Whalesbook
Litecoin के नेटवर्क में हाल ही में एक चौंकाने वाली घटना हुई, जहाँ 13 ब्लॉक का रीऑर्गनाइजेशन देखा गया, जिसने लगभग 32 मिनट की नेटवर्क एक्टिविटी को पीछे धकेल दिया। इस गड़बड़ी की वजह MWEB प्रोटोकॉल में एक एक्सप्लॉइट (exploit) था। Litecoin Foundation ने तुरंत कहा कि यह कोई 'जीरो-डे' (zero-day) वल्नरेबिलिटी (vulnerability) नहीं थी और समस्या को सुलझा लिया गया है। लेकिन, सुरक्षा शोधकर्ताओं ने GitHub पर मिले सबूतों के आधार पर 'जीरो-डे' होने के दावे पर सवाल खड़े कर दिए हैं।
शोधकर्ताओं का कहना है कि GitHub कमिट्स (commits) से पता चलता है कि कंसेंसस वल्नरेबिलिटी (consensus vulnerability), जो इनवैलिड MWEB ट्रांजैक्शंस (invalid MWEB transactions) को प्रोसेस करने देती थी, को हमले से कई हफ्ते पहले, 19 मार्च से 26 मार्च के बीच, निजी तौर पर पैच (patch) कर दिया गया था।
इस हमले में दो कमजोरियों का इस्तेमाल हुआ। पहली, वही कंसेंसस बग थी जिसे हफ्तों पहले ठीक कर दिया गया था। दूसरी, एक डिनायल-ऑफ-सर्विस (Denial-of-Service - DoS) फ्लॉ (flaw) था, जिसे हमले के दिन ही 25 अप्रैल को फिक्स किया गया। दोनों पैचेस Litecoin Core v0.21.5.4 में शामिल थे। 'जीरो-डे' एक्सप्लॉइट का मतलब ही यह होता है कि डेवलपर्स को इसके बारे में तब पता ही न हो जब इसका इस्तेमाल हो रहा हो। यहाँ मुख्य विवाद इस बात पर है कि क्या एक पैच की गई वल्नरेबिलिटी को 'जीरो-डे' कहना सही है।
Alex Shevchenko, CTO of NEAR Foundation's Aurora project, ने बताया कि हमलावर ने अटैक शुरू होने से करीब 38 घंटे पहले अपना प्लान बनाया था, जिसमें Litecoin (LTC) को Ether (ETH) में बदलने की तैयारी शामिल थी। उनके मुताबिक, हमलावर ने DoS फ्लॉ का इस्तेमाल करके उन माइनिंग नोड्स (mining nodes) को जाम कर दिया था जिन्होंने पैच इंस्टॉल कर लिया था। इससे अनपैच्ड नोड्स इनवैलिड ट्रांजैक्शंस को प्रोसेस कर पाते, जिससे नेटवर्क में रीऑर्गनाइजेशन होता।
हालांकि, नेटवर्क खुद ही 13-ब्लॉक रीऑर्गनाइजेशन के साथ स्टेबल हो गया, क्योंकि अधिकांश माइनिंग पावर ने अपडेटेड सॉफ्टवेयर अपना लिया था। पर यह घटना प्रूफ-ऑफ-वर्क (Proof-of-Work) नेटवर्क्स के लिए एक बड़ी सीख है। Litecoin जैसे पुराने नेटवर्क्स में, सुरक्षा पैचेस को स्वीकार करने की जिम्मेदारी माइनिंग पूल्स (mining pools) पर होती है, जो इस प्रक्रिया को धीमा कर सकती है। Litecoin Foundation ने अभी तक GitHub टाइमलाइन पर विस्तार से जवाब नहीं दिया है। यह भी साफ नहीं है कि इस हमले में कितनी Litecoin की चोरी हुई या कितना नुकसान हुआ।