Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
Polkadot perdeu US$ 1,38 milhão depois que um hacker explorou uma falha de segurança corrigida quatro meses antes
Polkadot’s O Tesouro perdeu US$ 1,38 milhão depois que um invasor explorou uma vulnerabilidade que os desenvolvedores corrigiram meses antes do lançamento de sua nova moeda estável.
Em um Relatório de incidente de 2 de novembro, Tecnologias de Paridadeuma empresa de infraestrutura blockchain focada nos ecossistemas Polkadot e Kusama, revelou que a falha de segurança foi identificada e corrigida em sua base de código em junho, mas nunca atingiu os sistemas de produção afetados antes do ataque de 24 a 26 de outubro.
A divulgação expõe uma falha de segurança em torno do dotUSD, o sistema descentralizado de Polkadot moeda estávellançado em outubro sob a governança da organização autônoma descentralizada (DAO) da rede.
Ao contrário das stablecoins emitidas por empresas privadas, o dotUSD foi projetado para operar sem um emissor centralizado, com os titulares do DOT governando as decisões através do sistema OpenGov da rede.
No entanto, a vulnerabilidade é anterior à introdução do stablecoin. A Parity inicialmente classificou o bug como de gravidade média porque sua avaliação não levou em conta como a falha poderia interagir com o dotUSD, que ainda não havia sido lançado.
Posteriormente, o desenvolvedor atualizou a vulnerabilidade para crítica depois que o ataque expôs suas consequências financeiras.
A violação também ocorreu após uma divulgação pública em 20 de outubro, quando o pesquisador de segurança que relatou originalmente a vulnerabilidade postou um comentário no fórum referenciando a correção do código.
A Parity disse que o pesquisador removeu o comentário após ser notificado de que ele violava as regras de recompensas de bugs da empresa. O desenvolvedor acredita que a divulgação pode ter fornecido aos invasores informações suficientes para identificar e explorar a vulnerabilidade.
Em última análise, o invasor manipulou o sistema de mensagens entre cadeias do Polkadot Asset Hub para reduzir o fornecimento registrado do dotUSD sem remover tokens das contas dos usuários.
Essa discrepância distorceu os preços no pool de liquidez DOT/dotUSD da rede, permitindo que os comerciantes trocassem dotUSD por DOT a taxas artificiais.
O Tesouro, que era o único provedor de liquidez do pool, absorveu aproximadamente US$ 1,381 milhão em perdas.
A Parity enfatizou que nenhum usuário perdeu fundos e o dotUSD permaneceu totalmente apoiado por USDT. No entanto, a empresa não conseguiu estabelecer se a pessoa que explorou a vulnerabilidade também lucrou com as negociações de arbitragem subsequentes.
Como uma parada de retransmissão de emergência foi contornada
Snowfork parou seus próprios retransmissores. A falha do XCM permaneceu e outros operadores ainda podiam operar retransmissores.
O invasor executou seu próprio retransmissor de consenso e retomou cerca de seis horas antes que a correção do XCM entrasse em vigor.
Snowfork interrompeu seus próprios retransmissores, mas o invasor executou outro. O tempo de execução 2.5.1 corrigiu o XCM em 26 de outubro; 2.5.2 oferta reconciliada de dotUSD em 30 de outubro.
A Parity disse que o comentário público de 20 de outubro pode ter ajudado os agressores; essa ligação permanece não comprovada. A identidade do beneficiário da arbitragem não foi resolvida. O Tesouro era o único fornecedor de liquidez do pool e os usuários não perderam fundos. A linha do tempo não é um registro da disponibilidade da ponte.
O hacker contornou o desligamento de emergência antes que Polkadot implantasse a correção de segurança
O incidente ficou mais complicado quando o invasor contornou uma medida de contenção de emergência destinada a impedir a exploração.
Depois que atividades suspeitas foram detectadas em 24 de outubro, Snowfork interrompeu seus retransmissores de consenso, evitando temporariamente que novas transações maliciosas chegassem a Polkadot por meio da rede Snowbridge.
No entanto, o invasor operou um retransmissor independente em 26 de outubro, retomando a exploração aproximadamente seis horas antes dos desenvolvedores implantarem a atualização de segurança por meio do OpenGov.
A solução alternativa foi possível porque o Snowbridge permite que participantes independentes operem retransmissores, o que significa que a intervenção do Snowfork poderia interromper sua própria infraestrutura sem bloquear permanentemente o acesso do invasor.
A Parity finalmente fechou a vulnerabilidade por meio da atualização de tempo de execução 2.5.1 em 26 de outubro e resgatado a liquidez restante do pool de negociação afetado.
Uma segunda atualização ocorreu em 30 de outubro, corrigindo o fornecimento registrado do dotUSD sem alterar os saldos das contas individuais e resolvendo um problema separado que havia interrompido Snowbridge.
O dotUSD recuperado foi devolvido ao Tesouro, embora as perdas financeiras decorrentes da atividade de negociação artificial tenham permanecido.
A Parity reconheceu que os seus processos de segurança existentes não conseguiram levar em conta o risco crescente introduzido pelas novas funcionalidades de rede.
A empresa disse que fortaleceria as avaliações de vulnerabilidade, melhoraria as verificações de implantação e expandiria o monitoramento para emissão incomum de ativos.
Também está refinando um sistema automatizado Estrutura de segurança baseada em IA para identificar alterações de código potencialmente exploráveis no início do desenvolvimento, ao mesmo tempo em que reavalia vulnerabilidades relatadas anteriormente para riscos introduzidos pelo dotUSD.
