La trésorerie de Polkadot a subi une perte de 1,38 million de dollars après qu'un attaquant a exploité un défaut de sécurité qui avait été corrigé dans la base de code des mois avant la mise en ligne de la nouvelle stablecoin décentralisée du réseau, dotUSD. Parity Technologies, l'équipe d'infrastructure derrière Polkadot et Kusama, a révélé que le bug avait été corrigé en juin mais n'avait jamais atteint l'environnement de production avant l'exploitation du 24 au 26 octobre, selon un rapport publié le 2 novembre.

Origine de la vulnérabilité et mauvaise classification

Le défaut avait initialement été classé de gravité moyenne car l'évaluation de Parity n'avait pas pris en compte son interaction avec dotUSD, qui n'avait pas encore été lancée. Après que la brèche a révélé un impact financier direct, l'entreprise a relevé la cote à critique. Un chercheur en sécurité avait publiquement mentionné la correction du code le 20 octobre, supprimant ensuite le commentaire après avoir été informé qu'il violait la politique de prime pour signalement de bugs de Parity, une divulgation que Parity estime avoir pu aider l'attaquant.

Fonctionnement de l'exploitation

L'attaquant a ciblé le système de messagerie inter-chaînes (XCM) de l'Asset Hub de Polkadot, réduisant l'offre enregistrée de dotUSD sans déplacer de jetons depuis les comptes des utilisateurs. Cette divergence a déformé le pool de liquidité DOT/dotUSD, permettant à la trésorerie, agissant en tant que seul fournisseur de liquidité, d'être vidée d'environ 1,381 million de dollars par des prix artificiels. Bien que la Trésorerie ait absorbé la perte, Parity a confirmé que les fonds des utilisateurs n'avaient pas été compromis et que dotUSD restait entièrement adossé à USDT.

Mesures d'urgence et conséquences

Lorsqu'une activité suspecte a été signalée le 24 octobre, Snowfork a suspendu ses relais de consensus, bloquant temporairement d'autres transactions malveillantes via le pont Snowbridge. L'attaquant a contourné cela en exploitant un relais indépendant le 26 octobre, reprenant l'exploitation six heures avant que Parity ne déploie la mise à niveau d'exécution 2.5.1. Une mise à niveau ultérieure le 30 octobre a corrigé l'offre enregistrée de dotUSD et restauré la liquidité restante. Parity a déclaré que l'incident a exposé des lacunes dans ses processus de sécurité, entraînant des plans pour renforcer les évaluations des vulnérabilités, améliorer les contrôles de déploiement, étendre la surveillance et introduire un cadre basé sur l'IA pour signaler plus tôt les modifications de code risquées.

Points à surveiller

Les observateurs surveilleront la performance des protocoles de sécurité révisés de Polkadot lors des futures mises à niveau, en particulier alors que le réseau étend ses fonctionnalités inter-chaînes. De plus, la communauté surveillera toute réponse juridique ou de gouvernance au sein du DAO OpenGov concernant les mécanismes d'indemnisation des pertes de la trésorerie et les réformes potentielles du programme de primes pour signalement de bugs.