Monero (XMR) kann das, was Bitcoin unterstellt wird: anonyme Transaktionen. Während sich bei der Krypto-Leitwährung mit dem Taproot-Update eine Verbesserung in Sachen Privatsphäre abzeichnet, kann Monero bereits “ab Werk” über diverse Mechanismen, die das Nachvollziehen von Transaktionsströmen und Konto-Ständen zu einer Herausforderung machen, an der sich noch jeder Blockchain-Schnüffler die Nase wund gestoßen hat. Nicht umsonst hat die US-amerikanische Steuerbehörde IRS im vergangenen Jahr eine Belohnung von 625.000 USD für Hacker ausgesetzt, die es schaffen, Moneros Privacy-Schleier zu lüften – bislang ohne Erfolg.
Monero-Entwickler warnen vor Privacy-Bug
Nun hat das Projekt jedoch selbst Hinweise auf einen Bug bekommen, der die Privatheit von Transaktionen beeinträchtigen könnte. Konkret geht es um den Algorithmus für das Erstellen von Decoy-Transaktionen. Dabei handelt es sich um “Transaktions-Attrappen”, die automatisch mit jeder XMR-Transaktion erstellt werden, um den Geldfluss zu verschleiern. Wie der Programmierer Justin Berman herausgefunden hat, funktioniert diese Verschleierung bei kurzfristigen Transaktionen nur teilweise. Zumindest der gesendete Betrag könnte, unter den richtigen Voraussetzungen, ermittelt werden:
Der Algorithmus für die Decoy-Auswahl hat so gut wie keine Chance, extrem aktuelle Outputs als Decoy auszuwählen. Wenn ein Benutzer heute einen Output direkt in dem Block ausgibt, in dem dieser freigeschaltet wurde, und der Output ursprünglich in einem Block erstellt wurde, der insgesamt weniger als 100 Output enthält, wäre sein echter Output im Ring [der Signatur des Blocks] eindeutig zu erkennen,
warnte Justin Berman via GitHub – lobenswerterweise erst, nachdem er das Kernentwickler-Team von Monero in Kenntnis gesetzt hatte.
Wohlgemerkt: Hierbei geht es nur um die Höhe des gesendeten Betrages, nicht um die Adresse oder “Kontostände” der Transaktionspartner. Dennoch nimmt das Monero-Team den “signifikanten” Bug “sehr ernst”, wie es auf seiner Twitter-Präsenz verkündete. Man arbeite derzeit an einer Lösung, heißt es dort weiter. Nutzer des Privacy Coins sind bis dahin dazu angehalten, zwischen dem Erhalt und Weiterversenden von XMR mindestens zwei Blöcke (rund 20 Minuten) verstreichen zu lassen, damit ein Maximum an Privatsphäre gewährleistet ist.
