Umabot sa $1.38 milyon ang pinsala sa treasury dahil sa XCM exploit ng Polkadot
Na-exploit ang Asset Hub ng Polkadot mula Oktubre 24 hanggang 26 dahil sa isang kahinaan sa XCM executor nito, na nagdulot ng tinatayang $1.381 milyon na pagkalugi sa halaga ng DOT para sa Polkadot Treasury. Binawasan ng attacker ang nakatalang supply ng dotUSD nang hindi binabago ang mga balanse ng account, kaya nabaluktot ang mga presyo sa DOT/dotUSD pool at nagkaroon ng mga pagkakataon para sa arbitrage. Ang Treasury lamang ang liquidity provider ng pool, kaya walang naluging pondo ang ibang user. Naiulat na ang kahinaan sa pamamagitan ng bug bounty programme at naayos na sa code noong Hunyo, pero hindi na-deploy ang patch sa apektadong mainnet runtime. Maaaring nagbigay ng babala sa attacker ang isang forum post tungkol sa pag-aayos noong Oktubre 20. Kalaunan, inayos ng Polkadot ang isyu gamit ang Runtime versions 2.5.1 at 2.5.2, itinama ang supply ng dotUSD, at ibinalik sa Treasury ang mga pondong nabawi.
Neutral
Nagiging panandaliang usaping pangseguridad para sa Polkadot ang exploit na ito, at maaari nitong hikayatin ang ilang trader na bawasan ang exposure nila sa DOT habang sinusuri nila ang mga pananggalang ng network at proseso ng pag-deploy ng mga patch. Gayunman, ang iniulat na pagkalugi ay sagot ng Treasury, na nag-iisang liquidity provider ng pool; hindi naapektuhan ang ibang user, at naibalik ang mga nakuhang pondo. Naglabas din ang Polkadot ng Runtime 2.5.1 at 2.5.2 at itinama ang supply ng dotUSD. Nililimitahan ng mga salik na ito ang direktang epekto sa demand para sa DOT at sa katatagan ng merkado. Sa mas mahabang panahon, nakasalalay ang tiwala sa maagap na pag-deploy ng mga runtime update at kung may lilitaw pang mga kahinaan. Dahil walang naiulat na mas malawak na pagkalugi ng mga user o pangmatagalang pagkaantala, neutral ang inaasahang epekto nito sa presyo ng DOT, bagama't maaaring magdulot ng panandaliang volatility ang mga balita o panibagong pangamba sa seguridad.