La Tesorería de Polkadot pierde 1,38 millones de dólares por un fallo de XCM corregido meses antes del ataque
La Tesorería de Polkadot perdió aproximadamente 1,38 millones de dólares después de que un atacante explotara un fallo en la mensajería XCM que los desarrolladores habían corregido en junio, pero que nunca se desplegó en producción. Según Parity Technologies, no se perdieron fondos de usuarios, aunque la compañía afirmó que no puede determinar si el atacante obtuvo beneficios con el arbitraje posterior.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
Qué ocurrió
La Tesorería de Polkadot perdió unos 1,381 millones de dólares en un exploit ejecutado entre el 24 y el 26 de octubre, según un informe de incidentes de Parity Technologies publicado el 2 de noviembre. La cifra es una estimación de Parity, y la Tesorería era el único proveedor de liquidez del par DOT/dotUSD que el atacante vació mediante una fijación artificial de precios.
La vulnerabilidad estaba en la capa de mensajería entre cadenas, XCM, de Polkadot Asset Hub. El atacante manipuló ese sistema para reducir el suministro registrado de dotUSD sin retirar tokens de las cuentas de los titulares, lo que distorsionó los precios en el pool de liquidez y permitió a los traders intercambiar dotUSD por DOT a tipos que no reflejaban el activo subyacente. Parity afirmó que dotUSD permaneció totalmente respaldado por USDT en todo momento.
Por qué el parche no protegió producción
Parity fusionó una corrección del fallo de XCM en junio, pero el cambio no llegó a los runtimes afectados antes del exploit de octubre. La propia evaluación de la compañía inicialmente calificó el fallo como de gravedad media, porque no tuvo en cuenta cómo podía interactuar el error con dotUSD, que aún no se había lanzado. Posteriormente, Parity elevó la calificación a crítica tras el ataque, cuando quedaron expuestas las consecuencias financieras.
La brecha entre la corrección del código y su despliegue es central en este incidente. Parity lo ha planteado como un fallo de su respuesta de seguridad, y la secuencia demuestra que un parche fusionado en una base de código no ofrece protección hasta que se despliega en sistemas en producción.
Divulgación y contención
Un comentario publicado en un foro público el 20 de octubre hacía referencia a la corrección del código. Parity afirmó que el investigador de seguridad original eliminó el comentario tras ser informado de que incumplía las normas de su programa de recompensas por errores. Parity cree que el comentario pudo proporcionar a los atacantes información suficiente para encontrar y explotar el fallo, pero la compañía no ha demostrado esa relación, y el informe no la establece como un hecho.
Snowfork, que opera el puente Snowbridge, detuvo sus relayers de consenso tras detectar actividad sospechosa el 24 de octubre. La medida de contención fue incompleta. Las fuentes difieren en la mecánica: el relato de Parity describe que el atacante ejecutó su propio relayer de consenso y que reanudó su actividad unas seis horas antes de que la corrección de XCM entrara en vigor. La cobertura de The Defiant sobre el mismo episodio, así como la documentación de Snowbridge sobre el relevo sin permisos, indican que cualquier operador podía ejecutar un relayer, por lo que detener los relayers de Snowfork no impidió que el fallo fuera accesible. Ambos relatos coinciden en el resultado, en que la contención fue eludida, pero describen el modo de elusión de forma distinta y las fuentes no concilian del todo la cronología.
Correcciones y preguntas abiertas
El runtime 2.5.1 corrigió el fallo de XCM el 26 de octubre. El runtime 2.5.2 llegó después, el 30 de octubre, y reconcilió la contabilidad del suministro de dotUSD. The Defiant informó de que la actualización posterior corrigió los registros de suministro de la stablecoin sin modificar el saldo de ningún titular, lo que es coherente con la afirmación de Parity de que ningún usuario perdió fondos.
Parity no pudo establecer si la persona que explotó la vulnerabilidad también obtuvo beneficios con las operaciones de arbitraje que siguieron. La identidad de ese beneficiario sigue sin resolverse.
Por qué importa
Para los traders
La profundidad del pool de DOT y dotUSD podría seguir siendo reducida mientras se reconcilia la contabilidad del suministro, por lo que conviene vigilar las condiciones de liquidez antes de dimensionar cualquier posición en el par.
Para los inversores
El incidente plantea interrogantes de gobernanza y de procesos de seguridad sobre una stablecoin gestionada por una DAO, y la brecha entre la fusión del parche y su despliegue será relevante a la hora de evaluar el riesgo de la red.
Para los desarrolladores
Todo protocolo que dependa de XCM o de relayers entre cadenas debería auditar si las correcciones críticas llegan a los runtimes en producción y si los relayers sin permisos pueden eludir las paradas de emergencia.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
