Сокровищница Polkadot понесла убыток в $1,38 млн после того, как злоумышленник использовал уязвимость, исправленную в кодовой базе за несколько месяцев до выхода новой децентрализованной стабильной монеты dotUSD. Parity Technologies, команда инфраструктуры Polkadot и Kusama, сообщила, что баг был исправлен в июне, но не попал в продакшн до эксплойта 24‑26 октября, согласно отчёту от 2 ноября.

Происхождение уязвимости и её классификация

Изначально ошибка была оценена как средняя по тяжести, поскольку Parity не учла её взаимодействие с dotUSD, который ещё не был запущен. После того как инцидент продемонстрировал прямой финансовый ущерб, компания повысила рейтинг до критического. Исследователь безопасности публично упомянул исправление кода 20 октября, позже удалив комментарий после указания, что это нарушает политику баг‑баунти Parity, раскрытие, которое, по мнению Parity, могло помочь атакующему.

Как работал эксплойт

Злоумышленник нацелился на кросс‑цепочечный обмен (XCM) Asset Hub Polkadot, уменьшив зафиксированное предложение dotUSD без перемещения токенов из пользовательских аккаунтов. Это несоответствие исказило пул ликвидности DOT/dotUSD, позволив сокровищнице — единственному поставщику ликвидности — потерять около $1,381 млн за счёт искусственного ценообразования. Хотя сокровищница покрыла убыток, Parity подтвердил, что средства пользователей не пострадали и dotUSD остался полностью обеспеченным USDT.

Экстренные меры и последствия

Когда 24 октября была зафиксирована подозрительная активность, Snowfork остановил свои консенсус‑релейеры, временно блокируя дальнейшие злонамеренные транзакции через мост Snowbridge. Атакующий обошёл это, запустив независимый релейер 26 октября, возобновив эксплойт за шесть часов до того, как Parity внедрила обновление рантайма 2.5.1. Последующее обновление 30 октября исправило зафиксированное предложение dotUSD и восстановило оставшуюся ликвидность. Parity заявила, что инцидент выявил пробелы в процессах безопасности, что привело к планам усилить оценку уязвимостей, улучшить проверки развертывания, расширить мониторинг и внедрить AI‑базированную систему для раннего обнаружения рискованных изменений кода.

Что будет дальше

Наблюдатели будут следить за тем, как новые протоколы безопасности Polkadot работают в будущих обновлениях, особенно по мере расширения кросс‑цепочечной функциональности сети. Кроме того, сообщество будет отслеживать любые юридические или управленческие реакции в рамках OpenGov DAO, связанные с механизмами компенсации за потери сокровищницы и возможными реформами программы баг‑баунти.