XCM-Exploit bei Polkadot kostet die Treasury 1,38 Millionen Dollar
Der Asset Hub von Polkadot wurde vom 24. bis 26. Oktober über eine Schwachstelle in seinem XCM-Executor angegriffen. Dadurch entstand der Polkadot-Treasury ein geschätzter Verlust von 1,381 Millionen US-Dollar in DOT. Der Angreifer verringerte die erfasste dotUSD-Menge, ohne die Kontostände zu verändern, verzerrte dadurch die Preise im DOT/dotUSD-Pool und schuf Arbitragemöglichkeiten. Der Treasury war der einzige Liquiditätsanbieter des Pools, sodass andere Nutzer keine Mittel verloren. Die Schwachstelle war über ein Bug-Bounty-Programm gemeldet und im Juni im Code behoben worden; der Patch wurde jedoch nicht auf der betroffenen Mainnet-Runtime bereitgestellt. Ein Forenbeitrag über die Behebung vom 20. Oktober könnte den Angreifer darauf aufmerksam gemacht haben. Polkadot behob das Problem später mit den Runtime-Versionen 2.5.1 und 2.5.2, korrigierte die dotUSD-Menge und erstattete dem Treasury die wiedererlangten Mittel.
Neutral
Der Exploit stellt für Polkadot ein kurzfristiges Sicherheitsrisiko dar und könnte einige Händler dazu veranlassen, ihr DOT-Engagement zu verringern, während sie die Schutzmaßnahmen des Netzwerks und den Prozess zur Bereitstellung von Patches prüfen. Der gemeldete Verlust wurde jedoch von der Treasury getragen, die der einzige Liquiditätsanbieter des Pools war; andere Nutzer waren nicht betroffen, und die wiedererlangten Mittel wurden zurückgegeben. Polkadot veröffentlichte außerdem Runtime 2.5.1 und 2.5.2 und korrigierte den dotUSD-Bestand. Diese Faktoren begrenzen die direkten Auswirkungen auf die DOT-Nachfrage und die Marktstabilität. Langfristig wird das Vertrauen davon abhängen, ob Runtime-Updates zügig bereitgestellt werden und ob weitere Schwachstellen auftreten. Da weder umfassendere Nutzerverluste noch anhaltende Störungen gemeldet wurden, ist die erwartete Auswirkung auf den DOT-Preis neutral, auch wenn Schlagzeilen oder erneute Sicherheitsbedenken kurzfristige Volatilität verursachen könnten.