Litecoin устранил баг MWEB, вызвавший инфляцию на 85 000 LTC
Разработчики Litecoin сообщили о критической уязвимости в механизме валидации MWEB (MimbleWimble Extension Block), из-за которой в добытых блоках могла появляться несовпадающая метаинформация. Это привело к кратковременному инфляционному инциденту более чем на 85 000 LTC. Проблему локализовали за счет координации майнеров и последующего возврата средств. Позднее попытка повторной эксплуатации сформировала недействительную цепочку из 13 блоков, но обновленные узлы отклонили ее и восстановили консенсус без долгосрочных последствий для пользователей.
В опубликованном постмортеме сеть Litecoin описала, что баг в системе MWEB позволял допускать расхождения между метаданными входов и фактическими UTXO при проверке блока. Это создавало узконаправленную, но заметную поверхность атаки на этапе валидации.
Анализ уязвимости и восстановление средств
В марте 2026 года разработчики обнаружили, что при подключении блоков к цепочке входы MWEB не проходили полную повторную проверку. В результате злоумышленник, обладая возможностью добычи блока, мог подставить некорректные метаданные: небольшой вход выглядел значительно крупнее, что позволило выполнить pegout на 85 034 LTC. Поскольку для атаки требовалось непосредственно производить блоки, масштаб риска оставался ограниченным.
После выявления проблемы крупнейшие майнинговые пулы согласованно заморозили затронутые выходы, перекрыв дальнейшее использование. Сообщается, что атакующий затем пошел на сотрудничество и вернул большую часть средств в обмен на согласованное вознаграждение 850 LTC. Эту сумму оплатил Charlie Lee, что позволило полностью восстановить баланс. Возвращенные LTC повторно завели в MWEB (repeg), после чего средства были заблокированы для сохранения согласованности внутреннего учета. Подтвержденных потерь пользовательских средств не зафиксировано.
Координация сети и реорганизация в апреле
В апреле вторая попытка задействовать тот же вектор была отклонена обновленными узлами, но выявила пограничный сценарий, связанный с мутированными данными блока. Часть майнеров с обновлением на время не смогла продолжать штатную работу, тогда как участники без обновления нарастили недействительную цепь длиной 13 блоков.
Расхождение устранили согласованными действиями обновленных майнеров: они продлили корректную цепочку до момента, когда она обошла недействительную. Последующая реорганизация исключила все вредоносные блоки. При этом некоторые внешние протоколы успели обработать транзакции в недействительной цепи до исправления, что привело к отдельным потерям в кроссчейн-средах.
Выпуск Litecoin Core 0.21.5.4 закрыл этот крайний случай, обеспечив, что поврежденные данные блока не смогут мешать последующим корректным публикациям, и повысил общую надежность узлов. Инцидент показал, что децентрализованные системы способны быстро реагировать на критические сбои: обновления, ориентированные на приватность вроде MWEB, усложняют валидацию, но координация майнеров, прозрачность и оперативные исправления помогают сохранять долгосрочную устойчивость сети.
