Ravencoin a dezvăluit pe 11 august că o vulnerabilitate critică de consens fusese exploatată începând cu 7 august, permițând nodurilor vulnerabile să accepte blocuri invalide începând cu înălțimea 4.487.776.
Proiectul a avertizat în notificarea sa că un lanț de recuperare minat de 2Miners și RavenMiner ar putea declanșa o reorganizare profundă care să dureze „aproximativ trei zile” dacă devine dominant.
Alerta a urmat unei lansări de software de urgență de la 2Miners pe 10 august. Pool-ul a spus că vulnerabilitatea se află în validarea antetului blocului KAWPOW și permite unui atacator să ocolească procesul normal de minare intensiv din punct de vedere al memoriei. Ravencoin a sfătuit exchange-urile să oprească depozitele și retragerile RVN și a spus utilizatorilor să trateze confirmările de după blocul 4.487.775 ca fiind potențial reversibile.
2Miners a declarat că antetul KAWPOW conține un câmp nHeight care nu a fost verificat în raport cu poziția reală a unui bloc în lanț. Prin manipularea acestei valori, un atacator ar putea ajunge la o cale de validare care a sărit peste verificarea completă a dovezii de lucru (proof of work) și a acceptat un mix hash furnizat fără a confirma o muncă ProgPoW autentică.
Lansarea de urgență a declarat că blocurile create prin această vulnerabilitate nu au conținut muncă ProgPoW autentică și au fost „ordine de mărime mai ieftine” de produs decât blocurile oneste la aceeași dificultate. De asemenea, a documentat două efecte observate pe rețeaua principală: nodurile afectate ar putea eșua după repornire, în timp ce nodurile care încearcă să se sincronizeze ar putea întâmpina secvențe de antet corupte și ar putea eșua să se sincronizeze.
2Miners a declarat că exploatarea a continuat din 7 august până la lansarea sa din 10 august. Între înălțimile 4.489.527 și 4.491.615, a identificat 96 de blocuri afectate dintre cele 2.089 examinate. O mostră separată care acoperă perioada dinainte de 7 august nu a găsit blocuri afectate, susținând punctul de pornire identificat.
2Miners a lansat versiunea 4.6.1.1-hf1, care respinge blocurile a căror înălțime declarată a antetului diferă de poziția lor reală în lanț, începând cu 4.487.776. Patch-ul adaugă, de asemenea, un punct de control la 4.487.775 și reconstruiește starea lanțului atunci când datele de index deteriorate împiedică un nod să continue normal.
Pool-ul a spus că operatorii de noduri, exchange-urile, minerii și exploratorii ar trebui să facă upgrade. Lansarea sa avertizează că prima repornire poate dura câteva ore, deoarece software-ul redă aproximativ 4,49 milioane de blocuri și 28 de milioane de tranzacții în timp ce reconstruiește starea lanțului. Operatorilor care rulează mai multe noduri li s-a recomandat să le facă upgrade individual.
Notele oficiale GitHub ale Ravencoin au menționat separat că nu exista încă o versiune de bază care să rezolve atât problema KAWPOW, cât și o altă eroare de depășire a cantității de transfer de active. Responsabilul Hans Schmidt a recomandat utilizarea codului 2Miners pentru problema de minare până când va fi disponibil un patch combinat.
Upbit a suspendat depozitele și retragerile Ravencoin pe 10 august, invocând o problemă de rețea, înainte de avertismentul mai amplu al proiectului. Notificarea sa lasă tranzacționarea disponibilă, în timp ce transferurile rămân oprite. Bitget a suspendat, de asemenea, depozitele și retragerile RVN pentru întreținerea portofelului începând cu 10 august.
Datele CoinGecko au arătat că RVN se tranzacționa marți în jurul valorii de 0,00288 USD, în scădere cu aproximativ 19,1% în 24 de ore. Capitalizarea sa de piață scăzuse la aproximativ 47,3 milioane USD, în timp ce volumul de tranzacționare în 24 de ore se apropia de 11 milioane USD.
Ravencoin a mai experimentat o vulnerabilitate de protocol diferită înainte. În 2020, atacatorii au exploatat o vulnerabilitate pentru a crea aproximativ 315 milioane de RVN neautorizate, așa cum a raportat crypto.news în acoperirea anterioară a exploatării Ravencoin. Incidentul anterior a implicat emiterea excesivă de tokenuri, în timp ce vulnerabilitatea actuală se referă la validarea dovezii de lucru (proof of work) și istorii concurente ale lanțului.
Într-o acoperire legată de reorganizarea blocurilor, o reorganizare Monero de 18 blocuri în 2025 a invalidat tranzacțiile confirmate anterior. Acest episod ilustrează de ce exchange-urile devin adesea precaute în privința finalității tranzacțiilor atunci când rețelele de tip proof of work dezvoltă istorii concurente.
Ravencoin a declarat că 2Miners și RavenMiner controlau majoritatea hash rate-ului rețelei și minau de la ultimul bloc neafectat, excluzând în același timp ramura exploatată. Proiectul a avertizat că, dacă lanțul lor devine dominant, tranzacțiile confirmate după 4.487.775 ar putea dispărea din istoria acceptată. Unele ar putea reveni în mempool-uri și ar putea fi minate din nou, dar Ravencoin a spus că acest lucru „nu este garantat”.
Următoarele etape sunt un lanț dominant stabil, o adoptare mai largă a software-ului patch-uit și o lansare combinată Ravencoin upstream. Până atunci, îndrumarea proiectului rămâne ca exchange-urile să suspende transferurile și ca utilizatorii să nu se bazeze pe confirmările recente. Ravencoin a subliniat, de asemenea, că avertismentul său nu ar trebui interpretat ca sprijin pentru o revenire (rollback) sau pentru orice plan particular de recuperare.
RVN