Только что узнал о довольно серьезной ситуации, которая произошла с Litecoin в выходные. Уязвимость нулевого дня, нацеленная на протокол MWEB, вызвала реорганизацию цепочки из 13 блоков, фактически откатив около 32 минут активности сети. Довольно дикая ситуация, если подумать, как вообще работают такие атаки.

Итак, что произошло: злоумышленники использовали уязвимость в протоколе расширенного блока Mimblewimble Litecoin. В итоге сеть вернулась к действительной цепочке после прекращения атак отказа в обслуживании, но сам факт, что это случилось, вызывает серьезные вопросы о сроках внедрения патчей.

Что действительно интересно с технической точки зрения, так это то, как разворачивалась эта уязвимость нулевого дня. Оказывается, баг консенсуса был закрыт приватным патчем за несколько недель до этого, между серединой и концом марта. Но проблема в том, что не все майнинговые пулы уже установили исправление. Некоторые узлы работали с обновленным кодом, а другие оставались уязвимыми. Исследователи предполагают, что злоумышленники специально нацелились на этот разрыв.

Таймлайн на самом деле довольно показательен. Уязвимость консенсуса была исправлена тихо в марте, но уязвимость отказа в обслуживании была устранена только 25 апреля утром. Оба исправления попали в релиз 0.21.5.4 в тот же день, но к тому времени атака уже началась. Исследователь безопасности bbsz из группы SEAL911 по реагированию на чрезвычайные ситуации просмотрел историю коммитов на GitHub и отметил, что публичный таймлайн не совпадает с первоначальными заявлениями фонда.

Что, по всей видимости, сделали злоумышленники — это очень аккуратно скоординировали свои действия. Кто-то заранее пополнил кошелек за 38 часов до эксплойта через крупную биржу, уже подготовив обмен LTC на ETH на децентрализованной бирже. Атака отказа в обслуживании была спроектирована так, чтобы вывести из строя исправленных майнеров, оставив уязвимые узлы формировать цепочку с недействительными транзакциями. Это довольно сложный двухэтапный ход.

Факт, что это уязвимость нулевого дня, которая была известна и закрыта приватно, подчеркивает важность того, как разные сети справляются с безопасностью. Новые блокчейны с меньшими наборами валидаторов могут за несколько часов распространять патчи по всей сети через скоординированные каналы. Но старые сети на основе доказательства работы, такие как Litecoin, полагаются на независимые майнинговые пулы, которые выбирают, когда обновляться. Это хорошо работает для рутинных обновлений, но когда критический патч безопасности должен дойти до всех до того, как злоумышленники найдут уязвимость, возникают ситуации, похожие на эту.

Когда атаки отказа в обслуживании прекратились, в сети было достаточно хешрейта, чтобы в конце концов преодолеть атаку и вернуть цепочку к действительной. Но этот 32-минутный промежуток, когда обрабатывались недействительные транзакции, вызывает тревогу. Фонд Litecoin до сих пор не опубликовал официальное объяснение по таймлайну на GitHub или не раскрыл, сколько LTC было фактически перемещено в этот период с недействительным блоком.

Это тот тип инцидента, который важен для понимания устойчивости сети. Это не полный сбой — сеть сама исправилась — но он показывает, как скоординированная атака нулевого дня, нацеленная на окно внедрения патча, может вызвать реальные сбои, даже в хорошо зарекомендовавших себя сетях. Стоит понаблюдать за тем, как фонд разберется с этим инцидентом. Можно посмотреть торговлю LTC около $58.89 на Gate, чтобы понять, как рынок оценивает этот инцидент.