Eksploit XCM Polkadot mengakibatkan kerugian AS$1.38 juta kepada perbendaharaan
Asset Hub Polkadot telah dieksploitasi dari 24 hingga 26 Oktober melalui kelemahan dalam pelaksana XCM-nya, menyebabkan kerugian nilai DOT yang dianggarkan sebanyak $1.381 juta kepada Perbendaharaan Polkadot. Penyerang mengurangkan bekalan dotUSD yang direkodkan tanpa mengubah baki akaun, lalu memesongkan harga dalam pool DOT/dotUSD dan mewujudkan peluang arbitraj. Perbendaharaan ialah satu-satunya penyedia kecairan pool itu, maka pengguna lain tidak kehilangan dana. Kelemahan itu telah dilaporkan melalui program ganjaran pepijat dan kodnya telah dibaiki pada bulan Jun, tetapi tampalan tersebut tidak digunakan pada runtime mainnet yang terjejas. Catatan forum tentang pembaikan itu pada 20 Oktober mungkin telah memberi amaran kepada penyerang. Polkadot kemudian menangani isu itu dengan Runtime versi 2.5.1 dan 2.5.2, membetulkan bekalan dotUSD dan memulangkan dana yang berjaya diperoleh semula kepada Perbendaharaan.
Neutral
Eksploit ini menimbulkan kebimbangan keselamatan jangka pendek bagi Polkadot dan boleh mendorong sesetengah pedagang mengurangkan pendedahan kepada DOT sementara mereka menilai perlindungan rangkaian dan proses pelaksanaan tampalan. Walau bagaimanapun, kerugian yang dilaporkan ditanggung oleh Treasury, yang merupakan satu-satunya penyedia kecairan bagi kumpulan tersebut; pengguna lain tidak terjejas, dan dana yang berjaya dipulihkan telah dikembalikan. Polkadot juga mengeluarkan Runtime 2.5.1 dan 2.5.2 serta membetulkan bekalan dotUSD. Faktor-faktor ini mengehadkan kesan langsung terhadap permintaan DOT dan kestabilan pasaran. Dalam jangka panjang, keyakinan akan bergantung pada sama ada kemas kini runtime dilaksanakan dengan segera dan sama ada kelemahan lain muncul. Memandangkan tiada kerugian pengguna yang lebih meluas atau gangguan berpanjangan dilaporkan, kesan harga yang dijangka terhadap DOT adalah neutral, walaupun tajuk berita atau kebimbangan keselamatan yang kembali timbul boleh menyebabkan turun naik sementara.