Cet événement sur Litecoin de vendredi à samedi s’est avéré bien plus intéressant que ce que la Fondation a laissé entendre. Une réorganisation de 13 blocs a inversé environ 32 minutes d’activité sur le réseau lorsque des attaquants ont exploité une faille dans le protocole Mimblewimble Extension Block. Le prix du LTC est autour de 58,65 $, mais ce qui a vraiment attiré l’attention, c’est la différence entre l’histoire officielle et ce qui est publié sur GitHub.

La Litecoin Foundation a déclaré qu’il s’agissait d’une attaque zero-day, vous savez comment c’est. Mais le chercheur bbsz, qui travaille dans la sécurité des exploits en crypto, a commencé à fouiller dans l’historique des commits et a découvert quelque chose de très étrange. La faille critique de consensus qui a permis à une transaction MWEB invalide de passer n’a-t-elle pas été corrigée quelques semaines avant l’attaque ? En réalité, si. Corrigée de manière privée entre le 19 et le 26 mars, soit presque un mois avant que tout n’éclate.

Ce qui s’est passé, c’est que la vulnérabilité zero-day n’était en fait pas si zero que ça. Quelqu’un connaissait cette faille, l’a corrigée en privé, mais la correction n’a pas été diffusée à tous les pools de minage en même temps. Cela a créé une fenêtre très pratique où certains mineurs exécutaient du code mis à jour pendant que d’autres étaient encore vulnérables. Et il semble que les attaquants aient su exactement qui était qui.

Alex Shevchenko, CTO d’Aurora de la NEAR Foundation, a également soulevé un point très pertinent. L’attaque par déni de service et le bug du MWEB étaient des choses séparées. Le DoS a été spécifiquement conçu pour faire tomber les nœuds de minage qui avaient déjà été mis à jour, forçant ceux qui ne l’étaient pas à former la chaîne avec des transactions invalides. C’est bien pensé, n’est-ce pas ? Les données montrent que l’attaquant a même préfinancé un portefeuille 38 heures avant, en effectuant un retrait d’une grande plateforme d’échange décentralisée, avec l’adresse déjà prête pour échanger du LTC contre de l’ETH.

Ce qui intrigue le plus, c’est que le réseau s’est auto-corrigé dès que le DoS a cessé, ce qui suggère qu’il y avait suffisamment de puissance de hachage exécutant du code mis à jour. Mais cela a pris 32 minutes pour que cela se produise. La Fondation n’a pas encore expliqué en détail la chronologie de la correction ni combien de LTC ont été affectés durant cette fenêtre de blocs invalides.

Cela montre bien la différence entre la façon dont différentes réseaux gèrent les exploits. Les chaînes plus récentes, avec des validateurs centralisés, peuvent coordonner des mises à jour en quelques heures. Mais Litecoin et Bitcoin, étant des proof-of-work plus anciens, dépendent de pools indépendants pour décider quand mettre à jour. Cela fonctionne bien pour des changements normaux, mais crée une vulnérabilité lorsqu’une correction de sécurité doit être déployée partout avant qu’un attaquant ne l’exploite. C’est un compromis intéressant que la communauté est encore en train de digérer.