Reorganização de 13 blocos do Litecoin rastreada até um patch privado de um mês que nunca chegou a todos…

O Litecoin sofreu uma reorganização de 13 blocos após atacantes explorarem uma vulnerabilidade no seu protocolo Mimblewimble Extension Block (MWEB), revertendo cerca de 32 minutos de atividade na cadeia. A Litecoin Foundation descreveu inicialmente o incidente como um ataque de zero-day, mas o histórico de commits público do GitHub contradiz essa caracterização.

Pesquisadores, incluindo bbsz da SEAL911, descobriram que o bug de consenso central foi corrigido em privado entre 19 e 26 de março — cerca de quatro semanas antes da exploração. Uma vulnerabilidade separada de negação de serviço foi corrigida apenas na manhã de 25 de abril, o dia do ataque. Ambas as correções foram agrupadas na versão Litecoin Core v0.21.5.4 após o ataque já ter começado.

A lacuna entre a correção privada e a implementação total na rede parece ter sido o vetor do ataque. Alguns pools de mineração executaram código atualizado enquanto outros permaneceram na versão vulnerável. Os dados da blockchain…