A tesouraria da Polkadot sofreu uma perda de US$ 1,38 milhão depois que um atacante aproveitou uma falha de segurança que havia sido corrigida no código meses antes da stablecoin descentralizada dotUSD entrar em operação. A Parity Technologies, equipe de infraestrutura por trás da Polkadot e Kusama, divulgou que o bug foi corrigido em junho, mas nunca chegou ao ambiente de produção antes da exploração ocorrida entre 24 e 26 de outubro, conforme relatório publicado em 2 de novembro.

Origem da vulnerabilidade e classificação equivocada

A falha foi inicialmente classificada como de gravidade média porque a avaliação da Parity não considerou sua interação com o dotUSD, que ainda não havia sido lançado. Após a violação revelar um impacto financeiro direto, a empresa elevou a classificação para crítica. Um pesquisador de segurança havia referenciado publicamente a correção de código em 20 de outubro, removendo o comentário depois de ser informado de que violava a política de bug bounty da Parity, divulgação que a Parity acredita que pode ter ajudado o atacante.

Como a exploração funcionou

O atacante mirou o sistema de mensageria cross‑chain (XCM) do Asset Hub da Polkadot, reduzindo a oferta registrada de dotUSD sem mover tokens das contas dos usuários. Esse descompasso distorceu o pool de liquidez DOT/dotUSD, permitindo que a tesouraria — atuando como única provedora de liquidez — fosse drenada em cerca de US$ 1,381 milhão por meio de precificação artificial. Embora a tesouraria tenha absorvido a perda, a Parity confirmou que nenhum fundo de usuário foi comprometido e que o dotUSD permaneceu totalmente respaldado por USDT.

Medidas de emergência e consequências

Quando a atividade suspeita foi sinalizada em 24 de outubro, a Snowfork interrompeu seus relayers de consenso, bloqueando temporariamente transações maliciosas adicionais via ponte Snowbridge. O atacante contornou a medida operando um relayer independente em 26 de outubro, retomando a exploração seis horas antes da Parity implantar a atualização de runtime 2.5.1. Uma atualização subsequente em 30 de outubro corrigiu a oferta registrada de dotUSD e restaurou a liquidez remanescente. A Parity afirmou que o incidente expôs lacunas em seus processos de segurança, levando a planos de reforçar avaliações de vulnerabilidades, melhorar verificações de implantação, ampliar monitoramento e introduzir uma estrutura baseada em IA para sinalizar mudanças de código arriscadas mais cedo.

O que observar a seguir

Observadores acompanharão como os protocolos de segurança revisados da Polkadot se comportam em futuras atualizações, especialmente à medida que a rede expande sua funcionalidade cross‑chain. Além disso, a comunidade observará possíveis respostas legais ou de governança dentro da DAO OpenGov referentes a mecanismos de compensação por perdas da tesouraria e eventuais reformas no programa de bug bounty.