning on this is absurd. pic.twitter.com/UmFCpoPdUv
— Ric “el pony esponjoso” (@fluffypony) November 2, 2023
隱私幣還能保護隱私嗎？
值得關注的是，Moonstone Research 發布報告，調查此次事件的攻擊者如何轉移這些資金，最後確認了三筆可能包含「被盜」資金的門羅幣交易，並表示所有門羅幣交易所和服務都應檢查是否收到以下交易，這樣它們就有可能被交易所凍結。然而，可以被追蹤的資金流向與隱私幣的概念不合，因此，也引起了社群對隱私幣是否足夠隱私的廣泛討論。
對此，Seth For Privacy 發文表示，Moonstone Research 的分析方法並不適用於幾乎所有使用 Monero 的人，重申 Monero 依然是預設隱私的，用戶無需額外操作即可規避大範圍的監控，並且在大多數常見情境下能抵抗針對性的追蹤。此外，也透露 Monero 未來還會持續改進，像是在實施 Seraphis 全球匿名集之後，Moonstone Research 現在的追蹤方法將幾乎（或完全）不可能實現。
對此，Chris 再度發文回應，雖然隱私保護技術，如 Monero，正處於持續的進化之中。然而，我們今天所進行的操作，以及所應用的當前隱私技術，都會成為歷史紀錄並被未來的數據考古學家挖掘和研究。他想表達的就如同他前一篇推文：
不存在「永遠的隱私」，所有隱私技術都是轉瞬即逝的。今天有效，但不會永遠有效。
To clarify some things here, this is not a scenario that applies to almost anyone using Monero.
Tl;dr – Monero is still private by default, defeats dragnet surveillance without any additional effort, and is resistant to targeted tracing in most common scenarios.
In detail:
— Seth For Privacy (@sethforprivacy) November 4, 2023
📍相關報導📍
隱私幣末日》幣安將於歐盟下架門羅幣、Zcash、Dash…監管壓力加大
