Wykorzystanie luki w XCM Polkadot kosztuje skarbiec 1,38 mln dolarów
Od 24 do 26 października Asset Hub sieci Polkadot padł ofiarą ataku wykorzystującego lukę w wykonawcy XCM. Spowodowało to szacowane straty w wysokości 1,381 mln dolarów w DOT dla Skarbca Polkadot. Atakujący zmniejszył zarejestrowaną podaż dotUSD bez zmiany sald kont, zniekształcając ceny w puli DOT/dotUSD i tworząc możliwości arbitrażu. Skarbiec był jedynym dostawcą płynności w tej puli, więc pozostali użytkownicy nie stracili środków. Luka została zgłoszona w ramach programu bug bounty, a kod poprawiono w czerwcu, jednak poprawki nie wdrożono do runtime’u podatnej sieci głównej. Wpis na forum z 20 października, opisujący poprawkę, mógł zaalarmować atakującego. Polkadot rozwiązał później problem w wersjach runtime’u 2.5.1 i 2.5.2, skorygował podaż dotUSD i zwrócił Skarbcowi odzyskane środki.
Neutral
Wykorzystanie luki stanowi krótkoterminowe zagrożenie dla bezpieczeństwa Polkadot i może skłonić niektórych traderów do zmniejszenia ekspozycji na DOT na czas oceny zabezpieczeń sieci i procesu wdrażania poprawek. Zgłoszoną stratę poniósł jednak Skarbiec, który był jedynym dostawcą płynności w puli; inni użytkownicy nie ucierpieli, a odzyskane środki zostały zwrócone. Polkadot wydał również wersje Runtime 2.5.1 i 2.5.2 oraz skorygował podaż dotUSD. Czynniki te ograniczają bezpośredni wpływ na popyt na DOT i stabilność rynku. W dłuższej perspektywie zaufanie będzie zależeć od terminowego wdrażania aktualizacji runtime oraz od tego, czy pojawią się kolejne luki w zabezpieczeniach. Ponieważ nie zgłoszono szerszych strat użytkowników ani długotrwałych zakłóceń, oczekiwany wpływ na cenę DOT jest neutralny, choć nagłówki medialne lub ponowne obawy dotyczące bezpieczeństwa mogą wywołać krótkotrwałą zmienność.