Le Litecoin voit pour la première fois une couche de confidentialité piratée : déclenchement d’une vulnérabilité zero-day MWEB provoquant une réorganisation de 13 blocs de chaîne

Selon un rapport de The Block, la Fondation Litecoin a confirmé le samedi 25/4 qu’un attaquant exploitait une vulnérabilité zero-day dans la couche de confidentialité du MimbleWimble Extension Block (MWEB), forçant la chaîne principale à effectuer un repli en arrière (rollback) de 13 blocs, sur une durée de trois heures, ce qui constitue le premier événement d’attaque majeur contre le MWEB depuis son activation en 2022.

La faille MWEB permet aux nœuds de versions anciennes d’accepter des transactions peg-out falsifiées

Le cœur du problème est le suivant : les nœuds de mineurs exécutant un logiciel plus ancien considéreraient une transaction MWEB invalide comme légitime. L’attaquant en profite pour faire “peg out” des LTC depuis la couche de confidentialité vers la chaîne principale, puis pour les déposer dans une bourse décentralisée afin de les échanger contre d’autres actifs, ce qui revient à créer des monnaies “ex nihilo”. Dans le même temps, plusieurs grands pools de minage sont également impliqués, en subissant des attaques DoS ciblées.

Le MWEB est une couche d’extension de confidentialité que Litecoin a lancée en mai 2022 via un soft fork, visant à doter les LTC d’un masquage des montants similaire à celui de Monero. Pendant plus de trois ans, la fonctionnalité a fonctionné de manière stable ; c’est la première fois qu’elle est exploitée efficacement pour attaquer le réseau principal.

Rollback de 13 blocs, fork maintenu plus de 3 heures

Le fork concerné s’étend du bloc 3,095,930 au bloc 3,095,943, soit 13 blocs au total. Cette fenêtre de trois heures a donné à l’attaquant suffisamment de temps pour lancer une attaque par double dépense (double-spend) contre des protocoles d’échange inter-chaînes acceptant les peg-out MWEB : lorsque le protocole d’échange transfère les actifs à l’autre partie, mais que ceux-ci perdent leur règlement MWEB correspondant lors du rollback suivant, les transactions isolées reviennent alors à être invalides.

NEAR Intents révèle environ 600 000 dollars ; les pools aussi subissent un DoS

Parmi les protocoles touchés, NEAR Intents est celui qui expose le montant le plus élevé publiquement : selon les premières notifications, environ 600 000 dollars auraient été exposés, et l’équipe indique qu’elle absorberait elle-même les pertes des utilisateurs. Litecoin confirme ensuite que toutes les transactions invalides ont été effacées de la chaîne principale avec le rollback ; par conséquent, la perte de règlement réelle devrait être bien inférieure au montant initialement estimé.

Côté pools de minage, les mêmes conditions de la faille déclenchent un DoS, forçant l’arrêt ou l’interruption de l’extraction de blocs ; c’est aussi la clé pour que l’attaquant puisse maintenir le fork pendant trois heures : sans blocage immédiat par la puissance de calcul (hashrate) dominante, la chaîne d’attaque a le temps d’accumuler des blocs.

Une version corrective a été publiée ; les pools et les nœuds doivent mettre à niveau immédiatement

L’équipe de développement de Litecoin a publié une version correctrice dans les quelques heures suivant l’incident, demandant à tous les nœuds et aux opérateurs de pools de minage de passer immédiatement à la dernière version. La Fondation déclare que le réseau fonctionne à nouveau normalement à l’heure actuelle, et recommande aux bourses de suspendre temporairement le traitement des retraits (withdrawals) et des échanges liés au MWEB jusqu’à la fin des mises à niveau.

Pour les détenteurs de LTC, cet incident n’affecte pas les transactions légitimes de la chaîne principale ni les soldes existants, mais met en évidence le compromis entre “réduction de l’observabilité” et “réduction de la difficulté de débogage” dans la couche d’extension de confidentialité : lorsque le problème survient, la communauté a plus de mal à suivre les anomalies à partir des données de la chaîne dès les premières minutes. Litecoin n’a inscrit des ETF de type “staking” aux États-Unis qu’en octobre 2025, et l’attention des investisseurs institutionnels à la stabilité du réseau va forcément augmenter.

Cet article La première intrusion contre la couche de confidentialité de Litecoin : une faille zero-day du MWEB déclenche une réorganisation de 13 blocs apparaît pour la première fois sur Chaîne News ABMedia.