Litecoin a fini par tout détailler. Le réseau a publié un post-mortem complet sur la faille zero-day qui a touché MWEB, son protocole de confidentialité, et le tableau est plus dérangeant qu’un simple bug isolé. Une première exploitation a permis de créer 85 034 LTC « de nulle part ». Une seconde, en avril, a déclenché une réorganisation de 13 blocs et des pertes bien réelles en bitcoin sur des protocoles externes.
Comment 85 000 LTC « faux » ont pu apparaître
Ce genre d’incident rappelle que l’attaque la plus dangereuse n’est pas toujours celle qui vide directement les wallets. Comme on l’a vu dans notre article sur le code invisible qui a piégé des portefeuilles crypto sur GitHub, un défaut discret dans la tuyauterie peut finir par contaminer tout l’écosystème autour.
Selon le récit, les développeurs de Litecoin ont confirmé que la première attaque s’est conclue par un accord inhabituel avec le hacker. Les fonds ont été restitués, et une prime légale de 850 LTC a été versée. Charlie Lee a même acheté lui-même ces 850 LTC pour équilibrer le système.
Le point de départ se trouve dans la validation des données du bloc d’extension MWEB, pour MimbleWimble Extension Block. Le pirate a trouvé un moyen de manipuler une opération de peg-out, c’est-à-dire un retrait depuis le bloc confidentiel vers la chaîne principale. En pratique, une petite somme transformée en 85 034 LTC créés artificiellement.
Sur le papier, le bug est technique. Dans la réalité, il touche à quelque chose de beaucoup plus simple : la confiance dans l’offre. Lorsqu’un actif peut se dupliquer par erreur, même brièvement, toute sa promesse de rareté vacille. Les développeurs et les mineurs ont toutefois réagi assez vite pour geler les fonds avant leur encaissement.
Pourquoi l’accord avec le hacker n’a pas suffi
Ce premier épisode s’est donc terminé sans trou direct pour les utilisateurs Litecoin. Mais il montre aussi une évolution troublante : les réseaux préfèrent parfois négocier plutôt que s’enfermer dans un bras de fer total. Là encore, cela rejoint ce que nous observions dans notre article sur les nouveaux outils de traque de Chainalysis : la sécurité crypto se joue de plus en plus dans la coordination, pas seulement dans le code.
Le problème aurait pu s’arrêter là. Il ne s’est pas arrêté là. En avril, une seconde attaque utilisant la même logique a frappé le réseau. Cette fois, les nœuds mis à jour ont détecté et bloqué la tentative, mais c’est précisément cette protection qui a exposé un autre défaut. Une erreur de code a provoqué le gel de matériels de minage qui tentaient de traiter des données invalides.
Le résultat a été brutal : le réseau s’est scindé, puis 13 blocs ont été annulés. Pour Litecoin lui-même, la situation a été rattrapée. Pour les systèmes branchés autour, l’onde de choc est allée plus loin. NEAR Intents a absorbé une perte de 7,78 BTC. THORChain a perdu environ 0,007 BTC.
C’est là que l’incident devient vraiment instructif. Le réseau principal peut se corriger, mais les couches voisines ne suivent pas toujours au même rythme. Cette fragilité des raccords inter-chaînes fait écho à notre alerte sur les angles morts de sécurité qui entourent les wallets et les usages crypto : le cœur peut être sain, tout en laissant passer des dégâts par les bords.
Litecoin est stable, mais la leçon reste lourde
Depuis, Litecoin Core 0.21.5.4 a été déployé pour corriger définitivement la vulnérabilité. Le réseau est revenu à un état stable. Officiellement, la faille est close. Techniquement, le correctif existe. Mais stratégiquement, l’histoire laisse une trace.
Elle rappelle qu’un réseau ne vit plus seul. Une blockchain est désormais branchée à des protocoles, des ponts, des intentions de swap, des services automatisés et des produits DeFi qui réagissent parfois avant même que la chaîne source ait fini de se stabiliser. Dans un tel environnement, une réorganisation n’est plus seulement un événement interne. C’est une décharge qui traverse plusieurs systèmes à la fois.
En bref
- Litecoin a confirmé qu’une faille MWEB avait permis la création artificielle de 85 034 LTC.
- Charlie Lee a personnellement couvert la prime de 850 LTC versée au hacker après restitution des fonds.
- La seconde attaque d’avril a provoqué une réorganisation de 13 blocs et des pertes en BTC sur NEAR Intents et THORChain.
