莱特币MWEB漏洞致巨额异常交易，团队紧急修复

核心提要：莱特币隐私功能MWEB曝出致命验证缺陷，导致一笔超8.5万LTC异常转出。开发团队通过紧急补丁与矿工协作，成功阻止攻击并追回资金，同时修复了链重组引发的系统性影响。

莱特币MWEB协议现严重验证漏洞，引发大规模资产异常

莱特币开发团队近日披露，在其隐私增强模块MimbleWimble扩展区块（MWEB）实现中存在一项关键性验证缺失。该缺陷允许攻击者构造虚假支出证明，从链上提取远超实际拥有的资金规模。2026年3月即发生一起金额被虚增至85034.47285734 LTC的异常交易事件，暴露出底层逻辑的重大风险。

核心验证机制在链连接环节出现执行断层

据开发者大卫·伯克特于4月28日发布的分析报告，问题根源在于区块接入主链时，未强制执行MWEB输入所需的关键元数据校验。正常情况下，每笔支出需绑定完整且一致的余额与消费信息，但该验证仅存在于内存池与区块生成流程中，却在区块连接路径中被遗漏。

攻击者利用此间隙，在价值不足1.2084693 LTC的小额输入上附加伪造承诺数据，制造出高达85034.47285734 LTC的虚假转出，并将其拆分至三个透明地址。此类操作需突破常规网络检查，可能依赖攻击者自行挖出区块或获取矿工配合，方能完成传播。

紧急响应：补丁发布与无效链清除

发现漏洞后，开发团队迅速启动非公开应急协作，联合主要矿池封锁后续攻击区块。为此，核心客户端0.21.5及0.21.5.1版本以“矿工专用”形式紧急发布。0.21.5.1不仅对已接受的恶意区块添加历史例外处理，还临时冻结了攻击者控制的三个输出，防止进一步流转。

经沟通协商，攻击者最终提交恢复交易，将除预留“850 LTC赏金”外的所有资金返还。总计84184.47278630 LTC被转入回收地址，850 LTC则由查理出资购入并支付给攻击方。所有资金于区块高度3,078,098重新归集至MWEB内部，相关输出被永久冻结，以恢复系统供需平衡。

链重组引发次生风险，外部生态遭波及

4月25日，另一行为者尝试复用相同漏洞路径，但在更新节点拒绝错误数据后，暴露了一个独立的“区块变异”问题。部分序列化后的MWEB主体可在不改变哈希值的前提下产生差异，导致新节点在接收时因解析失败而标记为“BLOCK_MUTATED”，并保留错误数据，干扰后续同步与挖矿流程。

未升级节点因此衍生出一条包含13个无效区块的分支链，持续至高度3,095,943。在更新矿工协同下，有效链完成重组并取代无效链。开发团队强调，此过程并未回滚真实历史，而是清除无效分支。然而，外部服务受到冲击：NEAR Intents在兑换11000 LTC为7.78814476 BTC时遭遇重大损失；THORChain亦发生一笔10 LTC兑换0.00719957 BTC的交易因链变动失效。

当前，核心客户端0.21.5.4版本已彻底修复该漏洞，移除“变异区块”的存储残留，使同一哈希可再次接纳合法数据。团队再次呼吁矿工、交易所及服务提供商立即升级至0.21.5.4或更高版本，并确认同步状态完整性。