Ravencoin a divulgué le 11 août qu'une vulnérabilité critique de consensus avait été exploitée depuis le 7 août, permettant aux nœuds vulnérables d'accepter des blocs invalides à partir de la hauteur 4 487 776.
Résumé
- Ravencoin a déclaré que des blocs invalides ont commencé à la hauteur 4 487 776 après l'exploitation d'une vulnérabilité critique de consensus.
- 2Miners a publié un correctif d'urgence rejetant les blocs forgés et a conseillé à chaque opérateur de réseau de mettre à niveau.
- Les transactions confirmées après le bloc 4 487 775 restent à risque si la chaîne de récupération devient finalement dominante.
- Upbit a suspendu les dépôts et retraits de RVN après avoir cité un problème de réseau affectant Ravencoin lundi.
- RVN a chuté de 19,1 % à environ 0,00288 $ alors que les traders réagissaient à l'incident de sécurité du réseau mardi.
Le projet a averti dans son avis qu'une chaîne de récupération minée par 2Miners et RavenMiner pourrait déclencher une réorganisation profonde s'étendant sur « environ trois jours » si elle devenait dominante.
L'alerte a suivi une version logicielle d'urgence de 2Miners le 10 août. Le pool a déclaré que le défaut se situe dans la validation de l'en-tête de bloc KAWPOW et permet à un attaquant de contourner le processus de minage normalement intensif en mémoire. Ravencoin a conseillé aux bourses de suspendre les dépôts et retraits de RVN et a dit aux utilisateurs de considérer les confirmations après le bloc 4 487 775 comme potentiellement réversibles.
Le bug de Ravencoin a permis des blocs invalides bon marché
2Miners a déclaré que l'en-tête KAWPOW contient un champ nHeight qui n'était pas vérifié par rapport à la position réelle du bloc dans la chaîne. En manipulant cette valeur, un attaquant pouvait atteindre un chemin de validation qui sautait la vérification complète de la preuve de travail et acceptait un hash mix fourni sans confirmer un travail ProgPoW authentique.
La version d'urgence a déclaré que les blocs créés via le défaut ne portaient aucun travail ProgPoW authentique et étaient « des ordres de grandeur moins chers » à produire que les blocs honnêtes à la même difficulté. Elle a également documenté deux effets observés sur le mainnet : les nœuds affectés pouvaient échouer après un redémarrage, tandis que les nœuds tentant de se synchroniser pouvaient rencontrer des séquences d'en-tête cassées et ne pas réussir à rattraper leur retard.
2Miners a déclaré que l'exploitation s'est poursuivie du 7 août jusqu'à sa version du 10 août. Entre les hauteurs 4 489 527 et 4 491 615, il a identifié 96 blocs affectés parmi 2 089 examinés. Un échantillon séparé couvrant la période avant le 7 août n'a trouvé aucun bloc affecté, confirmant le point de départ identifié.
2Miners publie un correctif d'urgence alors que la récupération se poursuit
2Miners a publié la version 4.6.1.1-hf1, qui rejette les blocs dont la hauteur d'en-tête déclarée diffère de leur position réelle dans la chaîne à partir de 4 487 776. Le correctif ajoute également un point de contrôle à 4 487 775 et reconstruit l'état de la chaîne lorsque des données d'index endommagées empêchent un nœud de continuer normalement.
Le pool a déclaré que les opérateurs de nœuds, les bourses, les mineurs et les explorateurs devraient mettre à niveau. Sa version avertit que le premier redémarrage peut prendre plusieurs heures car le logiciel rejoue environ 4,49 millions de blocs et 28 millions de transactions lors de la reconstruction de l'état de la chaîne. Les opérateurs exécutant plusieurs nœuds ont été invités à les mettre à niveau individuellement.
Les notes officielles de Ravencoin sur GitHub ont séparément déclaré qu'il n'existait pas encore de version de base corrigeant à la fois le problème KAWPOW et un autre bug de débordement de quantité de transfert d'actifs. Le mainteneur Hans Schmidt a recommandé d'utiliser le code de 2Miners pour le problème de minage jusqu'à ce qu'un correctif combiné soit disponible.
Les bourses suspendent les transferts alors que le RVN chute de 19 %
Upbit a suspendu les dépôts et retraits de Ravencoin le 10 août, invoquant un problème de réseau, avant l'avertissement plus large du projet. Son avis laisse le trading disponible tandis que les transferts restent suspendus. Bitget a également suspendu les dépôts et retraits de RVN pour maintenance du portefeuille à partir du 10 août.
Les données de CoinGecko ont montré que le RVN se négociait autour de 0,00288 $ mardi, en baisse d'environ 19,1 % sur 24 heures. Sa capitalisation boursière était tombée à environ 47,3 millions de dollars, tandis que le volume des échanges sur 24 heures approchait les 11 millions de dollars.
Ravencoin a déjà connu une vulnérabilité de protocole différente. En 2020, des attaquants ont exploité une faille pour créer environ 315 millions de RVN non autorisés, comme l'a rapporté crypto.news dans sa couverture précédente de l'exploitation de Ravencoin. L'incident précédent impliquait une émission excessive de jetons, tandis que la vulnérabilité actuelle concerne la validation de la preuve de travail et les historiques de chaîne concurrents.
Dans une couverture connexe sur la réorganisation de blocs, une réorganisation de 18 blocs de Monero en 2025 a invalidé des transactions précédemment confirmées. Cet épisode illustre pourquoi les bourses deviennent souvent prudentes quant à la finalité des transactions lorsque les réseaux de preuve de travail développent des historiques concurrents.
Quelle est la prochaine étape pour la chaîne Ravencoin
Ravencoin a déclaré que 2Miners et RavenMiner contrôlaient la majorité du taux de hachage du réseau et extrayaient à partir du dernier bloc non affecté tout en excluant la branche exploitée. Le projet a averti que si leur chaîne devenait dominante, les transactions confirmées après 4 487 775 pourraient disparaître de l'historique accepté. Certaines pourraient revenir dans les mempools et être minées à nouveau, mais Ravencoin a déclaré que cela n'était « pas garanti ».
Les prochaines étapes sont une chaîne dominante stable, une adoption plus large du logiciel corrigé et une version combinée en amont de Ravencoin. En attendant, les conseils du projet restent que les bourses suspendent les transferts et que les utilisateurs ne se fient pas aux confirmations récentes. Ravencoin a également souligné que son avertissement ne devait pas être interprété comme un soutien à un rollback ou à un plan de récupération particulier.
