Эксплойт XCM в Polkadot обошёлся казне в $1,38 млн
С 24 по 26 октября на Asset Hub сети Polkadot была проведена атака с использованием уязвимости в исполнителе XCM. Ущерб для казначейства Polkadot оценивается в 1,381 млн долларов в DOT. Злоумышленник уменьшил учтённое предложение dotUSD, не изменив балансы аккаунтов, из-за чего исказились цены в пуле DOT/dotUSD и возникли возможности для арбитража. Казначейство было единственным поставщиком ликвидности в этом пуле, поэтому другие пользователи не потеряли средства. Об уязвимости сообщили через программу вознаграждения за обнаружение ошибок, а код исправили ещё в июне, однако патч не был установлен в runtime затронутой основной сети. Возможно, злоумышленника предупредила публикация на форуме от 20 октября с описанием исправления. Позднее Polkadot устранила проблему в версиях runtime 2.5.1 и 2.5.2, скорректировала предложение dotUSD и вернула казначейству recovered funds.
Neutral
Эксплойт создает краткосрочную угрозу безопасности Polkadot и может побудить некоторых трейдеров сократить свою долю в DOT, пока они оценивают меры защиты сети и процесс развертывания патчей. Однако о понесенных убытках сообщалось со стороны Казначейства, которое было единственным поставщиком ликвидности пула; другие пользователи не пострадали, а возвращенные средства были переданы обратно. Polkadot также выпустила Runtime 2.5.1 и 2.5.2 и скорректировала предложение dotUSD. Эти факторы ограничивают прямое влияние на спрос на DOT и стабильность рынка. В долгосрочной перспективе доверие будет зависеть от своевременного развертывания обновлений runtime и от того, не появятся ли новые уязвимости. Поскольку о более масштабных потерях пользователей или длительных сбоях не сообщалось, ожидаемое влияние на цену DOT нейтральное, хотя публикации в СМИ или новые опасения по поводу безопасности могут вызвать кратковременную волатильность.