Litecoin 首次出现隐私层遭駭：MWEB 零日漏洞触发 13 区块链重组

Según el informe de The Block, la Fundación Litecoin confirmó el sábado 4/25 que el atacante explotó una vulnerabilidad de día cero en la capa de privacidad del MimbleWimble Extension Block (MWEB), lo que obligó a la cadena principal a realizar una reorganización de 13 bloques durante más de tres horas. Se trata del primer gran incidente de ataque desde que MWEB se activó en 2022.

La vulnerabilidad de MWEB permite que los nodos de versiones antiguas permitan transacciones peg-out falsificadas

El núcleo del problema es que, al ejecutar nodos mineros con software de versiones antiguas, se considera válida una transacción MWEB inválida. El atacante usa esto para sacar LTC de la capa de privacidad mediante peg out hacia la cadena principal, y luego convertirlo en otros activos al enviarlo a un exchange descentralizado, lo que equivale a “imprimir” monedas de la nada. Al mismo tiempo, varios de los principales pools mineros también se vieron involucrados y sufrieron ataques de DoS dirigidos.

MWEB es la capa de expansión de privacidad de Litecoin, activada mediante soft fork en mayo de 2022, con el objetivo de dotar a LTC de un mecanismo de ocultación de montos similar al de Monero. Durante más de tres años, la función operó de forma estable; esta es la primera vez que se utiliza efectivamente para atacar la red principal.

Reorganización de 13 bloques; la bifurcación dura más de 3 horas

La bifurcación afectada se extendió desde el bloque 3,095,930 hasta el 3,095,943, en total 13 bloques. Este intervalo de tres horas dio tiempo suficiente al atacante para lanzar un doble gasto contra los acuerdos de intercambio entre cadenas que aceptaban MWEB peg-out: cuando el acuerdo de intercambio transfirió los activos a la contraparte, pero luego los perdió en la subsiguiente reorganización del MWEB, la transacción aislada esencialmente quedó como inválida.

NEAR Intents expone alrededor de 600,000 dólares; también los pools sufren DoS

Entre los acuerdos afectados, NEAR Intents fue la parte con la divulgación pública de monto más alta; según el reporte inicial, se expusieron aproximadamente 600,000 dólares, y se indicó que el equipo absorbería las pérdidas de los usuarios por su cuenta. Litecoin confirmó posteriormente que todas las transacciones inválidas fueron eliminadas de la cadena principal junto con la reorganización, por lo que la pérdida de liquidación real debería ser muy inferior al monto estimado inicialmente.

Por su parte, el lado de los pools fue activado con las mismas condiciones de la vulnerabilidad, obligándolos a pausar o interrumpir la producción de bloques. Esta también es la clave para que el atacante pudiera continuar la bifurcación durante las tres horas: sin el bloqueo inmediato de la cadena inválida por parte del hashrate principal, la cadena del ataque tuvo tiempo de acumular bloques.

Ya se lanzó una versión corregida; pools y nodos deben actualizarse de inmediato

El equipo de desarrollo de Litecoin lanzó una versión corregida dentro de pocas horas después del incidente, exigiendo que todos los operadores de nodos y pools mineros se actualicen inmediatamente a la versión más reciente. La Fundación declaró que la red actualmente se ha restablecido a la normalidad y recomendó que los exchanges, antes de que se complete la actualización, se abstengan temporalmente de procesar retiros y conversiones relacionados con MWEB.

Para quienes tienen LTC, este incidente no afecta las transacciones legítimas de la cadena principal ni los saldos existentes, pero resalta el dilema entre “reducir la observabilidad” y “reducir la dificultad de depuración” en la capa de expansión de privacidad: cuando surgen problemas, la comunidad tiene más dificultades para rastrear anomalías en la cadena a partir de los datos en el primer momento. Litecoin solo se cotizó con un ETF de custodia en EE. UU. en octubre de 2025, por lo que la atención de los inversores institucionales sobre la estabilidad de la red seguramente aumentará.

Este artículo La primera vez que se ataca la capa de privacidad de Litecoin: la vulnerabilidad de día cero de MWEB desencadena una reorganización de 13 bloques apareció primero en 鏈新聞 ABMedia.