Litecoin baru saja menulis kembali tiga jam sejarahnya sendiri setelah serangan terencana terhadap lapisan privasi-nya

TLDR

• Litecoin mengalami kerentanan zero-day yang menyebabkan reorganisasi rantai 13 blok pada hari Sabtu
• Penyerang mengeksploitasi lapisan privasi MimbleWimble Extension Block (MWEB) untuk mendorong transaksi yang tidak valid
• Kolam pertambangan yang menjalankan perangkat lunak yang diperbarui terkena serangan penolakan layanan (denial-of-service), yang sementara menekan kekuatan hashing mereka
• Alamat yang didanai oleh Binance menunjukkan bahwa serangan itu telah direncanakan sebelumnya, dengan beberapa pengembang meragukan bahwa itu adalah zero-day yang sebenarnya
• Bug telah diperbaiki sepenuhnya; transaksi yang valid tidak terpengaruh, tetapi beberapa venue perdagangan melaporkan kerugian termasuk sekitar $600.000 pada NEAR Intents

(SeaPRwire) –   Litecoin terkena eksploitasi besar pada hari Sabtu setelah penyerang menggunakan kerentanan zero-day di lapisan privasi MimbleWimble Extension Block mereka untuk memicu serangan pertama yang diketahui pada sistem tersebut sejak diluncurkan pada tahun 2022.

Pembaruan Litecoin:

• Bug zero-day menyebabkan serangan DoS yang mengganggu kolam pertambangan utama.
• Node pertambangan yang tidak diperbarui mengizinkan transaksi MWEB yang tidak valid yang memungkinkan mereka untuk mengeluarkan koin ke DEX pihak ketiga
• Reorg 13 blok membalikkan transaksi yang tidak valid tersebut — mereka tidak akan…

— Litecoin (@litecoin) April 25, 2026

Bug tersebut mengizinkan node pertambangan yang lebih lama untuk memvalidasi transaksi yang tidak valid, membiarkan penyerang mengeluarkan koin dari lapisan privasi dan mengirimkannya ke bursa terdesentralisasi dan protokol swap lintas-rantai.

Pada saat yang sama, kolam pertambangan yang menjalankan perangkat lunak yang lebih baru dan diperbarui terkena serangan penolakan layanan. Hal ini sementara menghentikan kekuatan hashing mereka dan memberikan kontrol jaringan kepada node yang lebih lama.

Setelah serangan penolakan layanan berhenti, node yang diperbarui kembali mengambil alih kontrol dan mengeksekusi reorganisasi rantai 13 blok. Hal ini membalikkan transaksi yang tidak valid, menghapus lebih dari tiga jam riwayat yang diubah dari catatan Litecoin.

Yayasan Litecoin mengonfirmasi bahwa semua transaksi valid yang dibuat selama periode tersebut tetap berada di rantai utama. Kerentanan kini telah diperbaiki sepenuhnya, kata tim tersebut.

Fork berjalan dari blok 3.095.930 hingga 3.095.943 dan berlangsung lebih dari tiga jam. Selama jendela tersebut, penyerang melakukan serangan pengeluaran ganda (double-spend) terhadap beberapa protokol swap lintas-rantai yang telah menerima pengeluaran (peg-outs) yang kini tidak valid tersebut.

CEO Aurora Labs Alex Shevchenko menggambarkannya sebagai “serangan yang terkoordinasi.” Dia juga menandai bahwa alamat Binance mendanai penyerang sebelumnya minggu ini, yang menunjukkan perencanaan sebelumnya.

Pengembang Mempertanyakan Label “Zero-Day”

Shevchenko berargumen bahwa bug tersebut mungkin bukan zero-day yang sebenarnya. Dia mencatat bahwa karena jaringan secara otomatis menangani reorg begitu serangan penolakan layanan berhenti, sebagian dari tingkat hash pasti sudah menjalankan kode yang diperbarui.

“Bug ini diketahui, dan ini bukan zero-day,” tulis Shevchenko di X.

Pengembang blockchain Vadim menambahkan bahwa waktu dan penargetan mengarah pada operasi yang disengaja, bukan eksploitasi acak.

Kerugian Dilaporkan di Berbagai Venue Perdagangan

Shevchenko memperkirakan NEAR Intents kehilangan sekitar $600.000 dalam insiden tersebut. Dia mendesak semua venue perdagangan yang menangani Litecoin untuk mengaudit transaksi dan kepemilikan mereka.

Yayasan Litecoin tidak menyebutkan kolam pertambangan mana yang terpengaruh atau mengungkapkan berapa banyak Litecoin yang dibuat oleh transaksi yang tidak valid.

Litecoin diperdagangkan di dekat $56,00 sekitar pukul 16:30 ET pada hari Sabtu, turun sekitar 1% pada hari itu, tanpa reaksi pasar yang tajam terhadap berita tersebut. Token tersebut turun hampir 25% sejak awal tahun.

Serangan ini adalah bagian dari pola yang lebih luas dari insiden keamanan kripto pada tahun 2026. Protokol DeFi telah kehilangan lebih dari $750 juta karena eksploitasi hingga pertengahan April, termasuk pengurasan jembatan Kelp DAO sebesar $292 juta pada 19 April dan serangan sebesar $285 juta pada platform perpetual berbasis Solana, Drift, pada 1 April.

Infrastruktur lintas-rantai adalah permukaan serangan yang umum di sebagian besar insiden tersebut, termasuk pelanggaran Litecoin pada hari Sabtu.