Litecoins 13-Block-Reorg auf einen einen Monat alten privaten Patch zurückzuführen, der nie alle erreichte…

Litecoin erlitt eine 13-Block-Kettenreorganisation, nachdem Angreifer eine Schwachstelle im Mimblewimble Extension Block (MWEB)-Protokoll ausnutzten, was etwa 32 Minuten an On-Chain-Aktivität zurückspulte. Die Litecoin Foundation beschrieb den Vorfall zunächst als Zero-Day-Angriff, aber die öffentliche GitHub-Commit-Historie widerspricht dieser Darstellung.

Forscher, darunter bbsz von SEAL911, fanden heraus, dass der Kernkonsensfehler zwischen dem 19. und 26. März privat gepatcht wurde – etwa vier Wochen vor dem Exploit. Eine separate Denial-of-Service-Schwachstelle wurde erst am Morgen des 25. April, dem Tag des Angriffs, gepatcht. Beide Fixes wurden in Litecoin Core v0.21.5.4 gebündelt, nachdem der Angriff bereits begonnen hatte.

Die Lücke zwischen dem privaten Patch und dem vollständigen Netzwerk-Deployment scheint der Angriffsvektor gewesen zu sein. Einige Mining-Pools führten aktualisierten Code aus, während andere auf der verwundbaren Version blieben. Blockchain-Daten…