- MWEBのゼロデイ脆弱性を悪用、チェーン再編を強いられる
- 修正版v0.21.5.4へのアップデートを全ノードに要請
MWEBのバグ攻撃で資金を不正抽出
暗号資産（仮想通貨）ライトコイン（LTC）の支援を行うライトコイン財団は28日、数日前に発生した主要マイニングプールに対するDoS攻撃について詳しく説明する記事を公開した。
犯人は、ミンブルウィンブル拡張ブロック（MWEB）のプライバシーレイヤーに関してゼロデイ脆弱性（まだ修正が存在しない状態で見つかったセキュリティの穴）を発見し、これを悪用していた。このためライトコインは25日に大規模なチェーン再編を強いられている。
ミンブルウィンブル拡張ブロック（MWEB）とは
スケーラビリティを向上させると共に、取引に関する情報について特定されないようにする技術。
バグがあったことで、古いソフトウェアを実行しているマイニングノードが不正なMWEBトランザクションを検証できてしまった。このため、犯人がプライバシー拡張機能からコインを不正に引き出し、サードパーティの分散型取引所に送金することが可能になった形だ。
ライトコインのチームは、チェーンを巻き戻して不正なブロックを無効化した。しかし、不正に作成されたトークンが他の取引所で処理されており損失を生じさせている。
Aurora Labsのアレックス・シェフチェンコCEOによると、クロスチェーンブリッジNEAR Intentsでも約60万ドル（約9,600万円）が損失にさらされているとされる。正確なサードパーティ取引IDと最終的な損失額は現在調査中だ。
今回の記事を執筆したライトコイン開発者、デビッド・バーケット氏によると、根本的なバグは修正されている。また、すべてのノードオペレーターやサービスに対し、「Litecoin Core v0.21.5.4」以降へのアップデートを求めている。
このアップデートでは、MWEB入力に対する入力コミットメントと公開鍵の二重検証が追加され、防御層を強化。また、マイナーのDoS攻撃を防ぐための変異ブロックのデータ消去など、その他のセキュリティ強化が行われている。
なお、年初来最大級のDeFiハックとして行われたリキッドリステーキング（LRT）プロトコル「Kelp DAO」への攻撃でも、他のDeFiプロトコルへ影響が波及していた。
最近のハッキング事例解説：今年最大級のDeFiハッキング事件と業界の動き｜仮想NISHI
ケルプDAOハッキング発生から10日間、アービトラムによる資金凍結、3億ドル超の業界横断支援、rsETH保有者への損失転嫁なしという方針が示された。DeFiが「失敗後の対応力」まで問われる段階に入ったと仮想NISHIが分析。
3月時点でバグ発見
ライトコイン開発者は3月時点で、MWEB実装における重大な検証バグを発見していた。このバグは、ブロック生成者が実際に使用されるMWEB UTXOと一致しないメタデータを含むMWEB入力をマイニングブロックに組み込むことを可能にするものだった。
悪意のあるブロックによって、あるMWEB入力が実際よりもはるかに大きなペグアウト（サイドチェーンから元のチェーンにコインを戻すこと）をできるようになっていた形だ。たとえば、入力が1LTCでも10LTCをペグアウトできるような状況である。
また、開発チームはチェーンスキャンを行い、この脆弱性が既に一度悪用されていたことを突き止めた。チームは迅速に、マイナーのみを対象とした緊急ロールアウトを実施して、さらなる悪用を防ぎ、攻撃者を突き止めて連絡を取った。交渉の結果、攻撃者は850 LTCをバグ発見の報奨金として受け取り、残りの資金を返還している。
チームは、入出力の合計の整合性が取れるような修正も行った。しかし、修正を取り入れたノードは全体の一部だった。
脆弱性に対応する修正コードが1か月間コードベースに存在していたにもかかわらず一般に公開されておらず、マイニングプールへの強制的なアップグレードも行われていなかったことに対しては、問題視する声も上がっている。
4月、今度は違う者が同じ脆弱性を利用して攻撃を行った。犯人は修正コードを適用済みのノードをDoS攻撃で落としたり、他の抜け道を利用して攻撃を可能にしている。
DoS攻撃が収束すると、更新されたコードを実行しているマイニングプールがハッシュレートの大部分を取り戻し、ネットワークは自動的に有効なチェーンに再編成され、不正なトランザクションは消去された。
ライトコイン財団は、この期間中のすべての正当なトランザクションは影響を受けなかったと述べている。
関連記事：米ホワイトハウス、アンソロピック製機密AIモデル「Mythos」の全政府導入を準備
米ホワイトハウスが、アンソロピック社の強力なAIモデル「ミトス」の政府内展開を計画していることが判明した。国防総省との法的紛争が続く中、予算管理局（OMB）が主導して主要省庁へのアクセス環境を整備し、国家規模でのサイバー防御力の底上げを図る狙いだ。
仮想通貨取引所の選び方・比較については、以下の総合ガイドで随時更新しています
