ریونکوین در ۱۱ آگوست فاش کرد که یک آسیبپذیری بحرانی در اجماع از ۷ آگوست مورد سوءاستفاده قرار گرفته بود و به گرههای آسیبپذیر اجازه میداد تا بلاکهای نامعتبر را بپذیرند که از ارتفاع ۴,۴۸۷,۷۷۶ آغاز میشدند.
این پروژه در اطلاعیه خود هشدار داد که یک زنجیره بازیابی که توسط توماینرز (2Miners) و ریونماینر (RavenMiner) استخراج میشود، میتواند یک بازسازماندهی عمیق را آغاز کند که «تقریباً سه روز» به طول میانجامد، اگر این زنجیره غالب شود.
این هشدار پس از انتشار یک نرمافزار اضطراری توسط توماینرز در ۱۰ آگوست صادر شد. این استخر اعلام کرد که نقص در اعتبارسنجی هدر بلاک KAWPOW است و به مهاجم اجازه میدهد تا فرآیند استخراج عادی و نیازمند حافظه فشرده را دور بزند. ریونکوین به صرافیها توصیه کرد که واریز و برداشت RVN را متوقف کنند و به کاربران گفت که تأییدیههای پس از بلاک ۴,۴۸۷,۷۷۵ را به عنوان قابل بازگشت (برگشتپذیر) در نظر بگیرند.
توماینرز اعلام کرد که هدر KAWPOW حاوی یک فیلد nHeight است که در برابر موقعیت واقعی بلاک در زنجیره بررسی نمیشد. با دستکاری آن مقدار، یک مهاجم میتوانست به مسیر اعتبارسنجیای دست یابد که تأیید کامل اثبات کار را دور میزد و یک هش ترکیبی ارائه شده را بدون تأیید کار واقعی ProgPoW میپذیرفت.
انتشار اضطراری (پچ) بیان کرد که بلاکهای ایجاد شده از طریق این نقص هیچ کار واقعی ProgPoW را شامل نمیشدند و تولید آنها «مراتب ارزانتر» از بلاکهای صادقانه با دشواری یکسان بود. همچنین دو اثر مشاهده شده در شبکه اصلی (mainnet) را مستند کرد: گرههای آسیبدیده میتوانستند پس از راهاندازی مجدد دچار اختلال شوند، در حالی که گرههایی که تلاش میکردند همگامسازی شوند، ممکن بود با توالیهای هدر شکسته مواجه شده و نتوانند همگام شوند.
توماینرز اعلام کرد که سوءاستفاده از ۷ آگوست تا زمان انتشار پچ در ۱۰ آگوست ادامه داشت. بین ارتفاعهای ۴,۴۸۹,۵۲۷ و ۴,۴۹۱,۶۱۵، این شرکت ۹۶ بلاک آسیبدیده را از میان ۲,۰۸۹ بلاک بررسی شده شناسایی کرد. یک نمونه جداگانه که دوره قبل از ۷ آگوست را پوشش میداد، هیچ بلاک آسیبدیدهای پیدا نکرد، که این موضوع نقطه شروع شناسایی شده را تأیید میکند.
توماینرز نسخه 4.6.1.1-hf1 را منتشر کرد، که بلاکهایی را که ارتفاع هدر اعلام شدهشان با موقعیت واقعی زنجیره آنها از ۴,۴۸۷,۷۷۶ متفاوت است، رد میکند. این پچ همچنین یک نقطه بازرسی در ۴,۴۸۷,۷۷۵ اضافه میکند و وضعیت زنجیره را زمانی که دادههای شاخص آسیبدیده مانع از ادامه عادی یک گره میشود، بازسازی میکند.
این استخر اعلام کرد که اپراتورهای گره، صرافیها، ماینرها و اکسپلوررها باید سیستم خود را ارتقا دهند. انتشار آن هشدار میدهد که اولین راهاندازی مجدد میتواند چندین ساعت طول بکشد زیرا نرمافزار در حین بازسازی وضعیت زنجیره، حدود ۴.۴۹ میلیون بلاک و ۲۸ میلیون تراکنش را بازپخش میکند. به اپراتورهایی که چندین گره را اجرا میکنند، توصیه شد که آنها را به صورت جداگانه ارتقا دهند.
یادداشتهای رسمی ریونکوین در گیتهاب به طور جداگانه اعلام کردند که هنوز یک نسخه اصلی (کور) وجود ندارد که هم مشکل KAWPOW و هم یک باگ متفاوت سرریز مقدار انتقال دارایی را پچ کند. نگهدارنده، هانس اشمیت، استفاده از کد توماینرز را برای مشکل استخراج تا زمانی که یک پچ ترکیبی در دسترس قرار گیرد، توصیه کرد.
آپبیت واریز و برداشت ریونکوین را در ۱۰ آگوست، با اشاره به یک مشکل شبکه، قبل از هشدار گستردهتر پروژه، به حالت تعلیق درآورد. اطلاعیه آن بیان میکند که معاملات همچنان در دسترس است در حالی که نقل و انتقالات متوقف ماندهاند. بیتگت نیز واریز و برداشت RVN را برای نگهداری کیف پول از ۱۰ آگوست به حالت تعلیق درآورد.
دادههای کوینگکو نشان داد که RVN در روز سهشنبه با قیمتی نزدیک به ۰.۰۰۲۸۸ دلار معامله میشد که حدود ۱۹.۱٪ در ۲۴ ساعت گذشته کاهش یافته بود. ارزش بازار آن به تقریباً ۴۷.۳ میلیون دلار کاهش یافته بود در حالی که حجم معاملات ۲۴ ساعته به ۱۱ میلیون دلار نزدیک میشد.
ریونکوین پیش از این نیز یک آسیبپذیری پروتکلی متفاوت را تجربه کرده است. در سال ۲۰۲۰، مهاجمان از یک نقص برای ایجاد حدود ۳۱۵ میلیون RVN غیرمجاز سوءاستفاده کردند، همانطور که کریپتو.نیوز در پوشش قبلی خود از حمله به ریونکوین گزارش داده بود. حادثه قبلی شامل انتشار بیش از حد توکن بود، در حالی که آسیبپذیری کنونی مربوط به اعتبارسنجی اثبات کار و تاریخچههای زنجیرهای رقیب است.
در پوشش مربوط به بازسازماندهی بلاک، یک بازسازماندهی ۱۸ بلاکی مونرو در سال ۲۰۲۵، تراکنشهای قبلاً تأیید شده را باطل کرد. این رویداد نشان میدهد که چرا صرافیها اغلب در مورد قطعیت تراکنشها زمانی که شبکههای اثبات کار تاریخچههای رقیب ایجاد میکنند، محتاط میشوند.
ریونکوین اعلام کرد که توماینرز و ریونماینر اکثریت هشریت شبکه را کنترل میکنند و از آخرین بلاک بدون تأثیر، با حذف شاخه مورد سوءاستفاده، استخراج میکردند. این پروژه هشدار داد که اگر زنجیره آنها غالب شود، تراکنشهای تأیید شده پس از ۴,۴۸۷,۷۷۵ ممکن است از تاریخچه پذیرفته شده محو شوند. برخی ممکن است به ممپولها بازگردند و دوباره استخراج شوند، اما ریونکوین اعلام کرد که این «تضمین شده نیست».
نقاط عطف بعدی شامل یک زنجیره غالب پایدار، پذیرش گستردهتر نرمافزار پچ شده و یک انتشار (ریلیز) ترکیبی بالادستی ریونکوین است. تا آن زمان، راهنمایی پروژه برای صرافیها این است که نقل و انتقالات را به حالت تعلیق درآورند و برای کاربران این است که به تأییدیههای اخیر تکیه نکنند. ریونکوین همچنین تأکید کرد که هشدار آن نباید به عنوان حمایت از یک بازگشت (rollback) یا هر برنامه بازیابی خاصی تفسیر شود.
