•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
Litecoin vừa công bố bản phân tích liên quan đến sự cố an ninh bắt nguồn từ lỗi xác thực trong Mimblewimble Extension Block (MWEB), dẫn tới hai đợt tấn công theo chuỗi thời gian vào tháng 3 và tháng 4/2026. Theo báo cáo, đợt tháng 3 cho phép kẻ tấn công tạo pegout 85,034.47285734 LTC và sau đó được hoàn trả thông qua cơ chế khôi phục. Đợt tháng 4 gây ra một chuỗi tái tổ chức dài 13 khối, ảnh hưởng đến Thorchain và NEAR Intents, với các khoản thiệt hại được các bên xác nhận bằng số liệu trên chuỗi.
Bản phân tích cho biết lỗ hổng xuất phát từ việc thiếu kiểm tra siêu dữ liệu trong quá trình kết nối khối. Cụ thể, khi một đầu vào MWEB chi tiêu một đầu-ra trước đó, siêu dữ liệu đi kèm đầu vào phải khớp với UTXO thực tế được tiêu thụ.
Việc kiểm tra này được mô tả là đã tồn tại trong hàng đợi giao dịch và trong từng bước xây dựng khối, nhưng theo xác nhận của các nhà phát triển, kiểm tra chưa được thực thi đầy đủ ở giai đoạn kết nối khối.
Nhóm phát triển phát hiện lỗ hổng thông qua rà soát nội bộ vào ngày 19/3. Một lần quét chuỗi cho thấy hoạt động khai thác diễn ra tại khối 3,073,882.
Theo báo cáo, kẻ tấn công đã sử dụng một đầu vào MWEB độc hại có giá trị thực không quá 1.2084693 LTC để hỗ trợ pegout 85,034.47285734 LTC.
Nhóm phát triển cho biết đã phối hợp riêng với các mỏ khai thác lớn để kiểm soát các đầu ra bị phồng trước khi công khai.
Kẻ tấn công sau đó đã cố gắng chi tiêu ít nhất một đầu ra đã bị đóng băng. Các thợ mỏ nâng cấp từ chối giao dịch. Nhóm phát triển tiếp tục liên hệ trực tiếp với kẻ tấn công và nhận được sự hợp tác: kẻ tấn công ký một giao dịch khôi phục trả lại 84,184.47278630 LTC về một địa chỉ do nhà phát triển kiểm soát, đồng thời giữ lại 850 LTC như một phần thưởng theo thỏa thuận.
Người sáng lập Litecoin, Charlie Lee, được nêu trong báo cáo là đã mua 850 LTC để cân bằng MWEB. Toàn bộ 85,034.47285734 LTC sau đó được đưa trở lại MWEB trong một giao dịch duy nhất tại khối 3,078,098, và đầu ra MWEB tương ứng bị đóng băng.
Bản phân tích khẳng định không có quỹ người dùng nào bị mất trong vụ việc tháng 3.
Theo bản phân tích, một kẻ tấn công thứ hai đã cố gắng khai thác theo đường tấn công tương tự vào tháng 4/2026, dẫn đến một sự cố khác.
Các nút đã được nâng cấp từ chối khối sai, tuy nhiên cách xử lý dữ liệu khối MWEB bị biến thể khiến một số lệnh RPC khai thác mỏ bị treo, bao gồm lệnh submitblock. Các nút mỏ đã nâng cấp bị treo trong khi các thợ mỏ chưa nâng cấp tiếp tục mở rộng chuỗi sai.
Chuỗi sai mở rộng lên 13 khối trước khi các thợ mỏ phối hợp để vượt qua nó. Chuỗi xấu sau đó bị loại bỏ khỏi chuỗi hợp lệ, nhưng nhiều hệ thống bên thứ ba đã xử lý hoạt động trên chuỗi sai trước khi quá trình tái tổ chức hoàn tất.
Bản phân tích nêu rằng NEAR Intents xác nhận kẻ tấn công đã đổi 11,000 LTC lấy 7.78814476 BTC trước khi tái tổ chức hoàn tất. Sau khi tái tổ chức, 11,000 LTC không còn xuất hiện trên chuỗi hợp lệ, để lại NEAR Intents với khoản lỗ được xác nhận.
Thorchain cũng báo cáo một tổn thất riêng: kẻ tấn công đổi 10 LTC lấy 0.00719957 BTC thông qua cầu nối của mình trước khi tái tổ chức diễn ra.
Litecoin Core 0.21.5.4 được nêu là đã giải quyết tình trạng treo khối biến đổi bằng cách xóa dữ liệu khối được lưu trữ cho các khối được phân loại là biến đổi. Nhờ đó, dữ liệu hợp lệ cho cùng một hash khối có thể được chấp nhận sau đó.
Bản phát hành được xây dựng và triển khai công khai vào ngày 25/4.
Bản phân tích cũng chỉ ra nhiều điểm thất bại trong phản ứng, bao gồm: việc xác thực MWEB quá phụ thuộc vào các kiểm tra không được áp dụng ở giai đoạn kết nối khối; quá trình phục hồi đòi hỏi nhiều bản phát hành của thợ mỏ theo từng giai đoạn, kéo theo rủi ro phối hợp; và việc thử nghiệm cho trạng thái biến đổi khối tháng 4 với hành vi RPC của mỏ chưa được kiểm tra.
Sau khi công bố trên X, cộng đồng được mô tả là phần lớn ủng hộ, với khoảng 70%–80% bình luận đánh giá cao sự minh bạch và tốc độ của đội ngũ. Một số phản hồi nhấn mạnh chuỗi vẫn vững vàng và việc công khai giúp xây dựng niềm tin.
Người dùng và các nhà vận hành nút được khuyến cáo nâng cấp lên Litecoin Core v0.21.5.4 hoặc mới hơn. Đồng thời, cần xác minh nút có đang đồng bộ hóa bình thường hay không và thực hiện lược đổi chỉ khi nút bị mắc kẹt sau khi khởi động lại.
Sự hợp tác giữa các tập đoàn mang họ Trần tại Việt Nam đang thu hút sự chú ý trong bối cảnh các doanh nghiệp trong nước cùng tham gia xây dựng chuỗi giá trị cho các dự án hạ tầng lớn. THACO hợp tác với Hòa Phát trong các…
