تحليل أزمة لايتكوين: ثغرة في MWEB سمحت للمهاجم بتزوير سحب 85,034 لايتكوين قبل أن يقوم المطورون بتجميد الأموال

النقاط الرئيسية:

• سمح خطأ في التحقق من صحة MWEB في Litecoin لمهاجم بتضخيم وربط 85,034 LTC في مارس 2026، لكن المهاجم أعاد الأموال مقابل مكافأة قدرها 850 LTC.
• أدت محاولة استغلال في أبريل 2026 إلى إعادة تنظيم سلسلة من 13 كتلة، مما تسبب في خسارة NEAR Intents لـ 11,000 LTC تم استبدالها بـ 7.78 BTC.
• يعمل Litecoin Core v0.21.5.4 على إصلاح كل من خطأ التضخم وتوقف عقدة التعدين الذي أدى إلى إعادة تنظيم سلسلة الكتل في أبريل.

مطورو Litecoin يصدرون تقريرًا تحليليًا بعد أن تسبب خطأ MWEB في إعادة تنظيم السلسلة

حدد التقرير السبب الجذري على أنه عدم وجود فحص للبيانات الوصفية أثناء توصيل الكتلة. عندما تنفق مدخلة MWEB مخرجات سابقة، يجب أن تتطابق البيانات الوصفية التي تحملها مع UTXO الفعلي الذي يتم استهلاكه. كان هذا الفحص موجودًا في مسارات mempool وبناء الكتلة، لكن المطورين أكدوا أنه لم يتم تطبيقه بالكامل في مرحلة توصيل الكتلة.

اكتشف المطورون الثغرة الأمنية من خلال مراجعة داخلية في 19 مارس. أظهر فحص السلسلة أن الاستغلال قد حدث بالفعل في الكتلة 3,073,882. استخدم المهاجم مدخلاً MWEB ضارًا لم تتجاوز قيمته الحقيقية 1.2084693 LTC لدعم سحب 85,034.47285734 LTC.

قال المطورون إنهم نسقوا بشكل خاص مع مجموعات التعدين الكبرى لاحتواء المخرجات المتضخمة قبل الكشف عنها للجمهور. تم إصدار إصدار طارئ، Litecoin Core 0.21.5، للمعدنين لمنع المدخلات المشوهة الجديدة. أضاف إصدار متابعة، 0.21.5.1، استثناءً تاريخيًا للكتلة المستغلة التي تم قبولها بالفعل وجمد مؤقتًا النقاط الخارجية الشفافة الثلاث التي تحتفظ بأموال المهاجم.

حاول المهاجم إنفاق مخرج واحد على الأقل من المخرجات المجمدة. رفض المعدنون الذين قاموا بالتحديث المعاملة. ثم اتصل المطورون بالمهاجم مباشرة. وافق المهاجم على التعاون ووقع على معاملة استرداد أعادت 84,184.47278630 LTC إلى عنوان يسيطر عليه المطورون مع الاحتفاظ بـ 850 LTC كمكافأة متفق عليها.

اشترى مؤسس Litecoin، تشارلي لي، الـ 850 LTC اللازمة لتعويض رصيد MWEB بالكامل. تم إعادة ربط مبلغ 85,034.47285734 LTC بالكامل بـ MWEB في معاملة واحدة عند ارتفاع الكتلة 3,078,098، وتم تجميد مخرجات MWEB الناتجة. لم يتم فقدان أي أموال للمستخدمين في نهاية المطاف في حادثة مارس.

وفقًا للتحليل اللاحق، حاول مهاجم ثانٍ اتباع نفس مسار الاستغلال في أبريل، مما تسبب في فشل منفصل. رفضت العقد المحدثة الكتلة المشوهة، لكن الطريقة التي تم بها التعامل مع بيانات كتلة MWEB المتحولة تسببت في توقف بعض أوامر RPC الخاصة بالتعدين، بما في ذلك استدعاء submitblock. توقفت عقد التعدين المحدثة بينما واصل المعدنون غير المحدّثين تمديد السلسلة غير الصالحة.

نمت السلسلة غير الصالحة إلى 13 كتلة قبل أن ينسق المعدنون الذين تم تحديثهم لتجاوزها. تمت إعادة تنظيم السلسلة السيئة، لكن العديد من أنظمة الجهات الخارجية كانت قد عالجت بالفعل الأنشطة على السلسلة غير الصالحة قبل اكتمال إعادة التنظيم.

أكدت NEAR Intents أن المهاجم استبدل 11,000 LTC بـ 7.78814476 BTC قبل اكتمال إعادة التنظيم. لم تعد تلك الـ 11,000 LTC موجودة على السلسلة الصحيحة بعد إعادة التنظيم، مما ترك NEAR Intents مع خسارة مؤكدة. أبلغت Thorchain عن خسارة منفصلة بعد أن استبدل المهاجم 10 LTC مقابل 0.00719957 BTC من خلال جسرها قبل إعادة التنظيم.

عالجت Litecoin Core 0.21.5.4 مشكلة توقف الكتل المتحولة عن طريق محو بيانات الكتل المخزنة للكتل المصنفة على أنها متحولة، مما سمح بقبول البيانات الصحيحة لنفس هاش الكتلة لاحقًا. تم إنشاء الإصدار ونشره علنًا في 25 أبريل.

أقرت مدونة التحليل اللاحق بوجود عدة إخفاقات في الاستجابة، بما في ذلك أن التحقق من صحة MWEB اعتمد بشكل مفرط على عمليات فحص لم يتم تطبيقها عند اتصال الكتلة، وأن الاستعادة تطلبت إصدارات متعددة للمعدنين على مراحل، كل منها تنطوي على مخاطر التنسيق، وأن نمط فشل الكتلة المتحولة في أبريل لم يتم اختباره مقابل سلوك RPC للتعدين.

كان رد فعل المجتمع بعد منشور التحليل اللاحق داعمًا إلى حد كبير، حيث أشار ما يقرب من 70٪ إلى 80٪ من الردود إلى تقديرهم لشفافية الفريق وسرعته. أشارت عدة ردود إلى أن السلسلة نفسها صمدت وأن الكشف العلني عزز الثقة بدلاً من الإضرار بها.

يُنصح المستخدمون ومشغلو العقد بالترقية إلى Litecoin Core v0.21.5.4 أو أحدث، والتحقق من أن عقدة الشبكة الخاصة بهم تتزامن بشكل طبيعي، وإعادة الفهرسة إذا ظلت العقدة عالقة بعد إعادة التشغيل. يأتي هذا التحليل بعد المنشور الأخير لـ Litecoin حول تحسين الأداء فيما يتعلق بالنشر على X. "سيكون أداء المسؤولين عن النشر من هذا [X] سيبذلون جهدًا أفضل في المستقبل"، كتب الحساب الرسمي لـ Litecoin X بعد أن اتُهم الحساب بـ "الطفولية" في وقت سابق من الأسبوع.