Polkadot perd 1,38 million de dollars suite à l'exploitation d'une faille de sécurité corrigée quatre mois plus tôt

Incident de sécurité du Trésor de Polkadot

Le Trésor de Polkadot a subi une perte de 1,38 million de dollars après qu'un attaquant a exploité une vulnérabilité que les développeurs avaient corrigée plusieurs mois avant le lancement de son nouveau stablecoin. Dans un rapport d'incident daté du 2 novembre, Parity Technologies, une entreprise spécialisée dans l'infrastructure blockchain pour les écosystèmes Polkadot et Kusama, a révélé que la faille de sécurité avait été identifiée et corrigée dans son code en juin, mais n'avait pas été intégrée dans les systèmes de production concernés avant l'attaque survenue entre le 24 et le 26 octobre.

Contexte du dotUSD

Cette situation met en lumière une défaillance de sécurité entourant le dotUSD, le stablecoin décentralisé de Polkadot, qui a été lancé en octobre sous la gouvernance de l'organisation autonome décentralisée (DAO) du réseau. Contrairement aux stablecoins émis par des entreprises privées, le dotUSD a été conçu pour fonctionner sans un émetteur centralisé, les détenteurs de DOT prenant les décisions via le système OpenGov du réseau.

Cependant, la vulnérabilité existait avant l'introduction du stablecoin. Parity a initialement classé le bug comme de gravité moyenne, car son évaluation ne tenait pas compte de la manière dont la faille pouvait interagir avec le dotUSD, qui n'avait pas encore été lancé. Après l'attaque, le développeur a reclassé la vulnérabilité comme critique, en raison des conséquences financières qu'elle a engendrées.

Divulgation et exploitation de la vulnérabilité

La violation a également suivi une divulgation publique le 20 octobre, lorsque le chercheur en sécurité qui avait initialement signalé la vulnérabilité a posté un commentaire sur un forum, faisant référence à la correction du code.

Parity a indiqué que le chercheur avait supprimé le commentaire après avoir été informé qu'il violait les règles de la prime de bogue de l'entreprise. Le développeur pense que cette divulgation a pu fournir aux attaquants suffisamment d'informations pour identifier et exploiter la vulnérabilité.

L'attaquant a finalement manipulé le système de messagerie inter-chaînes de Polkadot Asset Hub pour réduire l'offre enregistrée de dotUSD sans retirer de tokens des comptes des utilisateurs. Cette discordance a déformé les prix dans le pool de liquidité DOT/dotUSD du réseau, permettant aux traders d'échanger du dotUSD contre du DOT à des taux artificiels. Le Trésor, qui était le seul fournisseur de liquidité du pool, a ainsi absorbé environ 1,381 million de dollars de pertes.

Mesures prises et leçons apprises

Parity a souligné qu'aucun utilisateur n'avait perdu de fonds et que le dotUSD restait entièrement soutenu par l'USDT. Cependant, l'entreprise n'a pas pu établir si la personne ayant exploité la vulnérabilité avait également profité des transactions d'arbitrage qui ont suivi. L'incident s'est compliqué lorsque l'attaquant a contourné une mesure d'urgence destinée à stopper l'exploitation.

Après que des activités suspectes ont été détectées le 24 octobre, Snowfork a suspendu ses relais de consensus, empêchant temporairement d'autres transactions malveillantes d'atteindre Polkadot via le réseau Snowbridge. Cependant, l'attaquant a opéré un relais indépendant le 26 octobre, reprenant l'exploitation environ six heures avant que les développeurs ne déploient la mise à niveau de sécurité via OpenGov.

Parity a finalement corrigé la vulnérabilité grâce à la mise à niveau du runtime 2.5.1 le 26 octobre et a récupéré la liquidité restante du pool de trading affecté. Une seconde mise à niveau a suivi le 30 octobre, corrigeant l'offre enregistrée de dotUSD sans changer les soldes des comptes individuels et résolvant un problème distinct qui avait perturbé Snowbridge.

Le dotUSD récupéré a été retourné au Trésor, bien que les pertes financières dues à l'activité de trading artificielle soient restées. Parity a reconnu que ses processus de sécurité existants n'avaient pas pris en compte le risque évolutif introduit par la nouvelle fonctionnalité du réseau. L'entreprise a déclaré qu'elle renforcerait les évaluations de vulnérabilité, améliorerait les contrôles de déploiement et élargirait la surveillance des émissions d'actifs inhabituelles.

Elle affine également un cadre de sécurité automatisé basé sur l'IA pour identifier plus tôt dans le développement les modifications de code potentiellement exploitables, tout en réévaluant les vulnérabilités précédemment signalées pour les risques introduits par le dotUSD.