استغلال ثغرة XCM في Polkadot يكلّف الخزينة 1.38 مليون دولار

تعرّض Asset Hub التابع لـPolkadot للاستغلال بين 24 و26 أكتوبر بسبب ثغرة في مُنفّذ XCM، ما تسبب في خسائر تُقدّر بنحو 1.381 مليون دولار من قيمة DOT لخزانة Polkadot. خفّض المهاجم المعروض المسجّل من dotUSD من دون تغيير أرصدة الحسابات، الأمر الذي شوّه الأسعار في مجمّع DOT/dotUSD وأوجد فرصاً للمراجحة. وكانت الخزانة مزوّد السيولة الوحيد للمجمّع، لذا لم يخسر المستخدمون الآخرون أموالاً. سبق الإبلاغ عن الثغرة عبر برنامج مكافآت اكتشاف الأخطاء، وأُصلح الكود في يونيو، لكن التصحيح لم يُنشر على بيئة التشغيل للشبكة الرئيسية المتأثرة. وربما لفت منشور في المنتدى عن الإصلاح، بتاريخ 20 أكتوبر، انتباه المهاجم. وعالجت Polkadot المشكلة لاحقاً بإصداري بيئة التشغيل 2.5.1 و2.5.2، وصححت معروض dotUSD، وأعادت الأموال المستردة إلى الخزانة.
Neutral
يشكّل هذا الاستغلال مصدر قلق أمني قصير الأمد بالنسبة إلى Polkadot، وقد يدفع بعض المتداولين إلى تقليص انكشافهم على DOT إلى حين تقييم إجراءات حماية الشبكة وعملية نشر التصحيحات. غير أن الخسارة المُبلّغ عنها تكبّدتها الخزينة، التي كانت مزوّد السيولة الوحيد للمجمّع؛ ولم يتأثر المستخدمون الآخرون، كما أُعيدت الأموال المستردّة. وأصدرت Polkadot أيضًا نسختَي Runtime 2.5.1 و2.5.2 وصحّحت معروض dotUSD. وتحدّ هذه العوامل من الأثر المباشر على الطلب على DOT واستقرار السوق. وعلى المدى الطويل، ستعتمد الثقة على مدى سرعة نشر تحديثات الـRuntime وعلى عدم ظهور ثغرات إضافية. وبما أنه لم يُبلّغ عن خسائر أوسع للمستخدمين أو تعطّل مستمر، فمن المتوقع أن يكون أثر ذلك على سعر DOT محايدًا، رغم أن العناوين الإخبارية أو تجدد المخاوف الأمنية قد يتسببان في تقلبات وجيزة.