Polkadot की ट्रेजरी को $1.38 मिलियन का नुकसान हुआ, जब एक हमलावर ने सुरक्षा बग का शोषण किया, जो नेटवर्क के नए विकेंद्रीकृत स्थिरकॉइन dotUSD के लाइव होने से महीनों पहले कोडबेस में ठीक किया गया था। Parity Technologies, जो Polkadot और Kusama की इन्फ्रास्ट्रक्चर टीम है, ने बताया कि बग जून में ठीक किया गया था लेकिन अक्टूबर 24‑26 के एक्सप्लॉइट से पहले प्रोडक्शन में नहीं पहुंचा, जैसा कि 2 नवंबर को प्रकाशित रिपोर्ट में बताया गया।

वुल्नरेबिलिटी की उत्पत्ति और गलत वर्गीकरण

बग को प्रारम्भ में मिडियम गंभीरता के रूप में वर्गीकृत किया गया था, क्योंकि Parity की मूल्यांकन ने dotUSD के साथ उसकी इंटरैक्शन को नहीं माना, जो अभी लॉन्च नहीं हुआ था। उल्लंघन ने सीधे वित्तीय प्रभाव दिखाने के बाद कंपनी ने रेटिंग को क्रिटिकल कर दिया। एक सुरक्षा शोधकर्ता ने 20 अक्टूबर को कोड फिक्स का सार्वजनिक उल्लेख किया था, लेकिन Parity की बग बाउंटी नीति के उल्लंघन के कारण टिप्पणी हटाने को कहा गया, जिसे Parity मानता है कि हमलावर को मदद मिली।

एक्सप्लॉइट कैसे काम किया

हमलावर ने Polkadot Asset Hub की क्रॉस‑चेन मैसेजिंग (XCM) प्रणाली को लक्षित किया, जिससे dotUSD की रिकॉर्डेड सप्लाई घट गई बिना उपयोगकर्ता खातों से टोकन स्थानांतरित किए। इस असंगति ने DOT/dotUSD लिक्विडिटी पूल को विकृत किया, जिससे ट्रेजरी—एकमात्र लिक्विडिटी प्रोवाइडर—को लगभग $1.381 मिलियन कृत्रिम प्राइसिंग के माध्यम से निकाल लिया गया। जबकि ट्रेजरी ने नुकसान उठाया, Parity ने पुष्टि की कि कोई उपयोगकर्ता फंड नहीं खोया और dotUSD पूरी तरह USDT द्वारा बैक्ड रहा।

इमरजेंसी उपाय और परिणाम

जब 24 अक्टूबर को संदेहास्पद गतिविधि का पता चला, Snowfork ने अपने कंसेंसस रिलेयर को रोक दिया, जिससे Snowbridge ब्रिज के माध्यम से आगे के दुर्भावनापूर्ण लेनदेन अस्थायी रूप से ब्लॉक हो गए। हमलावर ने 26 अक्टूबर को एक स्वतंत्र रिलेयर चलाकर इस रोक को बायपास किया और Parity द्वारा रनटाइम अपग्रेड 2.5.1 डिप्लॉय होने से छह घंटे पहले एक्सप्लॉइट को फिर से शुरू किया। 30 अक्टूबर को एक बाद का अपग्रेड dotUSD की रिकॉर्डेड सप्लाई को ठीक किया और शेष लिक्विडिटी को पुनर्स्थापित किया। Parity ने कहा कि इस घटना ने उनकी सुरक्षा प्रक्रियाओं में खामियां उजागर कीं, जिससे वल्नरेबिलिटी असेसमेंट को मजबूत करने, डिप्लॉयमेंट चेक सुधारने, मॉनिटरिंग बढ़ाने और जोखिमपूर्ण कोड बदलावों को जल्दी पहचानने के लिए AI‑आधारित फ्रेमवर्क लाने की योजना बनी।

आगे क्या देखना है

नज़र रखी जाएगी कि Polkadot के संशोधित सुरक्षा प्रोटोकॉल भविष्य के अपग्रेड में कैसे प्रदर्शन करते हैं, खासकर जब नेटवर्क अपनी क्रॉस‑चेन कार्यक्षमता का विस्तार करता है। साथ ही, समुदाय OpenGov DAO में ट्रेजरी नुकसान के लिए मुआवजा तंत्र और बग बाउंटी प्रोग्राम में संभावित सुधारों के लिए कानूनी या गवर्नेंस प्रतिक्रियाओं पर भी नज़र रखेगा।