Казначейство Polkadot потеряло $1,38 млн из-за старой уязвимости

Parity Technologies раскрыла детали инцидента в отчёте от 2 ноября. Уязвимость в коде исправили в июне, однако патч не попал в нужные runtime до атаки 24–26 октября.

Проблема затронула dotUSD — децентрализованный стейблкоин, запущенный в октябре под управлением DAO Polkadot. Решения в сети принимают держатели DOT через OpenGov. Изначально Parity оценила уязвимость как среднюю по степени опасности: разработчики не учли, что она может затронуть ещё не запущенный dotUSD. После атаки уровень повысили до критического.

Атакующий изменил работу системы межсетевых сообщений Polkadot Asset Hub и занизил отображаемый объём dotUSD, не списывая токены со счетов пользователей. Из-за этого исказилась цена в пуле DOT/dotUSD, и обмен пошёл по искусственным курсам. Казначейство — единственный поставщик ликвидности в пуле — потеряло около $1,381 млн. Пользователи своих средств не лишились, а dotUSD сохранял полное обеспечение USDT. Получил ли атакующий прибыль от последующих арбитражных сделок, Parity не установила.

После того как 24 октября заметили подозрительную активность, Snowfork остановила собственные consensus relayers. 26 октября атакующий запустил независимый relayer и возобновил эксплуатацию примерно за шесть часов до обновления. Runtime 2.5.1 закрыл уязвимость в тот же день, а версия 2.5.2 от 30 октября исправила отображение объёма dotUSD и отдельную проблему Snowbridge. Возвращённые токены направили в казначейство, но потери от сделок остались.

Parity намерена усилить проверку уязвимостей и развёртывание патчей, расширить мониторинг необычной эмиссии активов и доработать автоматизированную систему безопасности на базе ИИ.