XCM-exploit bij Polkadot kost de schatkist 1,38 miljoen dollar
Polkadots Asset Hub werd van 24 tot en met 26 oktober misbruikt via een kwetsbaarheid in de XCM-uitvoerder. Dit veroorzaakte naar schatting 1,381 miljoen dollar aan verliezen in DOT-waarde voor de Polkadot-schatkist. De aanvaller verlaagde de geregistreerde voorraad dotUSD zonder de accountsaldi te wijzigen, waardoor de prijzen in de DOT/dotUSD-pool werden verstoord en arbitragemogelijkheden ontstonden. De schatkist was de enige liquiditeitsverschaffer van de pool, waardoor andere gebruikers geen geld verloren. De kwetsbaarheid was gemeld via een bug bounty-programma en de code was in juni aangepast, maar de patch was niet uitgerold naar de runtime van het getroffen mainnet. Een forumbericht over de oplossing op 20 oktober kan de aanvaller hebben geattendeerd. Polkadot heeft het probleem later aangepakt met runtimeversies 2.5.1 en 2.5.2, de voorraad dotUSD gecorrigeerd en teruggehaalde middelen aan de schatkist teruggegeven.
Neutral
De exploit vormt op korte termijn een veiligheidsrisico voor Polkadot en kan sommige handelaren ertoe aanzetten hun blootstelling aan DOT te verkleinen terwijl ze de beveiligingsmaatregelen van het netwerk en het proces voor het uitrollen van patches beoordelen. Het gemelde verlies kwam echter voor rekening van de Treasury, de enige liquiditeitsverschaffer van de pool; andere gebruikers werden niet getroffen en de teruggevonden middelen zijn teruggestort. Polkadot heeft ook Runtime 2.5.1 en 2.5.2 uitgebracht en het aanbod van dotUSD gecorrigeerd. Deze factoren beperken de directe impact op de vraag naar DOT en de marktstabiliteit. Op langere termijn zal het vertrouwen afhangen van de vraag of runtime-updates snel worden uitgerold en of er nieuwe kwetsbaarheden aan het licht komen. Omdat er geen bredere verliezen voor gebruikers of langdurige verstoringen zijn gemeld, is de verwachte impact op de DOT-prijs neutraal, al kunnen nieuwsberichten of hernieuwde zorgen over de beveiliging kortstondige volatiliteit veroorzaken.