週末に起こったLitecoinの出来事についてやっと理解したところで、正直なところ、これは古いProof-of-Workネットワークがセキュリティパッチをどのように扱うかの非常に興味深いケーススタディです。

つまり、攻撃者はすでに数週間前に非公開で修正されていたLitecoinのMWEBプロトコルの脆弱性を悪用しました。攻撃は13ブロックのチェーン再編を引き起こし、約32分間のネットワーク活動を巻き戻しました。これが面白いのは、そのタイミングの経過の仕方です。

公開されたGitHubのコミットによると、コアのコンセンサスバグは3月19日から3月26日の間に静かに修正されており、実際の攻撃が起きる約4週間前のことです。しかし、ここで重要なのは、そのパッチがネットワーク全体に必須ではなかったことです。いくつかのマイニングプールはコードを更新しましたが、他はそうしませんでした。そのため、攻撃者は脆弱なプールを狙うことができる隙間が生まれました。

セキュリティ研究者はコミットログからタイムラインを抽出し、攻撃には実際に二つの要素が連携していたことを指摘しました。まず、4月25日に修正されたサービス拒否（DoS）脆弱性がありました。このDoSは、修正済みのマイニングノードをオフラインにさせることを目的として設計されており、未修正のノードが無効なトランザクションを含むチェーンを形成できるようにしました。その後、コンセンサスバグにより、これらの悪意のあるMWEBトランザクションがネットワークが最終的に自己修正する前に通過してしまったのです。

ブロックチェーンのデータによると、攻撃者は攻撃の38時間前に取引所からの出金を通じて事前にウォレットに資金を預けており、その送金先はすでにLTCをETHにスワップするための分散型取引所に設定されていました。かなり計算された動きです。

ネットワークは、DoS攻撃が停止し、十分なハッシュレートが更新されたコードを稼働させることで最終的に無効なフォークを打ち消し、自己修正しました。しかし、この32分間のウィンドウこそが本当の問題です。これは、LitecoinやBitcoinのような古いPoWネットワークと、新しいチェーンとの違いを浮き彫りにしています。新しいネットワークは、検証者のセットが小さく、調整されたチャネルを通じて数時間でパッチをネットワーク全体に展開できます。一方、古いネットワークは、独立したマイニングプールがいつアップグレードするかを決める仕組みであり、緊急性のない事柄には問題ありませんが、セキュリティパッチを一斉に適用する必要がある場合には、重大な脆弱性となり得ます。

Litecoin財団は、バグは完全に修正されており、ネットワークは正常に稼働していると述べていますが、パッチのタイムラインや無効なブロック期間中に影響を受けたLTCの量については公表していません。現在の価格は約58.58ドルです。

これは、重要なセキュリティアップデートの展開に関して、確立されたネットワークでも調整の問題が起こり得ることを思い出させる良い例です。ゼロデイ攻撃自体が唯一の問題ではなく、その修正が存在していた時期と実際に全てに展開された時期の間のギャップが問題だったのです。