Eksploit XCM Polkadot merugikan kas negara sebesar US$1,38 juta
Asset Hub Polkadot dieksploitasi pada 24–26 Oktober melalui kerentanan pada eksekutor XCM-nya, menyebabkan kerugian nilai DOT yang diperkirakan mencapai $1,381 juta bagi Treasury Polkadot. Penyerang mengurangi jumlah dotUSD yang tercatat tanpa mengubah saldo akun, sehingga mendistorsi harga di pool DOT/dotUSD dan menciptakan peluang arbitrase. Treasury merupakan satu-satunya penyedia likuiditas pool tersebut, sehingga pengguna lain tidak kehilangan dana. Kerentanan itu telah dilaporkan melalui program bug bounty dan diperbaiki dalam kode pada bulan Juni, tetapi patch-nya tidak diterapkan pada runtime mainnet yang terdampak. Sebuah unggahan forum tentang perbaikan tersebut pada 20 Oktober mungkin telah memberi tahu penyerang. Polkadot kemudian mengatasi masalah ini dengan Runtime versi 2.5.1 dan 2.5.2, mengoreksi jumlah dotUSD, serta mengembalikan dana yang berhasil dipulihkan kepada Treasury.
Neutral
Eksploit ini menimbulkan risiko keamanan jangka pendek bagi Polkadot dan dapat mendorong sebagian trader mengurangi eksposur terhadap DOT saat mereka menilai langkah perlindungan jaringan dan proses penerapan patch. Namun, kerugian yang dilaporkan ditanggung oleh Treasury, yang merupakan satu-satunya penyedia likuiditas pool tersebut; pengguna lain tidak terdampak, dan dana yang berhasil dipulihkan telah dikembalikan. Polkadot juga merilis Runtime 2.5.1 dan 2.5.2 serta mengoreksi suplai dotUSD. Faktor-faktor ini membatasi dampak langsung terhadap permintaan DOT dan stabilitas pasar. Dalam jangka panjang, kepercayaan akan bergantung pada seberapa cepat pembaruan runtime diterapkan dan apakah kerentanan lain muncul. Karena tidak ada laporan kerugian yang lebih luas terhadap pengguna ataupun gangguan berkepanjangan, dampak harga yang diperkirakan terhadap DOT bersifat netral, meskipun pemberitaan atau kekhawatiran keamanan yang kembali mencuat dapat memicu volatilitas singkat.