26.04.2026 08:41
Konuşmaların güneşli Cuma akşamından Cumartesiye doğru devam ettiği sırada Litecoin’in blok zinciri, yaklaşık 32 dakikalık bir ağ aktivitesini geri almak suretiyle 13 blokluk önemli bir yeniden düzenlemeden geçti. Bu aksaklık, saldırganların Mimblewimble Extension Block (MWEB) protokolü içindeki bir zayıflığı kullandığı bir saldırıdan kaynaklandı. Özellikle bu hata, büyük madencilik havuzlarını hedefleyen bir servis red (DoS) kampanyasına yol açtı. Kritik olarak, bu zayıflık, güncel olmayan yazılım kullanan düğümlerde geçersiz MWEB işlemlerinin doğrulama sürecini atlatmasına izin verdi. Ağın yerleşik konsensus mekanizması nihayetinde galip geldi, en uzun geçerli zincire otomatik olarak yeniden düzenlendi ve anomali düzeltildi.
Olayın ardından, Litecoin Vakfı, Pazar sabahı Asya saatlerinde, zafiyetin tamamen giderildiğini bildirdi. Topluluğa ağın bir kez daha normal ve güvenli bir şekilde çalıştığını teyit ettiler. Ancak internet kaynakları, Litecoin-projesinin GitHub deposunun commit geçmişini incelediğinde tamamen farklı bir hikayenin ortaya çıktığını gösteriyor. SEAL911 kripto istismar acil müdahale ekibine bağlı güvenlik araştırmacısı bbsz, kamuya açık git logundan titizlikle çıkarılmış bir patch zaman çizelgesini paylaştı. Bu zaman çizelgesi şu anda Litecoin GitHub deposunda açıkça bulunuyor ve saldırıyı çevreleyen olayların sırasını çok daha net bir şekilde ortaya koyuyor.
Vakfın başlangıçtaki “sıfır-gün” (zero-day) zafiyet tanımını çürüten GitHub kanıtı, daha karmaşık bir geçmişi ortaya koyuyor. Bir konsensus zafiyeti, geçersiz MWEB peg-out işlemine izin veren, 19 Mart ile 26 Mart arasında gizli olarak düzeltildi – yani gerçek saldırıdan yaklaşık dört hafta *önce*. Ayrı bir yandan, ayrı bir DoS zafiyeti 25 Nisan sabahı ele alındı. Dikkat çeken nokta, her iki düzeltmenin de aynı öğleden sonra, saldırının zaten başlamış olmasından sonra 0.21.5.4 sürümü olarak birleştirilip yayınlanmış olmasıdır. bbsz’ın analizinde vurguladığı gibi, “post-mortem bir zero-day’in bir DoS’yi tetiklemiş ve geçersiz bir MWEB işleminin akışına girmesine yol açtığını söylüyor. git log ise biraz farklı bir hikaye anlatıyor.” Bir zero-day, sömürme anında bilinmeyen bir zayıflığı ifade eder. Litecoin projesinin kendi commit geçmişi, konsensus kusurunun bir ay önceden bilindiğini ve gizli olarak giderildiğini, ancak düzeltmenin tüm madencilik havuzları için yayınlanmadığını ve zorunlu kılınmadığını gösteriyor.
