La tesorería de Polkadot sufrió una pérdida de $1.38 millones después de que un atacante aprovechara una falla de seguridad que había sido corregida en el código meses antes de que la nueva stablecoin descentralizada del network, dotUSD, entrara en funcionamiento. Parity Technologies, el equipo de infraestructura detrás de Polkadot y Kusama, reveló que el bug se corrigió en junio pero nunca llegó al entorno de producción antes del exploit del 24‑26 de octubre, según un informe publicado el 2 de noviembre.

Origen de la vulnerabilidad y clasificación errónea

La falla se clasificó inicialmente como de gravedad media porque la evaluación de Parity no consideró su interacción con dotUSD, que aún no se había lanzado. Tras la brecha, que mostró un impacto financiero directo, la compañía elevó la calificación a crítica. Un investigador de seguridad había referenciado públicamente la corrección del código el 20 de octubre, retirando luego el comentario tras ser informado de que violaba la política de recompensas de bugs de Parity, una divulgación que Parity cree que pudo haber ayudado al atacante.

Cómo funcionó el exploit

El atacante apuntó al sistema de mensajería cross‑chain (XCM) del Asset Hub de Polkadot, reduciendo el suministro registrado de dotUSD sin mover tokens de las cuentas de los usuarios. Esta discrepancia distorsionó el pool de liquidez DOT/dotUSD, permitiendo que la tesorería —actuando como único proveedor de liquidez— fuera drenada de aproximadamente $1.381 millones mediante precios artificiales. Aunque la Tesorería absorbió la pérdida, Parity confirmó que no se comprometieron fondos de usuarios y que dotUSD siguió totalmente respaldada por USDT.

Medidas de emergencia y consecuencias

Cuando se detectó actividad sospechosa el 24 de octubre, Snowfork detuvo sus relayers de consenso, bloqueando temporalmente más transacciones maliciosas a través del puente Snowbridge. El atacante eludió esto operando un relayer independiente el 26 de octubre, reanudando el exploit seis horas antes de que Parity desplegara la actualización de runtime 2.5.1. Una actualización posterior el 30 de octubre corrigió el suministro registrado de dotUSD y restauró la liquidez restante. Parity dijo que el incidente reveló brechas en sus procesos de seguridad, lo que impulsó planes para reforzar la evaluación de vulnerabilidades, mejorar los controles de despliegue, ampliar la monitorización e introducir un marco basado en IA para detectar cambios de código riesgosos con mayor anticipación.

Qué observar a continuación

Los observadores vigilarán cómo funcionan los protocolos de seguridad revisados de Polkadot durante futuras actualizaciones, especialmente a medida que la red expanda su funcionalidad cross‑chain. Además, la comunidad seguirá de cerca cualquier respuesta legal o de gobernanza dentro del OpenGov DAO respecto a mecanismos de compensación por pérdidas de la tesorería y posibles reformas al programa de recompensas de bugs.