TL;DR
- Les développeurs de Litecoin ont révélé une faille critique de validation MWEB qui permettait des métadonnées incohérentes dans les blocs minés, entraînant un événement d'inflation temporaire de plus de 85 000 LTC.
- Le problème a été contenu grâce à la coordination des mineurs et à la récupération des fonds.
- Une tentative d'exploitation ultérieure a déclenché une chaîne invalide de 13 blocs, mais les nœuds mis à jour l'ont rejetée et ont rétabli le consensus sans dommage durable pour les utilisateurs.
Le réseau Litecoin a publié un postmortem détaillant une vulnérabilité dans son système de bloc d'extension MimbleWimble. Cette faille permettait des incohérences entre les métadonnées d'entrée et les UTXO réels, créant une surface d'attaque ciblée mais impactante lors de la validation des blocs.
Analyse du bug MWEB de Litecoin et récupération des fonds
En mars 2026, les développeurs ont découvert que les entrées MWEB n'étaient pas entièrement révalidées lors de la connexion des blocs à la chaîne. Cette omission a permis à un mineur malveillant d'inclure des métadonnées incorrectes, faisant apparaître une petite entrée comme nettement plus importante et permettant un peg-out de 85 034 LTC.
Étant donné que l'exploit nécessitait une production directe de blocs, son ampleur est restée limitée. Une fois identifié, les principaux pools de minage ont coordonné leur action pour geler les sorties affectées et empêcher toute utilisation ultérieure. L'attaquant a ensuite coopéré, en restituant la majorité des fonds en échange d'une récompense convenue de 850 LTC. Ce montant a été couvert par Charlie Lee, permettant de rétablir l'intégralité du solde.
Les LTC récupérés ont été ré-ancrés dans MWEB et verrouillés, garantissant que la cohérence de la comptabilité interne a été maintenue. Aucun fonds utilisateur confirmé n'a été perdu, démontrant une containment efficace malgré la gravité du défaut.
Coordination du réseau et événement de réorganisation d'avril
En avril, une deuxième tentative d'exploiter le même chemin a été rejetée par des nœuds mis à jour, mais elle a révélé un problème de données de bloc modifiées. Certains mineurs mis à jour sont devenus temporairement incapables de continuer leurs opérations normales, tandis que les participants non mis à jour ont étendu une chaîne invalide de 13 blocs.
Le réseau a résolu cette divergence grâce à une action coordonnée des mineurs mis à jour, qui ont prolongé la chaîne valide jusqu'à ce qu'elle dépasse la chaîne invalide. La réorganisation résultante a supprimé tous les blocs malveillants. Toutefois, certains protocoles externes ont traité des transactions sur la chaîne invalide avant la correction, entraînant des pertes isolées dans les environnements cross-chain.
La version Litecoin Core 0.21.5.4 a résolu ce cas limite en garantissant que les données de bloc corrompues ne peuvent pas interférer avec les soumissions valides futures, renforçant ainsi la fiabilité globale des nœuds.
Cet épisode met en lumière la capacité des systèmes décentralisés à réagir rapidement aux pannes critiques. Bien que les améliorations axées sur la vie privée comme MWEB introduisent de nouvelles complexités de validation, la réaction des développeurs et des mineurs de Litecoin montre que la coordination, la transparence et les correctifs rapides peuvent préserver l'intégrité à long terme du réseau.