Litecoin doświadczył głębokiej reorganizacji łańcucha (lub "reorg") w sobotę po tym, jak atakujący wykorzystali lukę zero-day związaną z jego warstwą prywatności MimbleWimble Extension Block (MWEB), podała Fundacja Litecoin w poście na X w sobotnie popołudnie.

Błąd pozwolił węzłom wydobywczym uruchamiającym starsze oprogramowanie na walidację nieprawidłowej transakcji MWEB, umożliwiając każdemu, kto ją stworzył, wyprowadzenie monet z rozszerzenia prywatności i skierowanie ich do zewnętrznych zdecentralizowanych giełd, podała Fundacja. Główne pule wydobywcze również zostały dotknięte atakiem typu denial-of-service związanym z tą samą wadą.

Dyrektor generalny Aurora Labs, Alex Shevchenko, nazwał to "skoordynowanym atakiem" w poście na X. Shevchenko powiedział, że fork trwał od bloku 3 095 930 do 3 095 943 i zajęło ponad trzy godziny jego wygenerowanie, podczas którego atakujący przeprowadzili ataki podwójnego wydatkowania przeciwko wielu protokołom wymiany międzyłańcuchowej, które zaakceptowały teraz osierocone wypłaty MWEB.

Notatka Fundacji podkreśla, że ​​nieprawidłowe transakcje zostały ostatecznie usunięte z historii Litecoina, podczas gdy prawidłowe transakcje z tego okresu pozostają nienaruszone. Fundacja powiedziała również, że luka została w pełni załatana, choć niektóre miejsca handlu zgłosiły straty z powodu tego incydentu. 

"Ekspozycja dla NEAR Intents wynosi około 600 tys. USD" – napisał Shevchenko na X. "Zalecamy wszystkim platformom handlowym LTC przeprowadzenie audytu transakcji i posiadanych aktywów. Widzimy wiele transakcji podwójnego wydatkowania."

Sobotni incydent to pierwszy znany atak wymierzony w MWEB od czasu aktywacji rozszerzenia prywatności przez Litecoin za pośrednictwem soft forka w maju 2022 roku. MWEB pozwala użytkownikom przenosić LTC z przejrzystego łańcucha bazowego do poufnego łańcucha bocznego za pomocą transakcji peg-in i peg-out, przy czym rozszerzenie jest odpowiedzialne za walidację zachowania monet między dwiema warstwami w każdym bloku.

Błąd powodujący wyglądającą na prawidłową, ale nieautoryzowaną wypłatę (peg-out) pozwala atakującemu skutecznie przywołać LTC na główny łańcuch, dopóki uczciwe węzły nie odrzucą problematycznego bloku. Fundacja nie podała nazw dotkniętych pul i nie ujawniła, ile LTC stworzyły nieprawidłowe transakcje MWEB.

LTC był notowany w okolicach 56,00 USD około godziny 16:30 ET, spadając o około 1% w ciągu dnia i nie wykazując natychmiastowej reakcji rynkowej na ujawnienie, zgodnie ze stroną The Block dotyczącą ceny Litecoina. Token spadł o prawie 25% od początku roku.

Incydent ma miejsce w trudnym okresie dla bezpieczeństwa kryptowalut. Protokoły DeFi straciły ponad 750 milionów dolarów w wyniku exploitów w 2026 roku do połowy kwietnia, w tym 292 miliony dolarów z tytułu drenażu mostu Kelp DAO 19 kwietnia i 285 milionów dolarów z ataku na platformę wieczystych kontraktów Solana, Drift, 1 kwietnia. Większość tych incydentów dotyczyła infrastruktury międzyłańcuchowej, tej samej powierzchni, którą atakujący Litecoina rzekomo wykorzystali do wyprowadzenia swoich zysków z dotkniętego łańcucha przed reorg.

Fundacja Litecoin nie odpowiedziała natychmiast na prośbę o komentarz.