Der Litecoin Zero-Day Bug zwang das Netzwerk am 25. April 2026 zu einer 13-Block-Reorganisation und legte den 2022 eingeführten Privacy-Layer als Litecoin Schwachstelle offen. Cross-Chain-Protokolle melden Verluste, die Litecoin Foundation hat einen Sicherheits-Patch ausgerollt. Bitcoin bleibt unberührt, und genau diese Trennung ist die eigentliche Geschichte.
Litecoin bestätigt Zero-Day Bug im MWEB-Layer am 25. April 2026
Die Litecoin Foundation bestätigte am 25. April über ihr offizielles Statement einen Bug im MimbleWimble Extension Block. Betroffen waren die Blöcke 3.095.930 bis 3.095.943, die statt der üblichen 32 Minuten über drei Stunden zur Produktion benötigten. Aurora-Labs-CEO Alex Shevchenko flaggte den Reorg früh und bezeichnete den Vorgang als koordinierten Angriff.
Während des Fork-Fensters zogen Angreifer ungültig erzeugte Coins über Cross-Chain-Protokolle ab. NEAR Intents meldete rund 600.000 US-Dollar Exposure und kündigte Erstattungen an. Der Schaden entstand nicht im Litecoin-Netzwerk selbst, sondern bei Cross-Chain-Diensten, die die ungültigen Pegouts akzeptierten.
Nicht aktualisierte Mining Nodes als Einfallstor des Litecoin Zero-Day Bug
Der Bug erlaubte Mining Nodes mit veralteter Software, ungültige MWEB-Transaktionen zu validieren. Eine parallele DoS-Attacke nahm gepatchte Nodes offline, sodass die Chain mit den manipulierten Transaktionen über drei Stunden lief. Sicherheitsforscher bbsz von der Krypto-Notfallgruppe SEAL911 dokumentierte über öffentliche GitHub-Commits, dass die zugrundeliegende Schwachstelle bereits zwischen dem 19. und 26. März privat gepatcht worden war.
Die Foundation veröffentlichte den Fix erst am 25. April mit Version 0.21.5.4, und zwar nach Beginn des Angriffs. Damit war der Vorgang streng genommen kein klassischer Zero-Day, sondern ein bekannter, aber nicht koordiniert ausgerollter Patch. Mining Pools blieben uninformiert auf der alten Version und bildeten damit das Angriffsfenster.
Bitcoin-Entwickler lehnten MimbleWimble-Integration auf Protokollebene ab
Bitcoin Core lehnte die Integration von MimbleWimble vor Jahren ab. Die Begründung lautete, dass eine zusätzliche Privacy-Schicht außerhalb des Core-Konsens neue Angriffsflächen schafft. Litecoin integrierte MWEB 2022 als optionale Soft-Fork. Charlie Lee, der Litecoin 2011 startete, hatte bereits Ende 2017 sämtliche LTC-Bestände verkauft, offiziell wegen Interessenskonflikten. Zcash-Gründer Zooko Wilcox ordnete den Vorfall in eine Reihe ähnlicher Reorg-Angriffe gegen reine Proof-of-Work-Netzwerke wie Monero und Grin ein.
Strukturell zeigt der Vorfall, was passiert, wenn ein kleines PoW-Netzwerk Privacy-Erweiterungen außerhalb seines Kernkonsens hinzufügt und die Mining-Hashrate für eine zentrale Update-Koordination zu konzentriert ist. Bitcoin reagiert auf solche Konflikte anders, weil das Protokoll keine Soft-Fork-Privacy-Layer akzeptiert und die Hashrate auf deutlich mehr unabhängige Pools verteilt ist. Wer am Geldsystem experimentiert, schafft Angriffsflächen, die später durch Notfall-Reorgs eingeholt werden müssen.
Hard Money im Sinne fester Regeln und konservativer Erweiterungen entsteht nicht durch zusätzliche Komplexität, sondern durch das Aussparen unnötiger Funktionen. Genau in dieser Zurückhaltung liegt die Sicherheit, die Bitcoin von kleineren PoW-Netzwerken unterscheidet.
Wir berichteten über den Two-Block-Chain-Split bei Bitcoin im März, bei dem das Netzwerk einen Konflikt automatisch ohne Eingriff auflöste.
