Polkadot verliert 1,38 Millionen Dollar durch Hackerangriff auf Sicherheitslücke, die vier Monate zuvor behoben wurde

Vorfallbericht über Sicherheitslücke im Polkadot Treasury

Der Treasury von Polkadot verlor 1,38 Millionen Dollar, nachdem ein Angreifer eine Schwachstelle ausnutzte, die von den Entwicklern Monate vor der Einführung des neuen Stablecoins behoben worden war. In einem Vorfallbericht vom 2. November enthüllte Parity Technologies, ein Blockchain-Infrastrukturunternehmen, das sich auf die Polkadot- und Kusama-Ökosysteme konzentriert, dass die Sicherheitslücke im Juni in ihrem Code identifiziert und behoben wurde, jedoch nie die betroffenen Produktionssysteme vor dem Angriff zwischen dem 24. und 26. Oktober erreichte.

Details zur Sicherheitslücke und den Folgen

Die Offenlegung zeigt einen Sicherheitszusammenbruch rund um dotUSD, den dezentralen Stablecoin von Polkadot, der im Oktober unter der Governance der dezentralen autonomen Organisation (DAO) des Netzwerks eingeführt wurde. Im Gegensatz zu Stablecoins, die von privaten Unternehmen ausgegeben werden, wurde dotUSD so konzipiert, dass er ohne einen zentralen Emittenten funktioniert, wobei DOT-Inhaber Entscheidungen über das OpenGov-System des Netzwerks treffen.

Die Schwachstelle bestand jedoch bereits vor der Einführung des Stablecoins. Parity klassifizierte den Fehler zunächst als mittlere Schwere, da die Bewertung nicht berücksichtigte, wie die Schwachstelle mit dotUSD interagieren könnte, das zu diesem Zeitpunkt noch nicht gestartet war. Der Entwickler stufte die Schwachstelle später nach dem Angriff als kritisch ein, nachdem die finanziellen Konsequenzen offengelegt wurden.

Öffentliche Offenlegung und Angreifer

Der Vorfall folgte auch einer öffentlichen Offenlegung am 20. Oktober, als der Sicherheitsforscher, der die Schwachstelle ursprünglich gemeldet hatte, einen Forenkommentar veröffentlichte, der auf die Codekorrektur verwies. Parity gab an, dass der Forscher den Kommentar entfernt hatte, nachdem er darüber informiert wurde, dass er gegen die Bug-Bounty-Regeln des Unternehmens verstieß. Der Entwickler glaubt, dass die Offenlegung den Angreifern möglicherweise genügend Informationen gegeben hat, um die Schwachstelle zu identifizieren und auszunutzen.

„Der Angreifer manipulierte letztendlich das Cross-Chain-Messaging-System von Polkadot Asset Hub, um das aufgezeichnete Angebot von dotUSD zu reduzieren, ohne Token von den Benutzerkonten zu entfernen.“

Diese Diskrepanz verzerrte die Preise im DOT/dotUSD-Liquiditätspool des Netzwerks, was es Händlern ermöglichte, dotUSD zu künstlich niedrigen Preisen gegen DOT zu tauschen. Der Treasury, der der einzige Liquiditätsanbieter des Pools war, erlitt Verluste von etwa 1,381 Millionen Dollar. Parity betonte, dass keine Benutzer Gelder verloren und dotUSD vollständig durch USDT gedeckt blieb.

Reaktion auf den Angriff

Das Unternehmen konnte jedoch nicht feststellen, ob die Person, die die Schwachstelle ausnutzte, auch von den anschließenden Arbitragegeschäften profitierte. Der Vorfall wurde komplizierter, als der Angreifer eine Notfallmaßnahme umging, die dazu gedacht war, den Angriff zu stoppen. Nachdem am 24. Oktober verdächtige Aktivitäten festgestellt wurden, stoppte Snowfork seine Konsens-Relayer und verhinderte vorübergehend, dass weitere böswillige Transaktionen über das Snowbridge-Netzwerk Polkadot erreichten. Der Angreifer betrieb jedoch am 26. Oktober einen unabhängigen Relayer und setzte den Angriff etwa sechs Stunden fort, bevor die Entwickler das Sicherheitsupgrade über OpenGov bereitstellten.

Der Workaround war möglich, da Snowbridge unabhängigen Teilnehmern erlaubt, Relayer zu betreiben, was bedeutete, dass Snowforks Intervention die eigene Infrastruktur unterbrechen konnte, ohne den Zugang des Angreifers dauerhaft zu blockieren.

Schlussfolgerungen und zukünftige Maßnahmen

Parity schloss schließlich die Schwachstelle durch das Runtime-Upgrade 2.5.1 am 26. Oktober und rettete die verbleibende Liquidität aus dem betroffenen Handels-Pool. Ein zweites Upgrade folgte am 30. Oktober, das das aufgezeichnete Angebot von dotUSD korrigierte, ohne die Kontostände einzelner Konten zu ändern, und ein separates Problem löste, das Snowbridge gestört hatte. Das wiederhergestellte dotUSD wurde an den Treasury zurückgegeben, obwohl die finanziellen Verluste aus der künstlichen Handelsaktivität bestehen blieben.

Parity erkannte an, dass die bestehenden Sicherheitsprozesse nicht die sich entwickelnden Risiken berücksichtigten, die durch neue Netzwerkfunktionen eingeführt wurden. Das Unternehmen gab an, dass es die Schwachstellenbewertungen stärken, die Bereitstellungskontrollen verbessern und die Überwachung ungewöhnlicher Vermögensausgaben erweitern werde. Zudem wird ein automatisiertes, KI-gestütztes Sicherheitsframework verfeinert, um potenziell ausnutzbare Codeänderungen früher in der Entwicklung zu identifizieren, während zuvor gemeldete Schwachstellen hinsichtlich der durch dotUSD eingeführten Risiken neu bewertet werden.