Polkadotin XCM-haavoittuvuuden hyväksikäyttö maksoi kassalle 1,38 miljoonaa dollaria
Polkadotin Asset Hubia hyödynnettiin 24.–26. lokakuuta sen XCM-suorittimessa olleen haavoittuvuuden avulla. Hyökkäys aiheutti Polkadotin valtiovarainministeriölle arviolta 1,381 miljoonan dollarin DOT-arvoiset tappiot. Hyökkääjä pienensi dotUSD:n kirjattua tarjontaa muuttamatta tilien saldoja, mikä vääristi DOT/dotUSD-poolin hintoja ja loi arbitraasimahdollisuuksia. Valtiovarainministeriö oli poolin ainoa likviditeetin tarjoaja, joten muut käyttäjät eivät menettäneet varoja. Haavoittuvuudesta oli ilmoitettu bug bounty -ohjelman kautta, ja koodi oli korjattu kesäkuussa, mutta korjausta ei ollut otettu käyttöön haavoittuneen mainnetin runtimessa. Hyökkääjä saattoi saada vihiä asiasta 20. lokakuuta julkaistusta korjausta käsitelleestä foorumiviestistä. Polkadot korjasi ongelman myöhemmin runtime-versioissa 2.5.1 ja 2.5.2, oikaisi dotUSD:n tarjonnan ja palautti takaisin saadut varat valtiovarainministeriölle.
Neutral
Hyödynnetty haavoittuvuus aiheuttaa Polkadotille lyhyen aikavälin tietoturvahuolen ja voi saada jotkut treidaajat vähentämään DOT-altistustaan, kun he arvioivat verkon suojatoimia ja korjauspäivitysten käyttöönottoa. Ilmoitetun tappion kantoi kuitenkin Treasury, joka oli poolin ainoa likviditeetin tarjoaja; muut käyttäjät eivät kärsineet vahinkoa, ja takaisin saadut varat palautettiin. Polkadot julkaisi myös Runtime-versiot 2.5.1 ja 2.5.2 sekä korjasi dotUSD:n tarjonnan. Nämä tekijät rajoittavat suoraa vaikutusta DOT:n kysyntään ja markkinoiden vakauteen. Pitkällä aikavälillä luottamus riippuu siitä, otetaanko runtime-päivitykset käyttöön nopeasti ja ilmeneekö uusia haavoittuvuuksia. Koska laajemmista käyttäjätappioista tai pitkäkestoisista häiriöistä ei ole raportoitu, vaikutuksen DOT:n hintaan odotetaan olevan neutraali, vaikka uutisotsikot tai uudelleen esiin nousevat tietoturvahuolet voivat aiheuttaa lyhytaikaista volatiliteettia.