L’exploitation de XCM sur Polkadot coûte 1,38 million de dollars au Trésor

| panewslab.com
L’Asset Hub de Polkadot a été exploité du 24 au 26 octobre en raison d’une vulnérabilité dans son exécuteur XCM, entraînant pour le Trésor de Polkadot des pertes estimées à 1,381 million de dollars en valeur de DOT. L’attaquant a réduit l’offre de dotUSD enregistrée sans modifier les soldes des comptes, faussant ainsi les prix dans le pool DOT/dotUSD et créant des possibilités d’arbitrage. Le Trésor était le seul fournisseur de liquidités du pool ; les autres utilisateurs n’ont donc perdu aucun fonds. La vulnérabilité avait été signalée dans le cadre d’un programme de bug bounty et corrigée dans le code en juin, mais le correctif n’a pas été déployé sur le runtime du mainnet concerné. Une publication sur un forum, datée du 20 octobre et portant sur le correctif, a peut-être alerté l’attaquant. Polkadot a ensuite résolu le problème avec les versions Runtime 2.5.1 et 2.5.2, corrigé l’offre de dotUSD et rendu au Trésor les fonds récupérés.
Neutral
Cet exploit constitue un risque de sécurité à court terme pour Polkadot et pourrait inciter certains traders à réduire leur exposition au DOT pendant qu’ils évaluent les protections du réseau et le processus de déploiement des correctifs. Toutefois, la perte signalée a été supportée par la Treasury, qui était l’unique fournisseur de liquidités du pool ; les autres utilisateurs n’ont pas été touchés et les fonds récupérés ont été restitués. Polkadot a également publié Runtime 2.5.1 et 2.5.2 et corrigé l’offre de dotUSD. Ces facteurs limitent l’impact direct sur la demande de DOT et la stabilité du marché. À plus long terme, la confiance dépendra de la rapidité de déploiement des mises à jour du runtime et de l’apparition éventuelle d’autres vulnérabilités. En l’absence de pertes plus générales pour les utilisateurs ou de perturbations durables signalées, l’impact attendu sur le cours du DOT est neutre, même si des gros titres ou de nouvelles inquiétudes en matière de sécurité pourraient provoquer une brève volatilité.