Polkadot verliest $1,38 mln door exploit van eerder verholpen lek
Polkadot verloor $1,38 miljoen nadat een aanvaller een beveiligingslek uitbuitte dat in juni was gepatcht maar niet in productie terechtkwam. De inzet van upgrades herstelde de dotUSD-voorraad zonder saldi te wijzigen.
Wat er gebeurde
Parity Technologies publiceerde op 2 november een incidentrapport over een exploit tussen 24 en 26 oktober. De ontwikkelaar zei dat het lek in juni al in de code was opgelost, maar de fix niet op de getroffen runtimes was doorgevoerd voordat de aanval begon.
De kwetsbaarheid betrof XCM, het cross-chain messaging-systeem van Polkadot Asset Hub, en beïnvloedde dotUSD, de gedecentraliseerde stablecoin governance door DOT-houders via OpenGov. Parity had het probleem aanvankelijk als medium ingeschaald, maar schatte het later als kritiek nadat financieel verlies zichtbaar werd.
Een beveiligingsonderzoeker had op 20 oktober publiek naar de codefix verwezen. Parity zei dat die opmerking werd verwijderd omdat die volgens de bug bounty-regels was verwijderd, en vermoedt dat de publieke verwijzing mogelijk aanvallers hielp. Dit verband is niet bewezen.
De aanvaller liet de geregistreerde voorraad van dotUSD dalen zonder tokens van gebruikersrekeningen te halen. Daardoor raakten prijzen in de DOT/dotUSD-liquidity pool verstoord. De Treasury was de enige liquidity provider en droeg ongeveer $1,38 miljoen verlies door de kunstmatige ruilen.
Snowfork stopte tijdelijk zijn relayers om de aanval te stoppen, maar de aanvaller startte een eigen relayer en zette de exploit voort enkele uren voordat runtime upgrade 2.5.1 de XCM-fout op 26 oktober verholp. Een tweede upgrade op 30 oktober reconcilieerde de dotUSD-voorraad zonder individuele saldi aan te passen. Parity haalde de overgebleven liquiditeit terug en het teruggevonden dotUSD ging terug naar de Treasury. Parity zei dat geen gebruikers geld verloren, maar kon niet vaststellen wie profiteerde van arbitrage.
Waarom dit telt
Het incident laat zien dat fixes in de codebase niet voldoende zijn als ze niet tijdig in productie worden uitgerold. Voor beleggers in DOT en gebruikers van dotUSD benadrukt dit risico rond nieuwe netwerkfunctionaliteit en de behoefte aan strengere deployment- en monitoringsprocedures.
Waar je op kunt letten
- Implementatie en timing van runtime-upgrades voor Polkadot.
- Aankondigingen van Parity over verbeterde vulnerability assessments en deployment checks.
- Verdere informatie over wie er profiteerde van de arbitrage en eventuele aanvullende verliezen.