11675

Проверка подписи в кошельке XMR требует доработки｜Улучшение безопасности всё ещё на рассмотрении｜Сначала дождусь подтверждения на уровне $645

Я предпочитаю выжидать и не покупать на росте из-за одного коммита. В популярных темах на Binance Square сейчас в основном обсуждают безопасность бирж, вывод средств и макроэкономику. В поисковом рейтинге за последние шесть часов XMR не фигурирует, поэтому я не буду привязывать эту публикацию к посторонним темам. 3 ноября в официальном репозитории Monero появился PR #11675. Разработчик указал, что при вызове некоторых интерфейсов подписи сообщений в режиме кошелька только для чтения с использованием метода подписи по умолчанию может произойти попытка применить отсутствующий ключ траты. В релизной сборке в таком случае вернётся сообщение о невозможности проверить подпись, а в отладочной сборке сработает проверка утверждения. В предложении требуется перед подписанием проверять, соответствует ли выбранный закрытый ключ открытому ключу адреса, а также возвращать из интерфейса понятную ошибку. Сейчас PR открыт и ожидает рассмотрения. Нельзя утверждать, что в новой версии кошелька проблему уже исправили, и тем более нельзя делать вывод, что из-за неё кто-то уже потерял средства.

Почему трейдерам стоит обратить внимание на эту деталь? «Подпись сообщения» часто используется для подтверждения контроля над адресом или входа в некоторые приложения, но это не то же самое, что перевод средств в блокчейне. Если интерфейс показывает, что подпись создана, а получатель не может её проверить, пользователь может ошибочно решить, что у него есть нужные права, или потратить время на выяснение причин. Это особенно важно для кошелька только для чтения, в котором по определению нет закрытого ключа, позволяющего тратить средства. В PR также отмечается, что в старой логике при явном указании адреса проверялось соответствие только открытому ключу траты, из-за чего могла возвращаться подпись, не соответствующая введённому адресу. Предлагаемое изменение должно проверять оба типа открытых ключей. Автор сообщил, что прошли модульные тесты, тесты API кошелька и тесты функции подписи RPC, однако это результаты тестирования, указанные автором PR, а не подтверждение того, что код уже объединён, выпущен или проверен во всех версиях кошелька. Текущая официальная версия на сайте — 0.18.5.4; её следует рассматривать отдельно от PR, который пока находится на рассмотрении.

С точки зрения рынка это потенциальное исправление, улучшающее надёжность использования, но оно напрямую не меняет предложение XMR, протокол конфиденциальности или спрос на спотовом рынке. Более значимыми факторами остаются регулирование и доступность торговых каналов: недавно FATF начала целевую проверку соблюдения стандартов поставщиками услуг с виртуальными активами. В документе XMR не упоминается, поэтому нельзя представлять это как новый запрет, направленный против XMR. Однако поддержка приватных активов биржами, возможность ввода и вывода, а также глубина рынка действительно влияют на фактические издержки торговли. По данным снимка Kraken, XMR стоит около $632,53; цена открытия за день — $630, минимум за последние 24 часа — $622,94, максимум — $645. Цена немного выше уровня открытия, но всё ещё ниже максимума. Этого недостаточно, чтобы утверждать, что рынок уже учитывает этот PR.

Я рассматриваю $645 как уровень подтверждения краткосрочного движения, а $622,94 — как нижнюю границу текущего диапазона колебаний. Если цена пробьёт $645, но быстро вернётся ниже, или если в ходе рассмотрения PR выяснится, что предложенное решение не устраняет проблему с кошельками только для чтения, от бычьего взгляда придётся отказаться. В макроэкономике тоже ничего не изменилось: на последнем заседании ФРС сохранила целевой диапазон ставки на уровне 3,75–4%, поэтому ограничения ликвидности для рисковых активов не исчезли из-за одного обсуждения разработки.

Если бы я торговал сам, сейчас я бы оставался вне рынка; рассматривал бы только спотовую покупку без плеча. Я бы открыл пробную позицию размером не более 2% от общего капитала лишь в том случае, если XMR продержится выше $645 в течение часа, при откате удержится выше $642, а глубина спотового рынка XMR и ввод и вывод средств на выбранной платформе будут в норме. Первая цель — $655, где я бы сократил позицию наполовину; вторая — $665, где я бы закрыл позицию либо включил трейлинг-стоп для остатка. Стоп-лосс я разместил бы ниже минимума отката, ограничив максимальное расстояние 3% от цены входа. Если часовая свеча закроется ниже $642, ухудшится доступность торговых каналов или официальное сообщение проекта изменит фактическую основу оценки, я бы закрыл позицию досрочно. Если условия не будут выполнены, я останусь вне рынка и не стану выдавать наблюдение за прибыль.

#XMR
Это лишь моё личное наблюдение за рынком, а не инвестиционная рекомендация.

Исправление подписи в кошельке XMR проходит проверку｜Это не означает компрометацию основной сети｜Рассматривать пробную сделку только выше $636,90

Моя позиция: сначала проверить границы риска, затем смотреть на цену — не гнаться за заголовком о коде. Сегодня в топе Binance Square по-прежнему преобладают темы вывода средств с платформ, налогового дела во Франции и макроэкономики; в списке Most Searched за последние шесть часов нет отметки «рост интереса» к XMR. Поэтому я не стану искусственно привязывать эту публикацию к нерелевантным популярным темам и сосредоточусь на конкретном изменении, недавно появившемся в официальном репозитории Monero.

3 ноября в основном репозитории Monero создан PR #11675 под заголовком «wallet: reject unverifiable message signatures» («кошелёк: отклонять непроверяемые подписи сообщений»). На момент подготовки материала он всё ещё имеет статус Open и ожидает проверки. Автор объясняет: у кошелька только для чтения нет доступного закрытого ключа для расходования средств. Если API кошелька или RPC по умолчанию подписывает сообщения таким ключом, официальная сборка может вернуть подпись, которую невозможно проверить. Предлагаемый патч перед подписанием проверяет, соответствует ли выбранный закрытый ключ открытому ключу адреса; если нет, API или RPC возвращает ошибку. Также проверяются две пары ключей явно указанного адреса, чтобы подпись соответствовала этому адресу. Речь идёт о функции «доказать, что сообщение подписано определённым адресом», а не о подписи ончейн-переводов. Нет никаких свидетельств того, что из-за этого утекли закрытые ключи, основная сеть была взломана или средства похищены.

Я также сверился со старой проблемой #4212 в репозитории Monero GUI, открытой в 2023 году: там уже описывался случай, когда кошелёк только для чтения ошибочно использовал ключ для расходования средств и создавал подпись, подлинность которой нельзя было подтвердить. В CLI/RPC есть возможность явно выбрать для подписи ключ просмотра. Новый PR устраняет эту проблему на границе функциональности и не означает, что она возникла только сегодня. Утверждение о прохождении тестов исходит от автора PR; ожидание проверки не означает, что изменение уже принято или выпущено. Текущая официальная версия на сайте — 0.18.5.4 от 16 октября; я не видел объявления о том, что это исправление вошло в официальный релиз. Тем, кто использует кошелёк только для чтения, чтобы подтвердить наличие активов, следует проверять, действительно ли подпись прошла проверку, а не считать само появление строки подтверждением.

Как это связано с торговлей? Благодаря приватным свойствам XMR третьи стороны сильнее зависят от соответствия требованиям, кошельков и проверяемых доказательств операций. Надёжность процедуры подтверждения важна для кастодиального хранения и внебиржевых расчётов, однако ещё не принятый патч кошелька в краткосрочной перспективе сам по себе не меняет предложение в блокчейне и не создаёт спрос на покупку. Недавняя проверка провайдеров услуг с виртуальными активами со стороны FATF также не упоминала XMR по имени, поэтому нельзя на этом основании выдумывать запрет или позитивный катализатор. В последнем решении ФРС ставка осталась в диапазоне 3,75–4%, а макроэкономическая ликвидность по-прежнему остаётся одним из фоновых факторов. На момент подготовки материала XMR/USD на Kraken торговалась примерно по $632,47; цена открытия за день — $630,00, диапазон за 24 часа — $602,20–636,90. Цена немного выше дневного открытия, но не превысила верхнюю границу диапазона, поэтому нельзя приписывать рост этому PR.

Если бы я торговал сам, сейчас я бы не входил в рынок; рассматривал бы только длинную позицию на споте без кредитного плеча. Я бы дождался, пока часовая свеча закроется выше $636,90 и цена удержится выше $635 после ретеста, а также проверил бы котировки и нормальную работу ввода и вывода средств на выбранной площадке. Затем открыл бы пробную позицию не более чем на 2% от общего капитала. Первая цель — $650, где я бы закрыл половину позиции; вторая — $665, а для остатка использовал бы скользящий стоп. Начальный стоп-лосс — $624. Если цена опустится ниже $630 и не сможет вернуться выше, при появлении более серьёзной информации по безопасности во время проверки PR или при внезапном ужесточении ограничений со стороны площадки я закрыл бы позицию досрочно. Если условия не сработают, я останусь вне рынка и ни в коем случае не буду выдавать план за уже исполненную сделку.

#XMR

Это только мои личные наблюдения за рынком, а не инвестиционная рекомендация.