Polkadot’un hazinesi, ağın yeni merkeziyetsiz stablecoin’i dotUSD’nin yayına girmesinden önce kod tabanında aylar önce düzeltilen bir güvenlik açığını bir saldırganın kullanması sonucu 1,38 milyon dolar kaybetti. Polkadot ve Kusama’nın altyapı ekibi Parity Technologies, hatanın Haziran’da düzeltildiğini ancak Ekim 24‑26 tarihleri arasındaki saldırı öncesinde üretim ortamına alınmadığını 2 Kasım’da yayımlanan raporda belirtti.

Zafiyetin Kökeni ve Yanlış Sınıflandırması

Açık, Parity’nin değerlendirmesinde dotUSD’nin henüz piyasaya sürülmemiş olması nedeniyle orta şiddetli olarak sınıflandırılmıştı. İhlal doğrudan finansal kayba yol açtığı için şirket, derecelendirmeyi kritik seviyeye yükseltti. Bir güvenlik araştırıcısı, 20 Ekim’de kod düzeltmesini kamuoyuyla paylaştı, ardından Parity’nin bug bounty politikasını ihlal ettiği gerekçesiyle yorumunu kaldırdı; Parity bu ifadenin saldırgana yardımcı olabileceğini düşünüyor.

Saldırının Çalışma Prensibi

Saldırgan, Polkadot Asset Hub’ın çapraz zincir mesajlaşma (XCM) sistemini hedef alarak dotUSD’nin kaydedilen arzını tokenları kullanıcı hesaplarından hareket ettirmeden azalttı. Bu tutarsızlık, DOT/dotUSD likidite havuzunu bozdu ve tek likidite sağlayıcı olan hazine, yapay fiyatlandırma sayesinde yaklaşık 1,381 milyon dolar kaybetti. Hazine zararı absorbe etti, Parity ise kullanıcı fonlarının etkilenmediğini ve dotUSD’nin USDT ile tam olarak desteklendiğini doğruladı.

Acil Önlemler ve Sonrası

Şüpheli faaliyet 24 Ekim’de tespit edildiğinde Snowfork, konsensüs aktarıcılarını durdurdu ve Snowbridge köprüsü üzerinden daha fazla kötü niyetli işlem yapılmasını geçici olarak engelledi. Saldırgan, 26 Ekim’de bağımsız bir aktarıcı çalıştırarak bu engeli aştı ve Parity’nin 2.5.1 sürüm yükseltmesini dağıtmadan altı saat önce istismarı sürdürdü. 30 Ekim’de yapılan sonraki yükseltme, dotUSD’nin kaydedilen arzını düzeltti ve kalan likiditeyi geri getirdi. Parity, olayın güvenlik süreçlerindeki boşlukları ortaya çıkardığını belirterek zafiyet değerlendirmelerini güçlendirme, dağıtım kontrollerini iyileştirme, izlemeyi genişletme ve riskli kod değişikliklerini erken tespit edecek AI‑tabanlı bir çerçeve tanıtma planlarını açıkladı.

İlerleyen Dönemde Neler İzlenecek

Gözlemciler, Polkadot’un revize edilen güvenlik protokollerinin gelecekteki yükseltmelerde nasıl performans göstereceğini, özellikle ağın çapraz zincir işlevselliğini genişletmesiyle birlikte izleyecek. Ayrıca topluluk, OpenGov DAO içinde hazine kayıpları için tazminat mekanizmaları ve bug bounty programındaki olası reformlar hakkında yasal ve yönetişim tepkilerini yakından takip edecek.

Kaynaklar