Ravencoin hat am 11. August offengelegt, dass seit dem 7. August eine kritische Konsens-Schwachstelle ausgenutzt wurde, die es anfälligen Knoten ermöglichte, ungültige Blöcke ab der Höhe 4.487.776 zu akzeptieren.
Zusammenfassung
- Ravencoin sagte, dass ungültige Blöcke ab der Höhe 4.487.776 begannen, nachdem eine kritische Konsens-Schwachstelle ausgenutzt wurde.
- 2Miners veröffentlichte einen Notfall-Patch, der gefälschte Blöcke ablehnt, und riet jedem Netzwerkbetreiber, ein Upgrade durchzuführen.
- Transaktionen, die nach Block 4.487.775 bestätigt wurden, bleiben gefährdet, falls die Wiederherstellungskette letztendlich dominant wird.
- Upbit setzte RVN-Einzahlungen und -Auszahlungen aus, nachdem es am Montag auf ein Netzwerkproblem hinwies, das Ravencoin betrifft.
- RVN fiel um 19,1 % auf etwa 0,00288 $, als Händler am Dienstag auf den Netzwerksicherheitsvorfall reagierten.
Das Projekt warnte in seiner Mitteilung, dass eine von 2Miners und RavenMiner abgebaute Wiederherstellungskette eine tiefe Neuorganisation über "ungefähr drei Tage" auslösen könnte, falls sie dominant wird.
Die Warnung folgte auf eine Notfall-Software-Veröffentlichung von 2Miners am 10. August. Der Pool erklärte, dass der Fehler in der KAWPOW-Blockheader-Validierung liegt und es einem Angreifer ermöglicht, den normalen speicherintensiven Mining-Prozess zu umgehen. Ravencoin riet Börsen, RVN-Einzahlungen und -Auszahlungen zu stoppen, und teilte Benutzern mit, Bestätigungen nach Block 4.487.775 als potenziell umkehrbar zu behandeln.
Ravencoin-Fehler ermöglichte billige ungültige Blöcke
2Miners sagte, dass der KAWPOW-Header ein nHeight-Feld enthält, das nicht gegen die tatsächliche Position eines Blocks in der Kette geprüft wurde. Durch Manipulation dieses Wertes konnte ein Angreifer einen Validierungspfad erreichen, der die vollständige Proof-of-Work-Verifizierung übersprang und einen bereitgestellten Mix-Hash akzeptierte, ohne echte ProgPoW-Arbeit zu bestätigen.
Die Notfall-Veröffentlichung sagte, dass durch den Fehler erstellte Blöcke keine echte ProgPoW-Arbeit trugen und "um Größenordnungen billiger" zu produzieren waren als ehrliche Blöcke bei gleicher Schwierigkeit. Sie dokumentierte auch zwei Auswirkungen, die im Mainnet beobachtet wurden: Betroffene Knoten konnten nach einem Neustart ausfallen, während Knoten, die versuchten zu synchronisieren, auf defekte Header-Sequenzen stoßen und nicht aufholen konnten.
2Miners sagte, dass die Ausnutzung vom 7. August bis zur Veröffentlichung am 10. August andauerte. Zwischen den Höhen 4.489.527 und 4.491.615 identifizierte es 96 betroffene Blöcke unter 2.089 untersuchten. Eine separate Stichprobe, die den Zeitraum vor dem 7. August abdeckte, fand keine betroffenen Blöcke, was den identifizierten Ausgangspunkt unterstützt.
2Miners liefert Notfall-Patch, während die Wiederherstellung fortgesetzt wird
2Miners veröffentlichte Version 4.6.1.1-hf1, die Blöcke ablehnt, deren deklarierte Header-Höhe von ihrer tatsächlichen Kettenposition abweicht, beginnend bei 4.487.776. Der Patch fügt auch einen Checkpoint bei 4.487.775 hinzu und baut den Kettenzustand neu auf, wenn beschädigte Indexdaten einen Knoten daran hindern, normal fortzufahren.
Der Pool sagte, dass Knotenbetreiber, Börsen, Miner und Explorer ein Upgrade durchführen sollten. Seine Veröffentlichung warnt, dass der erste Neustart mehrere Stunden dauern kann, da die Software etwa 4,49 Millionen Blöcke und 28 Millionen Transaktionen während des Neuaufbaus des Kettenzustands erneut abspielt. Betreiber, die mehrere Knoten betreiben, wurden beraten, diese einzeln zu aktualisieren.
Ravencoins offizielle GitHub-Notizen sagten separat, dass es noch keine Kernversion gibt, die sowohl das KAWPOW-Problem als auch einen anderen Asset-Transfer-Mengenüberlauffehler patcht. Maintainer Hans Schmidt empfahl, den 2Miners-Code für das Mining-Problem zu verwenden, bis ein kombinierter Patch verfügbar ist.
Börsen stoppen Transfers, da RVN um 19% fällt
Upbit setzte am 10. August Ein- und Auszahlungen von Ravencoin aufgrund eines Netzwerkproblems aus, bevor die breitere Warnung des Projekts kam. Die Mitteilung lässt den Handel weiterhin zu, während Transfers gestoppt bleiben. Bitget setzte ebenfalls RVN-Ein- und Auszahlungen für Wartungsarbeiten an der Wallet ab dem 10. August aus.
CoinGecko-Daten zeigten, dass RVN am Dienstag bei etwa 0,00288 $ gehandelt wurde, was einem Rückgang von etwa 19,1% in 24 Stunden entspricht. Die Marktkapitalisierung war auf etwa 47,3 Millionen $ gefallen, während das 24-Stunden-Handelsvolumen sich 11 Millionen $ näherte.
Ravencoin hat bereits früher eine andere Protokollschwachstelle erlebt. Im Jahr 2020 nutzten Angreifer einen Fehler aus, um etwa 315 Millionen nicht autorisierte RVN zu erzeugen, wie crypto.news in der früheren Berichterstattung über den Ravencoin-Exploit berichtete. Der frühere Vorfall betraf eine übermäßige Token-Ausgabe, während die aktuelle Schwachstelle die Proof-of-Work-Validierung und konkurrierende Kettenverläufe betrifft.
In der verwandten Berichterstattung über Block-Reorganisation machte eine 18 Blöcke umfassende Monero-Reorganisation im Jahr 2025 zuvor bestätigte Transaktionen ungültig. Der Vorfall zeigt, warum Börsen oft vorsichtig werden, wenn es um die Endgültigkeit von Transaktionen geht, wenn Proof-of-Work-Netzwerke konkurrierende Verläufe entwickeln.
Was als Nächstes für die Ravencoin-Kette passiert
Ravencoin sagte, dass 2Miners und RavenMiner die Mehrheit der Netzwerk-Hashrate kontrollierten und vom letzten nicht betroffenen Block aus schürften, während sie den ausgenutzten Zweig ausschlossen. Das Projekt warnte, dass, wenn ihre Kette dominant wird, Transaktionen, die nach 4.487.775 bestätigt wurden, aus der akzeptierten Historie verschwinden könnten. Einige könnten in die Mempools zurückkehren und erneut geschürft werden, aber Ravencoin sagte, dass dies "nicht garantiert" sei.
Die nächsten Meilensteine sind eine stabile dominante Kette, eine breitere Einführung gepatchter Software und eine kombinierte Upstream-Ravencoin-Veröffentlichung. Bis dahin bleibt die Anleitung des Projekts, dass Börsen Transfers aussetzen und Benutzer sich nicht auf kürzliche Bestätigungen verlassen sollten. Ravencoin betonte auch, dass seine Warnung nicht als Unterstützung für einen Rollback oder einen bestimmten Wiederherstellungsplan interpretiert werden sollte.
