Kas Polkadot mengalami kerugian $1,38 juta setelah seorang penyerang memanfaatkan celah keamanan yang telah diperbaiki dalam basis kode berbulan‑bulan sebelum stablecoin terdesentralisasi baru jaringan, dotUSD, diluncurkan. Parity Technologies, tim infrastruktur di balik Polkadot dan Kusama, mengungkapkan bahwa bug tersebut diperbaiki pada bulan Juni namun tidak pernah masuk ke lingkungan produksi sebelum eksploitasi pada 24‑26 Oktober, menurut laporan yang diposting pada 2 November.

Asal‑Usul Kerentanan dan Klasifikasi yang Salah

Celah tersebut awalnya diklasifikasikan sebagai tingkat menengah karena penilaian Parity tidak mempertimbangkan interaksinya dengan dotUSD, yang pada saat itu belum diluncurkan. Setelah pelanggaran mengakibatkan dampak finansial langsung, perusahaan menaikkan rating menjadi kritis. Seorang peneliti keamanan sempat menyebutkan perbaikan kode tersebut secara publik pada 20 Oktober, kemudian menghapus komentarnya setelah diberitahu bahwa hal itu melanggar kebijakan bug bounty Parity, sebuah pengungkapan yang diyakini Parity dapat membantu penyerang.

Cara Kerja Eksploitasi

Penyerang menargetkan sistem pesan lintas‑rantai (XCM) Asset Hub Polkadot, mengurangi pasokan tercatat dotUSD tanpa memindahkan token dari akun pengguna. Ketidaksesuaian ini mendistorsi pool likuiditas DOT/dotUSD, memungkinkan kas—yang berperan sebagai satu‑satunya penyedia likuiditas—dikuras sekitar $1,381 juta melalui penetapan harga artifisial. Meskipun kas menyerap kerugian tersebut, Parity menegaskan tidak ada dana pengguna yang terkompromi dan dotUSD tetap sepenuhnya didukung oleh USDT.

Langkah Darurat dan Dampak Selanjutnya

Ketika aktivitas mencurigakan terdeteksi pada 24 Oktober, Snowfork menghentikan relayer konsensusnya, sementara itu memblokir transaksi berbahaya lebih lanjut melalui jembatan Snowbridge. Penyerang mengatasi hal ini dengan menjalankan relayer independen pada 26 Oktober, melanjutkan eksploitasi enam jam sebelum Parity menerapkan upgrade runtime 2.5.1. Upgrade selanjutnya pada 30 Oktober memperbaiki pasokan tercatat dotUSD dan mengembalikan likuiditas yang tersisa. Parity menyatakan insiden ini mengungkap celah dalam proses keamanan mereka, sehingga direncanakan penguatan penilaian kerentanan, perbaikan pemeriksaan deployment, perluasan pemantauan, serta pengenalan kerangka kerja berbasis AI untuk menandai perubahan kode berisiko lebih awal.

Apa yang Perlu Diperhatikan Selanjutnya

Pengamat akan memantau kinerja protokol keamanan Polkadot yang telah direvisi pada upgrade mendatang, terutama saat jaringan memperluas fungsionalitas lintas‑rantai. Selain itu, komunitas akan menunggu respons hukum atau tata kelola dalam OpenGov DAO terkait mekanisme kompensasi atas kerugian kas serta potensi reformasi program bug bounty.