Скарбниця Polkadot зазнала втрати $1,38 млн після того, як зловмисник скористався вразливістю, виправленою в коді за кілька місяців до запуску нової децентралізованої стабільної монети dotUSD. Parity Technologies, команда інфраструктури Polkadot і Kusama, повідомила, що баг був виправлений у червні, але не потрапив у продакшн до експлуатації 24‑26 жовтня, згідно зі звітом від 2 листопада.

Походження вразливості та неправильна класифікація

Спочатку помилку класифікували як середньої серйозності, оскільки оцінка Parity не враховувала її взаємодію з dotUSD, яка ще не була запущена. Після інциденту, що мав прямий фінансовий вплив, компанія підвищила рейтинг до критичного. Дослідник безпеки публічно посилався на виправлення коду 20 жовтня, а потім видалив коментар після того, як йому повідомили, що це порушує політику баг‑баунті Parity, що, на думку Parity, могло допомогти зловмиснику.

Як працював експлойт

Зловмисник націлився на міжланкову систему повідомлень (XCM) Asset Hub Polkadot, зменшуючи зафіксоване постачання dotUSD без переміщення токенів з користувацьких рахунків. Ця невідповідність спотворила пул ліквідності DOT/dotUSD, дозволивши скарбниці — єдиному постачальнику ліквідності — втратити приблизно $1,381 млн через штучне ціноутворення. Хоча скарбниця поглинула збиток, Parity підтвердила, що кошти користувачів не були скомпрометовані, а dotUSD залишився повністю забезпеченим USDT.

Аварійні заходи та наслідки

Коли 24 жовтня було виявлено підозрілу активність, Snowfork зупинив свої консенсус‑релеєри, тимчасово блокуючи подальші зловмисні транзакції через міст Snowbridge. Зловмисник обійшов це, запустивши незалежний релеєр 26 жовтня, відновивши експлойт за шість годин до того, як Parity розгорнула оновлення runtime 2.5.1. Подальше оновлення 30 жовтня виправило зафіксоване постачання dotUSD і відновило залишкову ліквідність. Parity заявила, що інцидент виявив прогалини у процесах безпеки, що спонукає до посилення оцінки вразливостей, покращення перевірок розгортання, розширення моніторингу та впровадження AI‑базованої платформи для раннього виявлення ризикованих змін коду.

Що слід спостерігати далі

Спостерігачі будуть стежити за тим, як нові протоколи безпеки Polkadot працюватимуть під час майбутніх оновлень, особливо у міру розширення міжланкових функцій мережі. Крім того, спільнота слідкуватиме за будь‑якими юридичними чи управлінськими реакціями в OpenGov DAO щодо механізмів компенсації за втрати скарбниці та можливих реформ програми баг‑баунті.

Джерела