Litecoin lần đầu tiên bị xâm phạm lớp quyền riêng tư: Kích hoạt lỗ hổng zero-day MWEB, gây tái tổ chức (reorg) chuỗi 13 khối

Theo báo cáo của The Block, Quỹ Litecoin đã xác nhận vào thứ Bảy 4/25 rằng kẻ tấn công đã nhắm vào lỗ hổng zero-day trong lớp quyền riêng tư của MimbleWimble Extension Block (MWEB), buộc chuỗi chính phải thực hiện một lần rollback gồm 13 khối, kéo dài qua ba giờ; đây là sự kiện tấn công lớn đầu tiên kể từ khi MWEB được kích hoạt từ năm 2022.

Lỗ hổng MWEB cho phép các node phiên bản cũ chấp nhận các giao dịch peg-out giả mạo

Cốt lõi của vấn đề nằm ở chỗ: khi chạy các node khai thác (miner) sử dụng phần mềm cũ, chúng sẽ xem một giao dịch MWEB không hợp lệ là hợp lệ. Kẻ tấn công đã lợi dụng điều này để đưa LTC từ lớp quyền riêng tư peg out lên chuỗi chính, rồi ném vào các sàn giao dịch phi tập trung để đổi sang tài sản khác, tương đương với việc “in” tiền một cách vô căn cứ. Đồng thời, một số quỹ khai thác chính cũng bị lôi vào cuộc, chịu các cuộc tấn công DoS có nhắm mục tiêu.

MWEB là lớp mở rộng quyền riêng tư của Litecoin được khởi động thông qua soft fork vào tháng 5/2022, nhằm giúp LTC có khả năng che giấu số tiền tương tự Monero. Trong hơn ba năm qua, tính năng này vận hành ổn định; đây là lần đầu tiên nó bị khai thác hiệu quả để tấn công mạng chính.

Rollback 13 khối, nhánh phân tách kéo dài hơn 3 giờ

Nhánh bị ảnh hưởng bắt đầu từ khối 3,095,930 và kéo dài đến 3,095,943, tổng cộng 13 khối. Khoảng trống trong ba giờ này đã cho kẻ tấn công đủ thời gian để phát động double-spend đối với các giao thức trao đổi cross-chain chấp nhận MWEB peg-out: khi giao thức trao đổi chuyển tài sản sang phía bên kia, nhưng lại mất phần kết toán MWEB tương ứng trong lần rollback sau đó, thì các giao dịch bị cô lập về bản chất trở nên vô hiệu.

NEAR Intents lộ khoảng 600.000 USD, các pool cũng bị dính DoS

Trong các giao thức bị ảnh hưởng, NEAR Intents là bên có số tiền được công khai cao nhất. Báo cáo ban đầu cho biết khoảng 600.000 USD đã bị lộ, và nêu rằng nhóm sẽ tự chịu tổn thất của người dùng. Litecoin sau đó xác nhận rằng tất cả các giao dịch vô hiệu đã được xóa khỏi chuỗi chính cùng với lần rollback, do đó tổn thất kết toán thực tế hẳn thấp hơn nhiều so với ước tính ban đầu.

Ở phía các pool, cùng một lỗ hổng cũng kích hoạt điều kiện DoS, khiến chúng buộc phải tạm dừng hoặc gián đoạn việc tạo khối. Đây cũng là chìa khóa để kẻ tấn công có thể tiếp tục phân nhánh trong vòng ba giờ: thiếu sức mạnh tính toán (hashrate) chủ đạo để chặn ngay chuỗi vô hiệu thì chuỗi tấn công mới có thời gian tích lũy các khối.

Bản vá đã được phát hành, các pool và node cần nâng cấp ngay

Sau khi sự kiện xảy ra, đội phát triển Litecoin đã phát hành bản vá trong vòng vài giờ, yêu cầu tất cả các node và người vận hành pool nâng cấp ngay lên phiên bản mới nhất. Quỹ (Foundation) tuyên bố mạng hiện tại đã khôi phục hoạt động bình thường, đồng thời khuyến nghị các sàn tạm hoãn xử lý việc rút/phiên MWEB liên quan và giao dịch hoán đổi cho đến khi hoàn tất nâng cấp.

Đối với những người nắm giữ LTC, sự kiện này không ảnh hưởng đến các giao dịch hợp lệ của chuỗi chính và số dư hiện có, nhưng làm nổi bật sự đánh đổi giữa “giảm khả năng quan sát” và “giảm độ khó trong gỡ lỗi” của lớp mở rộng quyền riêng tư—khi vấn đề phát sinh, cộng đồng càng khó theo dõi các bất thường từ dữ liệu trên chuỗi ngay từ đầu. Litecoin mãi đến tháng 10/2025 mới niêm yết ETF dạng staking tại Mỹ, vì vậy mối quan tâm của nhà đầu tư tổ chức đối với độ ổn định của mạng chắc chắn sẽ tăng.

Bài viết đầu tiên về việc lớp quyền riêng tư của Litecoin bị tấn công: Lỗ hổng zero-day MWEB kích hoạt reorganize 13 khối; xuất hiện sớm nhất tại 鏈新聞 ABMedia.