La réorganisation de 13 blocs de Litecoin retracée à un patch privé vieux d'un mois qui n'a jamais atteint tous…

Litecoin a subi une réorganisation de chaîne de 13 blocs après que des attaquants ont exploité une vulnérabilité dans son protocole Mimblewimble Extension Block (MWEB), annulant environ 32 minutes d'activité sur la chaîne. La Litecoin Foundation a initialement décrit l'incident comme une attaque de jour zéro, mais l'historique des commits publics sur GitHub contredit cette interprétation.

Des chercheurs, dont bbsz de SEAL911, ont découvert que le bug de consensus central avait été corrigé en privé entre le 19 et le 26 mars — environ quatre semaines avant l'exploitation. Une vulnérabilité distincte de déni de service n'a été corrigée que le matin du 25 avril, le jour de l'attaque. Les deux correctifs ont été regroupés dans Litecoin Core v0.21.5.4 après que l'attaque ait déjà commencé.

L'écart entre le patch privé et le déploiement complet sur le réseau semble avoir été le vecteur de l'attaque. Certains pools de minage ont exécuté du code mis à jour tandis que d'autres sont restés sur la version vulnérable. Les données de la blockchain…