لقد تواكبت للتو مع ما حدث مع لايتكوين خلال عطلة نهاية الأسبوع وبصراحة هو دراسة حالة مثيرة جدًا حول كيفية تعامل شبكات إثبات العمل القديمة مع تصحيحات الأمان.

لذا بشكل أساسي، استغل المهاجمون ثغرة في بروتوكول MWEB الخاص بلايتكوين كانت قد تم تصحيحها بشكل خاص قبل أسابيع. أدى الهجوم إلى إعادة تنظيم سلسلة من 13 كتلة أعادت حوالي 32 دقيقة من نشاط الشبكة إلى الوراء. ما يجعل الأمر مثيرًا للاهتمام هو كيف تم توقيت ذلك.

وفقًا لالتزامات GitHub العامة، تم إصلاح خطأ التوافق الأساسي بصمت بين 19 مارس و26 مارس، أي تقريبًا قبل أربعة أسابيع من وقوع الاستغلال. لكن الأمر هنا - لم يكن التصحيح إلزاميًا عبر الشبكة. قامت بعض تجمعات التعدين بتحديث كودها بينما لم تفعل أخرى، مما خلق نافذة يمكن للمهاجمين استهدافها.

استخرج باحث أمني الجدول الزمني من سجل الالتزامات وأشار إلى أن الهجوم كان في الواقع يتكون من مكونين يعملان معًا. أولاً، كانت هناك ثغرة رفض الخدمة التي تم تصحيحها في 25 أبريل. ويبدو أن DoS كان مصممًا لإيقاف عقد التعدين المصححة عبر الإنترنت، مما يسمح للعقد غير المصححة بتشكيل سلسلة معاملات غير صالحة. ثم سمح خطأ التوافق لتلك المعاملات السيئة في MWEB بالمرور قبل أن تصحح الشبكة نفسها في النهاية.

أظهرت بيانات البلوكشين أن المهاجم قام بتمويل محفظة مسبقًا قبل 38 ساعة من الاستغلال من خلال سحب من بورصة، مع إعداد الوجهة بالفعل لتحويل LTC إلى ETH على بورصة لامركزية. خطوة محسوبة جدًا.

قام الشبكة بتصحيح نفسها بمجرد توقف هجمات DoS، وفي النهاية، تغلبت قوة التجزئة الكافية التي تعمل بالكود المحدث على الفرع غير الصحيح. لكن تلك النافذة التي استغرقت 32 دقيقة هي المشكلة الحقيقية هنا. هذا يسلط الضوء بشكل أساسي على الفرق بين شبكات PoW القديمة مثل لايتكوين وبيتكوين مقابل الشبكات الأحدث. الشبكات الأحدث ذات مجموعات المدققين الأصغر يمكنها دفع التصحيحات عبر الشبكة خلال ساعات من خلال قنوات منسقة. الشبكات الأقدم تعتمد على تجمعات التعدين المستقلة التي تقرر متى تقوم بالترقية، وهو أمر جيد للأمور غير العاجلة لكنه يخلق فجوات حقيقية في الثغرات الأمنية عندما تحتاج تصحيحات الأمان إلى الوصول للجميع في وقت واحد.

قالت مؤسسة لايتكوين إن الثغرة تم تصحيحها بالكامل وأن الشبكة تعمل بشكل طبيعي، لكنها لم تتطرق علنًا إلى جدول تصحيح الثغرة أو تكشف عن مدى تأثر LTC خلال نافذة الكتلة غير الصالحة. السعر حاليًا حوالي 58.58 دولار.

إنها تذكير جيد بأن الشبكات المعروفة يمكن أن تواجه مشاكل تنسيق عند إصدار تحديثات الأمان الحرجة. لم تكن الثغرة ذاتها مشكلة يوم الصفر هي المشكلة الوحيدة - كانت الفجوة بين وجود التصحيح وطرحه فعليًا في كل مكان.