Polkadot pierde $1.38 millones tras la explotación de una vulnerabilidad de seguridad corregida meses antes

Incidente de Seguridad en el Tesoro de Polkadot

El Tesoro de Polkadot sufrió una pérdida de $1.38 millones después de que un atacante explotara una vulnerabilidad que los desarrolladores habían corregido meses antes del lanzamiento de su nueva stablecoin. En un informe de incidente del 2 de noviembre, Parity Technologies, una empresa de infraestructura blockchain centrada en los ecosistemas de Polkadot y Kusama, reveló que la falla de seguridad había sido identificada y corregida en su base de código en junio, pero nunca se implementó en los sistemas de producción afectados antes del ataque, que tuvo lugar entre el 24 y el 26 de octubre.

Detalles de la Vulnerabilidad

La divulgación expone una brecha de seguridad en torno a dotUSD, la stablecoin descentralizada de Polkadot, que se lanzó en octubre bajo la gobernanza de la organización autónoma descentralizada (DAO) de la red. A diferencia de las stablecoins emitidas por empresas privadas, dotUSD fue diseñada para operar sin un emisor centralizado, permitiendo que los titulares de DOT tomen decisiones a través del sistema OpenGov de la red. Sin embargo, la vulnerabilidad se había presentado antes de la introducción de la stablecoin.

Parity inicialmente clasificó el error como de gravedad media, ya que su evaluación no consideró cómo la falla podría interactuar con dotUSD, que aún no se había lanzado. Posteriormente, el desarrollador actualizó la vulnerabilidad a crítica tras el ataque, que expuso sus consecuencias financieras.

Divulgación y Explotación

La violación también se produjo después de una divulgación pública el 20 de octubre, cuando el investigador de seguridad que originalmente reportó la vulnerabilidad publicó un comentario en un foro, haciendo referencia a la corrección del código.

"El investigador eliminó el comentario después de ser notificado de que violaba las reglas del programa de recompensas por errores de la empresa."

Parity indicó que esta divulgación pudo haber proporcionado a los atacantes suficiente información para identificar y explotar la vulnerabilidad.

Método de Ataque

El atacante manipuló el sistema de mensajería entre cadenas de Polkadot Asset Hub para reducir el suministro registrado de dotUSD sin eliminar tokens de las cuentas de los usuarios. Esta discrepancia distorsionó los precios en el pool de liquidez DOT/dotUSD de la red, permitiendo a los comerciantes intercambiar dotUSD por DOT a tasas artificiales. El Tesoro, que era el único proveedor de liquidez del pool, absorbió aproximadamente $1.381 millones en pérdidas. Parity enfatizó que ningún usuario perdió fondos y que dotUSD permaneció completamente respaldado por USDT.

Medidas de Contención y Respuesta

El incidente se complicó aún más cuando el atacante eludió una medida de contención de emergencia destinada a detener la explotación. Después de que se detectara actividad sospechosa el 24 de octubre, Snowfork detuvo sus relayers de consenso, impidiendo temporalmente que más transacciones maliciosas llegaran a Polkadot a través de la red Snowbridge. Sin embargo, el atacante operó un relayer independiente el 26 de octubre, reanudando la explotación aproximadamente seis horas antes de que los desarrolladores implementaran la actualización de seguridad a través de OpenGov.

Finalmente, Parity cerró la vulnerabilidad a través de la actualización de tiempo de ejecución 2.5.1 el 26 de octubre y rescató la liquidez restante del pool de trading afectado. Una segunda actualización siguió el 30 de octubre, corrigiendo el suministro registrado de dotUSD sin cambiar los saldos de cuentas individuales y resolviendo un problema separado que había interrumpido Snowbridge. El dotUSD recuperado fue devuelto al Tesoro, aunque las pérdidas financieras de la actividad comercial artificial permanecieron.

Reflexiones Finales

Parity reconoció que sus procesos de seguridad existentes no tuvieron en cuenta el riesgo evolutivo introducido por la nueva funcionalidad de la red. La empresa afirmó que fortalecería las evaluaciones de vulnerabilidad, mejoraría los controles de implementación y ampliaría la supervisión de la emisión inusual de activos. También está refinando un marco de seguridad automatizado basado en inteligencia artificial para identificar cambios de código potencialmente explotables en etapas tempranas del desarrollo, mientras reevalúa las vulnerabilidades reportadas anteriormente por los riesgos introducidos por dotUSD.