Es impráctico, necesitarías ejecutar el algoritmo del orden de 2^127 veces para asegurarte que el el texto en claro coincide con el texto cifrado, o lo que es lo mismo, probar todas las claves posibles. Fuerza bruta pura.

Yo no descarto que el algoritmo sea débil frente a su aparente fortaleza... pero yo no lo trataría desde la perspectiva texto en claro, texto cifrado, si no desde la s-Box (que además podría ser cambiada, si hubiere sospechas).

Para mi un sistema que usa XOR en cantidades pares, de alguna forma está retirándole la entropía que le dió la vez anterior. Al ser las rondas de la segunda etapa en número par (tanto para 128bits, como 192 y 256), cae en ese detalle (para mi revelador)...

Hasta donde yo sé, si sé que ha habido buenos intentos y algunos otros que son ismples comentarios sin demasiados detalles, por los que por cautela conviene obviar.

El algoritmo, al menos en apariencia es fuerte. Toma cada 16 bytes (128 bits), los connsidera en una cuadrícula de 4x4, y a partir de ahí, realiza varias operaciones en 3 fases, la fase intermedia es un bucle. Modifica los bits, modifica las filas y modifica las columnas por lo que resite análisis de frecuencias (lineales y no lineales) para intentar revertir (vamos que básicamente las operaciones son irreversibles). También se ha tomado precauciones para evitar operaciones del tipo n(x) = n ó -n (para cualquier x, jamás será igual a n).

Sin embargo, no hace intercambio de bloques, esto es, los bytes 0-15 del texto en claro, siguen siendo los bytes 0-15 del cifrado, por lo que hay esperanzas de algún hallazgo. Por eso te decía que yo lo intentaría estudiando a fondo las s-Box. Haciendo una implementación del algoritmo y probar a fondo como queda todo alterado tras 1,2,3...x rondas si la s-Box, le otorgo valores secuenciales, el mismo valor para toda,  etc... y ver si tras ello queda algún rasgo rastreable (probando por ejemplo un texto en claro sencillo como 'xxxxxxxxxxxxxxxx' y una clave como 'aaaaaaaaaaaaaaaa'...

Otro punto flaco para mi, es que el tamaño de los datos a la entrada no se ve alterado a la salida. Lo que siempre otorga capacidad para intentarlo...

Aunque está muy bien diseñado podría salta rla sorpresa de que sea fácilmente rompible. Un problema de los algoritmos es que cualquier estudio en profundidad, jamás abaracará lo absoluto por lo que la certeza absoluta, no puede tenerse y el algoritmo más complejo podría tener una fácil solución para romperlo.

Tira por las s-Box, o analiza a fondo las 4 operaciones en que se basa, pero descarta la fuerza bruta, contra eso si que está probado...

Por supuesto otra cosa es que un proveedor de claves, ande chapuceando con dar claves que son un incremento unitario de la previa. Ahí estás pillando la clave, por negligencia del proveedor de claves (vamos que es lo mismo que si eligen 0123456...).
Personalmente veo más que interesante que incluso el mismo texto en claro con la misma clave, generen cada vez un cifrado distinto y de distinto tamaño.