Polkadot-Treasury verliert 1,38 Mio. US-Dollar durch XCM-Schwachstelle, die Monate zuvor behoben worden war
Die Treasury von Polkadot hat rund 1,38 Mio. US-Dollar verloren, nachdem ein Angreifer eine XCM-Schwachstelle im Nachrichtenprotokoll ausgenutzt hatte, die Entwickler im Juni gepatcht, aber nie in den Produktivbetrieb überführt hatten. Laut Parity Technologies sind keine Nutzergelder verloren gegangen, das Unternehmen konnte jedoch nicht feststellen, ob der Angreifer durch nachfolgende Arbitrage Gewinne erzielt hat.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Was passiert ist
Die Treasury von Polkadot hat laut einem Vorfallbericht von Parity Technologies vom 2. November bei einem Exploit zwischen dem 24. und 26. Oktober rund 1,381 Mio. US-Dollar verloren. Die Summe ist eine Schätzung von Parity. Die Treasury war der alleinige Liquiditätsgeber für den DOT/dotUSD-Pool, den der Angreifer durch künstliche Preisgestaltung leerte.
Die Schwachstelle lag in der Cross-Chain-Messaging-Schicht XCM auf Polkadot Asset Hub. Der Angreifer manipulierte dieses System, um den verzeichneten Bestand von dotUSD zu reduzieren, ohne Token von den Konten der Inhaber zu entfernen. Dadurch wurden die Preise im Liquiditätspool verzerrt, und Händler konnten dotUSD gegen DOT zu Kursen tauschen, die den zugrunde liegenden Vermögenswert nicht widerspiegelten. Parity erklärte, dotUSD sei während des gesamten Zeitraums vollständig durch USDT gedeckt gewesen.
Warum der Patch die Produktivsysteme nicht schützte
Parity hatte im Juni einen Fix für den XCM-Fehler zusammengeführt, die Änderung erreichte die betroffenen Runtimes jedoch nicht mehr vor dem Exploit im Oktober. Die eigene Bewertung des Unternehmens stufte die Schwachstelle zunächst als mittlere Schwere ein, weil nicht berücksichtigt wurde, wie sich der Fehler mit dotUSD auswirken könnte, das noch nicht gestartet war. Parity stufte sie später als kritisch ein, nachdem der Angriff die finanziellen Folgen offengelegt hatte.
Die Lücke zwischen Code-Fix und Bereitstellung ist zentral für den Vorfall. Parity sieht darin ein Versagen der eigenen Sicherheitsreaktion. Der Ablauf zeigt, dass ein in eine Codebasis zusammengeführter Patch keinen Schutz bietet, solange er nicht in den Live-Betrieb ausgeliefert wird.
Offenlegung und Eindämmung
Ein öffentlicher Forenkommentar vom 20. Oktober verwies auf den Code-Fix. Parity erklärte, der ursprüngliche Sicherheitsforscher habe den Kommentar entfernt, nachdem ihm mitgeteilt worden war, dass er gegen die Regeln des Bug-Bounty-Programms des Unternehmens verstoße. Parity hält es für möglich, dass der Kommentar Angreifern genügend Informationen geliefert hat, um die Schwachstelle zu finden und auszunutzen. Das Unternehmen hat diesen Zusammenhang jedoch nicht belegt, und der Bericht stellt ihn nicht als Tatsache fest.
Snowfork, das die Snowbridge-Brücke betreibt, stoppte seine Konsens-Relayer, nachdem am 24. Oktober verdächtige Aktivitäten festgestellt worden waren. Die Eindämmungsmaßnahme blieb unvollständig. Die Quellen unterscheiden sich in den Abläufen: Parity beschreibt, dass der Angreifer einen eigenen Konsens-Relayer betrieb und etwa sechs Stunden vor Wirksamwerden des XCM-Fixes wieder aufnahm. The Defiant berichtet über dieselbe Episode, und die eigene Dokumentation von Snowbridge zum erlaubnisfreien Relaying deutet darauf hin, dass jeder Betreiber einen Relayer laufen lassen konnte. Das Anhalten der Relayer von Snowfork hat die Schwachstelle daher nicht unerreichbar gemacht. Beide Darstellungen stimmen im Ergebnis überein, dass die Eindämmung umgangen wurde, beschreiben die Umgehung aber unterschiedlich, und die Zeitangaben der Quellen lassen sich nicht vollständig in Einklang bringen.
Fixes und offene Fragen
Runtime 2.5.1 hat die XCM-Schwachstelle am 26. Oktober geschlossen. Runtime 2.5.2 folgte am 30. Oktober und bereinigte die Bestandsbuchführung von dotUSD. The Defiant berichtete, das spätere Upgrade habe die Bestandsdaten des Stablecoins korrigiert, ohne den Kontostand eines Inhabers zu verändern. Das passt zu Paritys Aussage, dass keine Nutzer Geld verloren haben.
Parity konnte nicht feststellen, ob die Person, die die Schwachstelle ausgenutzt hat, auch von den anschließenden Arbitragegeschäften profitiert hat. Die Identität dieser Begünstigten bleibt ungeklärt.
Warum das wichtig ist
Für Trader
Die Tiefe der Pools für DOT und dotUSD könnte gering bleiben, solange die Bestandsbuchführung bereinigt wird. Beobachten Sie daher die Liquiditätslage, bevor Sie eine Position in diesem Paar eingehen.
Für Investoren
Der Vorfall wirft Fragen zu Governance und Sicherheitsprozessen bei einem von einer DAO betriebenen Stablecoin auf. Die Lücke zwischen Patch-Zusammenführung und Bereitstellung wird eine Rolle dabei spielen, wie das Risiko des Netzwerks eingeschätzt wird.
Für Entwickler
Jedes Protokoll, das sich auf XCM oder Cross-Chain-Relayer stützt, sollte prüfen, ob kritische Fixes die Produktiv-Runtimes erreichen und ob erlaubnisfreie Relayer Notfall-Stopps umgehen können.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
