Je viens de me mettre à jour sur ce qui s’est passé avec Litecoin ce week-end et honnêtement, c’est une étude de cas assez folle sur la façon dont les réseaux de preuve de travail plus anciens gèrent les correctifs de sécurité.

Donc, en gros, des attaquants ont exploité une vulnérabilité dans le protocole MWEB de Litecoin qui avait déjà été corrigée en privé plusieurs semaines auparavant. L’attaque a déclenché une réorganisation de la chaîne de 13 blocs qui a ramené environ 32 minutes d’activité réseau. Ce qui rend cela intéressant, c’est la façon dont le timing s’est déroulé.

Selon les commits publics sur GitHub, le bug de consensus principal a été silencieusement corrigé entre le 19 mars et le 26 mars, soit environ quatre semaines avant que l’exploit ne se produise. Mais voici le truc — ce patch n’était pas obligatoire pour tout le réseau. Certains pools miniers ont mis à jour leur code tandis que d’autres ne l’ont pas fait, créant une fenêtre où les attaquants pouvaient cibler ceux qui n’avaient pas encore appliqué la correction.

Un chercheur en sécurité a extrait la chronologie du journal des commits et a souligné que l’attaque comportait en réalité deux composantes qui travaillaient ensemble. D’abord, il y avait une vulnérabilité de déni de service qui a été corrigée le 25 avril. Le DoS était apparemment conçu pour déconnecter les nœuds miniers corrigés, permettant aux nœuds non corrigés de former une chaîne avec des transactions invalides. Ensuite, le bug de consensus a permis à ces mauvaises transactions MWEB de passer avant que le réseau ne se corrige finalement.

Les données de la blockchain ont montré que l’attaquant avait préfinancé un portefeuille 38 heures avant l’exploitation via un retrait sur une plateforme d’échange, avec la destination déjà configurée pour échanger du LTC contre de l’ETH sur une plateforme décentralisée. Mouvement plutôt calculé.

Le réseau s’est auto-corrigé une fois que les attaques DoS ont cessé et qu’une quantité suffisante de puissance de calcul avec le code mis à jour a finalement surpassé la branche invalide. Mais cette fenêtre de 32 minutes est le vrai problème ici. Cela met en évidence la différence entre les anciens réseaux PoW comme Litecoin et Bitcoin, et les chaînes plus récentes. Les réseaux plus récents avec des ensembles de validateurs plus petits peuvent déployer des correctifs à l’échelle du réseau en quelques heures via des canaux coordonnés. Les réseaux plus anciens dépendent de pools miniers indépendants qui décident quand mettre à jour, ce qui fonctionne pour des mises à jour non urgentes mais crée de véritables vulnérabilités lorsque des correctifs de sécurité doivent être déployés simultanément pour tous.

La Litecoin Foundation a déclaré que le bug est entièrement corrigé et que le réseau fonctionne normalement, mais ils n’ont pas publiquement abordé la chronologie du patch ni divulgué combien de LTC ont été affectés durant la fenêtre de bloc invalide. Le prix tourne autour de 58,58 dollars pour le moment.

C’est un bon rappel que même les réseaux établis peuvent rencontrer ces problèmes de coordination lorsqu’il s’agit de déployer des mises à jour de sécurité critiques. L’exploit zero-day lui-même n’était pas le seul problème — c’était l’écart entre le moment où la correction existait et celui où elle a été déployée partout.