Polkadot-Treasury verliest 1,38 miljoen dollar door XCM-fout die maanden eerder was verholpen
De Treasury van Polkadot verloor ongeveer 1,38 miljoen dollar nadat een aanvaller een fout in het XCM-berichtenprotocol had misbruikt, die ontwikkelaars in juni hadden gepatcht maar nooit naar productie hadden uitgerold. Volgens Parity Technologies zijn er geen gebruikersfondsen verloren gegaan, al kon het bedrijf niet vaststellen of de aanvaller later met arbitrage winst heeft gemaakt.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
Wat er gebeurde
De Treasury van Polkadot verloor naar schatting ongeveer 1,381 miljoen dollar bij een exploit die tussen 24 en 26 oktober plaatsvond, volgens een incidentrapport van Parity Technologies van 2 november. Het bedrag is een schatting van Parity. De Treasury was de enige liquiditeitsverschaffer van de DOT/dotUSD-pool, die de aanvaller leegtrok via kunstmatige prijsvorming.
De kwetsbaarheid zat in de cross-chain-berichtenlaag, XCM, op Polkadot Asset Hub. De aanvaller manipuleerde dat systeem om de geregistreerde voorraad van dotUSD te verlagen zonder tokens van de rekeningen van houders te verwijderen. Daardoor werden de prijzen in de liquiditeitspool verstoord, waardoor handelaars dotUSD konden ruilen voor DOT tegen koersen die de onderliggende waarde niet weerspiegelden. Parity meldde dat dotUSD gedurende de hele periode volledig door USDT gedekt bleef.
Waarom de patch de productie niet beschermde
Parity voegde in juni een oplossing voor de XCM-bug samen, maar de wijziging bereikte de getroffen runtimes niet vóór de exploit in oktober. De eigen beoordeling van het bedrijf classificeerde de fout aanvankelijk als gemiddelde ernst, omdat er geen rekening was gehouden met hoe de bug kon interacteren met dotUSD, dat nog niet was gelanceerd. Parity verhoogde de classificatie later naar kritiek nadat de aanval de financiële gevolgen had blootgelegd.
De kloof tussen de codefix en de uitrol staat centraal in het incident. Parity beschouwt dit als een tekortkoming in de beveiligingsrespons, en de volgorde van gebeurtenissen laat zien dat een patch die in een codebase is samengevoegd geen bescherming biedt zolang hij niet op live systemen is uitgerold.
Melding en beperking
Een publieke reactie op een forum, geplaatst op 20 oktober, verwees naar de codefix. Parity zegt dat de oorspronkelijke beveiligingsonderzoeker de reactie verwijderde nadat hem was medegedeeld dat die in strijd was met de bugbountyregels van het bedrijf. Parity denkt dat de reactie aanvallers mogelijk genoeg informatie heeft gegeven om de fout te vinden en te misbruiken, maar het bedrijf heeft dat verband niet bewezen, en het rapport stelt het niet als feit vast.
Snowfork, dat de Snowbridge-brug beheert, stopte zijn consensusrelayers nadat op 24 oktober verdachte activiteit was gedetecteerd. De beperkende maatregel was onvolledig. De bronnen verschillen over de werking: het verslag van Parity beschrijft dat de aanvaller een eigen consensusrelayer draaide en ongeveer zes uur voordat de XCM-fix van kracht werd weer aan de slag ging. De berichtgeving van The Defiant over dezelfde gebeurtenis, en de eigen documentatie van Snowbridge over permissionless relaying, wijzen erop dat elke operator een relayer kon draaien, zodat het stoppen van de relayers van Snowfork de fout niet onbereikbaar maakte. De twee verslagen zijn het eens over het resultaat, namelijk dat de beperking werd omzeild, maar ze beschrijven de omzeiling verschillend en de bronnen rijmen de timing niet volledig.
Oplossingen en openstaande vragen
Runtime 2.5.1 verhielp de XCM-fout op 26 oktober. Runtime 2.5.2 volgde op 30 oktober en bracht de voorraadadministratie van dotUSD in overeenstemming. The Defiant meldde dat de latere upgrade de voorraadgegevens van de stablecoin herstelde zonder het saldo van een houder te wijzigen, wat consistent is met de verklaring van Parity dat geen gebruikers geld zijn kwijtgeraakt.
Parity kon niet vaststellen of de persoon die de kwetsbaarheid misbruikte ook profiteerde van de arbitragetransacties die daarna volgden. De identiteit van die begunstigde blijft onopgehelderd.
Waarom het ertoe doet
Voor handelaars
De diepte van de DOT- en dotUSD-pool kan dun blijven zolang de voorraadadministratie wordt rechtgezet. Let daarom op de liquiditeitsomstandigheden voordat u een positie in dit paar bepaalt.
Voor beleggers
Het incident roept vragen op over governance en beveiligingsprocessen bij een door een DAO beheerde stablecoin. Het verschil tussen het samenvoegen van een patch en de uitrol ervan zal meewegen in de beoordeling van het risico van het netwerk.
Voor bouwers
Elk protocol dat op XCM of cross-chain-relayers vertrouwt, moet controleren of kritieke fixes productieruntimes bereiken en of permissionless relayers noodstops kunnen omzeilen.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
