Litecoin a subi une réorganisation de chaîne de 13 blocs le week-end du 25 avril après que des attaquants ont exploité une vulnérabilité du protocole Mimblewimble Extension Block (MWEB) pour faire passer des transactions invalides via des nœuds non corrigés. La Litecoin Foundation a qualifié l'événement d'exploitation d'une zero-day, mais le dépôt GitHub public litecoin-project montre que la vulnérabilité de consensus sous-jacente a été corrigée en privé entre le 19 mars et le 26 mars — environ quatre semaines avant l'attaque — et regroupée dans la release 0.21.5.4 seulement dans l'après-midi du 25 avril, alors que l'exploitation était déjà en cours. Une vulnérabilité distincte de déni de service, également utilisée lors de l'attaque, a été corrigée le même matin.
Pourquoi c'est important
Une zero-day est, par définition, une vulnérabilité inconnue des défenseurs au moment de l'attaque. L'historique des commits suggère l'inverse : un bug connu, dont le correctif avait été retenu sans publication publique et non déployé sur l'ensemble des pools de minage, créant une fenêtre temporelle où certains opérateurs exécutaient du code corrigé et d'autres non. Le chercheur en sécurité bbsz, du groupe d'intervention d'urgence SEAL911, a extrait la chronologie du correctif du log de commits public et soutenu sur X que le post-mortem de la Fondation ne correspond pas à ce que montre l'historique git. Alex Shevchenko de NEAR a ajouté que les données on-chain remontent jusqu'à un retrait Binance effectué 38 heures avant l'exploitation comme préfinancement de l'attaquant, l'adresse de destination étant déjà configurée pour échanger des LTC contre des ETH sur une plateforme décentralisée — un niveau de préparation qui ne cadre pas avec une vulnérabilité inconnue.
Impact sur le marché
La réorganisation de 13 blocs a inversé environ 32 minutes d'activité avant que la chaîne valide la plus longue du réseau ne rattrape la fourche de l'attaquant une fois le déni de service contre les mineurs corrigés terminé. La lecture structurelle pour le marché au sens large est que les réseaux proof-of-work plus anciens comme Litecoin et bitcoin reposent sur des pools de minage indépendants qui choisissent quand mettre à niveau, ce qui fonctionne pour les changements de routine mais laisse une faille exploitable lorsqu'un correctif de sécurité doit atteindre chaque opérateur avant qu'un attaquant ne le fasse — l'inverse des mises à niveau coordonnées en quelques heures que peuvent exécuter les chaînes plus récentes.
Questions fréquemment posées
-
Que s'est-il réellement passé pour Litecoin le week-end du 25 avril ?
Des attaquants ont exploité une vulnérabilité du protocole Mimblewimble Extension Block (MWEB) de Litecoin pour faire passer des transactions invalides via des nœuds non corrigés, déclenchant une réorganisation de chaîne de 13 blocs qui a inversé environ 32 minutes d'activité.
-
Pourquoi la qualification de « zero-day » est-elle contestée ?
Le GitHub public litecoin-project montre que le bug de consensus central a été corrigé en privé entre le 19 mars et le 26 mars, soit environ quatre semaines avant l'attaque — une zero-day est, par définition, une vulnérabilité inconnue des défenseurs au moment de l'exploitation.
-
Qui a signalé l'écart entre la chronologie et les correctifs ?
Le chercheur en sécurité bbsz du groupe d'intervention d'urgence SEAL911 a extrait la chronologie des correctifs du log de commits public, et Alex Shevchenko de la NEAR Foundation a soulevé des préoccupations parallèles, notamment des preuves on-chain du préfinancement de l'attaquant via Binance.
-
Comment le réseau s'est-il rétabli après la réorganisation de 13 blocs ?
Une fois les attaques par déni de service contre les nœuds de minage corrigés terminées, la chaîne valide la plus longue a rattrapé la fourche de l'attaquant et le réseau s'est réorganisé vers l'état canonique. La fenêtre invalide de 32 minutes a été effectivement annulée.
-
La Litecoin Foundation a-t-elle répondu à la chronologie GitHub ?
Dimanche matin, la Fondation n'avait ni publiquement abordé la chronologie des correctifs, ni divulgué combien de LTC avaient été déplacés pendant la fenêtre de blocs invalides ni la valeur d'éventuels swaps réalisés avant que la réorganisation ne les annule.
Lookonchain
WuBlockchain
CoinTelegraph