Атака на Litecoin: DoS-эксплойт привёл к откату сети на 13 блоков

Сеть Litecoin попала под серьёзный удар. Произошла DoS-атака и в итоге пришлось откатить цепь на 13 блоков. По сути, сеть просто перемотали назад, чтобы убрать последствия. Фонд Litecoin сразу назвал это zero-day эксплойтом. Мол, баг был неизвестен и всё случилось внезапно. Но если копнуть глубже, картина выходит не такой простой.

Логи GitHub показывают другое, уязвимость консенсуса уже фиксили раньше. Это было в период с 19 по 26 марта. То есть за месяц до всей этой истории.

Атака пришлась на пятницу и субботу. В этот момент сеть прошла через реорг на 13 блоков. Это примерно 32 минуты истории сети просто стерли. Причина - баг в MWEB, это расширение для приватных транзакций. Атакующие нашли слабое место и использовали его по полной. Схема была довольно хитрая. Через DoS они начали давить крупные майнинг-пулы. Некоторые ноды просто не выдержали нагрузку.

В этот момент в сеть начали проскакивать некорректные MWEB-транзакции. Ноды без обновления их принимали. Всё выглядело валидно, хотя по факту это был мусор. Когда давление спало, сеть сама всё поправила. Более длинная и правильная цепь вытеснила битую. Классический reorg, ничего нового для крипты, но кейс громкий.

В воскресенье утром Фонд Litecoin заявил: всё пофикшено, сеть работает нормально и паниковать не надо. Но исследователи с этим не совсем согласны. Тут начинается самое интересное.

Специалист по безопасности bbsz из SEAL911 посмотрел коммиты в GitHub и выкатил свой разбор. По его данным, уязвимость консенсуса уже была закрыта заранее. Тот самый баг, который позволил провести кривой MWEB peg-out. Отдельно был ещё один баг, DoS. Его закрыли уже 25 апреля утром, прямо перед атакой, почти впритык. Оба фикса вошли в релиз 0.21.5.4. Его выкатили в тот же день, но атака уже шла полным ходом.

bbsz прямо сказал: версия про один zero-day не совсем бьётся с логами. Zero-day - это когда никто не знал о баге. Но тут, похоже, знали, просто не все.

ТОП-3 трейдеры

1

Eryx

Проверен

4.90

4.90

Отзывы 346 Обзор

2

Мягкий Импульс

Проверен

4.77

4.77

Отзывы 239 Обзор

3

Tyko

Проверен

4.67

4.67

Отзывы 284 Обзор

Проблема в том, что патч не сделали обязательным и не разослали как срочный апдейт для всех пулов. В итоге часть майнеров обновилась, часть нет. Сеть разделилась по факту. И вот тут начинается классический эксплойт. Атакующие явно понимали, какие ноды уязвимы и били именно по ним.

Алекс Шевченко из Aurora (NEAR) тоже поднял этот момент, он разобрал атаку отдельно. Он отметил интересную деталь, кошелёк атакующего пополнили за 38 часов до атаки. Через вывод с Binance. И адрес уже был настроен на свап LTC в ETH через DEX. То есть план был готов заранее, без импровизации.

По версии Шевченко, это была комбинация. Не один баг, а сразу два элемента. DoS использовали как инструмент, он выбивал из сети обновлённые ноды. А дальше в игру входили старые ноды, именно они строили цепь с кривыми транзакциями.

Когда атака закончилась, сеть сама откатилась назад. Это значит, что обновлённого хешрейта всё же хватило. Но не сразу, а только спустя те самые 32 минуты. Этот кейс хорошо показывает разницу между сетями.

В новых блокчейнах всё проще, там валидаторов меньше. Они часто сидят в чатах и быстро координируются. Патч могут раскатать за часы.

В PoW-сетях вроде Litecoin всё иначе, тут каждый пул сам решает, когда обновляться. Обычно это нормально, но когда речь про уязвимость, появляется лаг. И вот этим лагом и пользуются атакующие, классика.

Фонд Litecoin пока не ответил на вопросы по таймлайну GitHub. Также нет данных, сколько LTC успели вывести через MWEB в этот период. И неясно, какой был объём сделок, пока цепь была сломана. После реорга всё это откатилось, но детали пока не раскрывают.