Vụ khai thác lỗ hổng XCM của Polkadot khiến ngân khố thiệt hại 1,38 triệu USD
Asset Hub của Polkadot đã bị khai thác từ ngày 24 đến 26 tháng 10 thông qua một lỗ hổng trong bộ thực thi XCM, gây thiệt hại ước tính 1,381 triệu USD tính theo DOT cho Kho bạc Polkadot. Kẻ tấn công làm giảm nguồn cung dotUSD được ghi nhận mà không thay đổi số dư tài khoản, khiến giá trong pool DOT/dotUSD bị bóp méo và tạo ra cơ hội kinh doanh chênh lệch giá. Kho bạc là nhà cung cấp thanh khoản duy nhất của pool, vì vậy những người dùng khác không mất tiền. Lỗ hổng đã được báo cáo thông qua chương trình thưởng tìm lỗi và mã nguồn đã được sửa vào tháng 6, nhưng bản vá chưa được triển khai lên runtime mainnet bị ảnh hưởng. Một bài đăng trên diễn đàn về bản sửa lỗi vào ngày 20 tháng 10 có thể đã khiến kẻ tấn công chú ý. Sau đó, Polkadot xử lý vấn đề bằng các phiên bản runtime 2.5.1 và 2.5.2, điều chỉnh lại nguồn cung dotUSD và hoàn trả cho Kho bạc số tiền đã thu hồi.
Neutral
Lỗ hổng khai thác này tạo ra mối lo ngại an ninh trong ngắn hạn đối với Polkadot và có thể khiến một số nhà giao dịch giảm mức độ nắm giữ DOT trong khi đánh giá các biện pháp bảo vệ mạng lưới và quy trình triển khai bản vá. Tuy nhiên, khoản thiệt hại được báo cáo do Kho bạc gánh chịu, vì đây là nhà cung cấp thanh khoản duy nhất của pool; những người dùng khác không bị ảnh hưởng, và số tiền thu hồi được đã được hoàn trả. Polkadot cũng đã phát hành Runtime 2.5.1 và 2.5.2, đồng thời điều chỉnh nguồn cung dotUSD. Những yếu tố này hạn chế tác động trực tiếp đến nhu cầu DOT và sự ổn định của thị trường. Về dài hạn, niềm tin sẽ phụ thuộc vào việc các bản cập nhật runtime có được triển khai kịp thời hay không và liệu có xuất hiện thêm lỗ hổng nào khác hay không. Do chưa có báo cáo về thiệt hại rộng hơn đối với người dùng hoặc gián đoạn kéo dài, tác động dự kiến lên giá DOT là trung tính, dù các tin tức hoặc những lo ngại an ninh tái xuất hiện có thể gây biến động trong thời gian ngắn.