XCM-exploit i Polkadot kostar statskassan 1,38 miljoner dollar
Polkadots Asset Hub utnyttjades mellan den 24 och 26 oktober genom en sårbarhet i dess XCM-exekverare, vilket orsakade uppskattade förluster på 1,381 miljoner dollar i DOT-värde för Polkadots statskassa. Angriparen minskade den registrerade mängden dotUSD utan att ändra kontosaldona, vilket förvrängde priserna i DOT/dotUSD-poolen och skapade arbitragemöjligheter. Statskassan var poolens enda likviditetsleverantör, så andra användare förlorade inga medel. Sårbarheten hade rapporterats genom ett buggbelöningsprogram och åtgärdats i koden i juni, men korrigeringen hade inte distribuerats till den berörda mainnet-runtime-miljön. Ett foruminlägg om korrigeringen den 20 oktober kan ha uppmärksammat angriparen på den. Polkadot åtgärdade senare problemet med Runtime-versionerna 2.5.1 och 2.5.2, korrigerade dotUSD:s utbud och återförde återvunna medel till statskassan.
Neutral
Utnyttjandet av sårbarheten skapar en kortsiktig säkerhetsrisk för Polkadot och kan få vissa handlare att minska sin exponering mot DOT medan de utvärderar nätverkets skyddsåtgärder och process för att distribuera korrigeringar. Den rapporterade förlusten drabbade dock Treasury, som var poolens enda likviditetsleverantör; andra användare påverkades inte, och de återvunna medlen återfördes. Polkadot gav också ut Runtime 2.5.1 och 2.5.2 och korrigerade dotUSD:s utbud. Dessa faktorer begränsar den direkta påverkan på efterfrågan på DOT och marknadsstabiliteten. På längre sikt kommer förtroendet att bero på om runtime-uppdateringar distribueras snabbt och om fler sårbarheter upptäcks. Eftersom inga bredare användarförluster eller bestående störningar har rapporterats är den förväntade priseffekten på DOT neutral, även om rubriker eller förnyad oro kring säkerheten kan orsaka kortvarig volatilitet.