Theo tin tức ngày 14 tháng 3, công ty bảo mật blockchain Halborn đã ban hành một tài liệu cho biết vào tháng 3 năm 2022, Halborn được thuê để đánh giá xem liệu cơ sở mã nguồn mở Dogecoin có chứa bất kỳ lỗ hổng nào có thể ảnh hưởng đến bảo mật blockchain hay không. Trong quá trình đánh giá này, Halborn đã phát hiện ra một số lỗ hổng nghiêm trọng và có thể khai thác được đã được nhóm Dogecoin khắc phục. Tuy nhiên, sau khi xem xét rộng hơn, Halborn xác định rằng lỗ hổng tương tự đã ảnh hưởng đến hơn 280 mạng khác, bao gồm Litecoin và Zcash, khiến hơn 25 tỷ USD tài sản kỹ thuật số gặp rủi ro. Halborn đặt tên mã cho lỗ hổng này là Rab13s.

Các lỗ hổng của Rab13 đã được phát hiện trong cơ chế nhắn tin p2p của mạng bị ảnh hưởng và do tính đơn giản nên chúng làm tăng khả năng bị tấn công. Khai thác lỗ hổng này, kẻ tấn công có thể gửi các thông báo đồng thuận độc hại được chế tạo cẩn thận đến nhiều nút khác nhau, khiến mỗi nút ngừng hoạt động và cuối cùng khiến mạng gặp phải các rủi ro như tấn công 51% và các sự cố nghiêm trọng khác. Lỗ hổng thứ hai trong dịch vụ RPC cho phép kẻ tấn công đánh sập một nút thông qua yêu cầu RPC. Tuy nhiên, việc khai thác thành công đòi hỏi thông tin xác thực hợp lệ, giúp giảm khả năng toàn bộ mạng gặp rủi ro do một số nút thực thi lệnh dừng. Lỗ hổng thứ ba cho phép kẻ tấn công thực thi mã trong bối cảnh người dùng đang chạy nút thông qua RPC. Tuy nhiên, việc khai thác này ít có khả năng xảy ra vì nó yêu cầu thông tin xác thực hợp lệ để thực hiện cuộc tấn công.

Halborn cho biết họ đã phát triển một bộ khai thác cho Rab13s, bao gồm một bằng chứng về khái niệm với các thông số có thể định cấu hình để minh họa các cuộc tấn công trên các mạng khác nhau. Tất cả thông tin kỹ thuật cần thiết đã được chia sẻ với các bên liên quan đã được xác định để giúp họ sửa lỗi và phát hành các bản vá cần thiết cho cộng đồng và thợ mỏ. Đối với các dự án sử dụng các nút dựa trên UTXO (chẳng hạn như Dogecoin), nên nâng cấp tất cả các nút lên phiên bản mới nhất (1.14.6). Do tính nghiêm trọng của vấn đề, Halborn sẽ không tiết lộ thêm chi tiết kỹ thuật hoặc khai thác vào thời điểm này.