Litecoin đã phải trải qua một sự tổ chức lại chuỗi sâu (hay còn gọi là "reorg") vào thứ Bảy sau khi những kẻ tấn công khai thác một lỗ hổng zero-day liên quan đến lớp bảo mật MimbleWimble Extension Block (MWEB), theo thông báo của Litecoin Foundation trong một bài đăng trên X vào chiều thứ Bảy.

Lỗ hổng này cho phép các node đào tiền chạy phần mềm cũ xác thực một giao dịch MWEB không hợp lệ, tạo điều kiện cho kẻ tạo ra nó chuyển coin ra khỏi tiện ích mở rộng bảo mật và chuyển chúng đến các sàn giao dịch phi tập trung của bên thứ ba, theo Quỹ cho biết. Các pool đào lớn cũng bị ảnh hưởng bởi một cuộc tấn công từ chối dịch vụ liên quan đến cùng một lỗi.

CEO của Aurora Labs, Alex Shevchenko, gọi đây là một "cuộc tấn công phối hợp" trong một bài đăng trên X. Shevchenko cho biết fork đã diễn ra từ khối 3.095.930 đến 3.095,943 và mất hơn ba giờ để tạo ra, trong thời gian đó, những kẻ tấn công đã thực hiện các cuộc tấn công chi tiêu gấp đôi (double-spend) chống lại nhiều giao thức hoán đổi chuỗi chéo (cross-chain swapping protocols) đã chấp nhận các khoản peg-out MWEB hiện đã bị bỏ lại.

Thông báo của Quỹ nhấn mạnh rằng các giao dịch vi phạm cuối cùng đã bị xóa khỏi lịch sử của Litecoin, trong khi các giao dịch hợp lệ trong giai đoạn đó vẫn không bị ảnh hưởng. Quỹ cũng cho biết lỗ hổng đã được vá hoàn toàn, mặc dù một số sàn giao dịch đã báo cáo thiệt hại từ sự cố này. 

"Mức độ rủi ro cho NEAR Intents là khoảng 600.000 USD," Shevchenko viết trên X. "Chúng tôi khuyến nghị tất cả các sàn giao dịch cho LTC kiểm tra các giao dịch và tài sản. Chúng tôi thấy rất nhiều giao dịch chi tiêu gấp đôi."

Sự cố vào thứ Bảy là cuộc tấn công đầu tiên được biết đến nhắm vào MWEB kể từ khi Litecoin kích hoạt tiện ích mở rộng bảo mật này thông qua soft fork vào tháng 5 năm 2022. MWEB cho phép người dùng chuyển LTC từ chuỗi cơ sở minh bạch sang một chuỗi phụ bảo mật thông qua các giao dịch peg-in và peg-out, với tiện ích mở rộng chịu trách nhiệm xác thực việc bảo toàn coin giữa hai lớp trong mỗi khối.

Một lỗi tạo ra một giao dịch peg-out trông có vẻ hợp lệ nhưng không được ủy quyền cho phép kẻ tấn công hiệu quả triệu hồi LTC lên chuỗi chính cho đến khi các node trung thực từ chối khối vi phạm. Quỹ không nêu tên các pool bị ảnh hưởng và không tiết lộ số lượng LTC mà các giao dịch MWEB không hợp lệ đã tạo ra.

LTC được giao dịch ở mức gần 56,00 USD vào khoảng 4:30 chiều ET, giảm khoảng 1% trong ngày và không cho thấy phản ứng thị trường ngay lập tức đối với thông tin này, theo trang Litecoin Price của The Block. Token này đã giảm gần 25% từ đầu năm đến nay.

Sự cố này xảy ra trong bối cảnh an ninh tiền điện tử đang gặp nhiều khó khăn. Các giao thức DeFi đã mất hơn 750 triệu USD do các cuộc khai thác trong năm 2026 cho đến giữa tháng 4, bao gồm vụ rút tiền từ cầu nối Kelp DAO trị giá 292 triệu USD vào ngày 19 tháng 4 và một cuộc tấn công trị giá 285 triệu USD vào nền tảng hợp đồng vĩnh cửu Drift dựa trên Solana vào ngày 1 tháng 4. Hầu hết các sự cố đó đều liên quan đến cơ sở hạ tầng chuỗi chéo, cùng một bề mặt mà những kẻ tấn công Litecoin được cho là đã sử dụng để lấy lợi nhuận ra khỏi chuỗi bị ảnh hưởng trước khi reorg.

Litecoin Foundation đã không phản hồi ngay lập tức yêu cầu bình luận.