Polkadot perde 1,38 milioni di dollari a causa di un attacco informatico che ha sfruttato una vulnerabilità di sicurezza corretta quattro mesi prima

Incidente di Sicurezza di Polkadot

Il Tesoro di Polkadot ha subito una perdita di 1,38 milioni di dollari dopo che un attaccante ha sfruttato una vulnerabilità di sicurezza che gli sviluppatori avevano corretto mesi prima del lancio della nuova stablecoin.

Dettagli dell'Attacco

In un rapporto sull'incidente del 2 novembre, Parity Technologies, un'azienda di infrastruttura blockchain, ha rivelato che la vulnerabilità era stata identificata e corretta nel codice a giugno, ma non era mai stata implementata nei sistemi di produzione prima dell'attacco avvenuto tra il 24 e il 26 ottobre.

Questa situazione ha messo in luce un fallimento nella sicurezza riguardante dotUSD, la stablecoin decentralizzata di Polkadot, lanciata a ottobre sotto la governance dell'organizzazione autonoma decentralizzata (DAO) della rete.

Caratteristiche di dotUSD

A differenza delle stablecoin emesse da aziende private, dotUSD è progettata per operare senza un emittente centralizzato, con i detentori di DOT che governano le decisioni attraverso il sistema OpenGov della rete.

Tuttavia, la vulnerabilità esisteva già prima dell'introduzione della stablecoin. Parity inizialmente aveva classificato il bug come di gravità media, poiché non considerava come la vulnerabilità potesse interagire con dotUSD. Successivamente, la classificazione è stata aggiornata a critica dopo l'attacco.

Divulgazione e Sfruttamento della Vulnerabilità

"La divulgazione pubblica del 20 ottobre ha fornito agli attaccanti informazioni sufficienti per identificare e sfruttare la vulnerabilità."

Il ricercatore di sicurezza che aveva originariamente segnalato la vulnerabilità ha pubblicato un commento su un forum, facendo riferimento alla correzione del codice. Parity ha dichiarato che il commento è stato rimosso dopo che il ricercatore è stato avvisato che violava le regole del programma di bug bounty dell'azienda.

L'attaccante ha manipolato il sistema di messaggistica cross-chain di Polkadot Asset Hub per ridurre l'offerta registrata di dotUSD, consentendo ai trader di scambiare dotUSD per DOT a tassi artificiali. Il Tesoro, unico fornitore di liquidità del pool, ha subito perdite per circa 1,381 milioni di dollari.

Risposta e Misure di Sicurezza

Parity ha sottolineato che nessun utente ha perso fondi e che dotUSD è rimasta completamente garantita da USDT. Tuttavia, l'azienda non è riuscita a stabilire se l'attaccante abbia tratto profitto dai successivi scambi di arbitraggio.

L'incidente si è complicato ulteriormente quando l'attaccante ha eluso una misura di contenimento di emergenza. Dopo che un'attività sospetta è stata rilevata il 24 ottobre, Snowfork ha interrotto i suoi relayer di consenso, ma l'attaccante ha operato un relayer indipendente il 26 ottobre, riprendendo lo sfruttamento.

Parity ha chiuso la vulnerabilità tramite l'aggiornamento runtime 2.5.1 il 26 ottobre e ha recuperato la liquidità rimanente dal pool di trading interessato. Un secondo aggiornamento è seguito il 30 ottobre, correggendo l'offerta registrata di dotUSD.

Conclusioni e Futuro

Parity ha riconosciuto che i suoi processi di sicurezza esistenti non hanno tenuto conto del rischio in evoluzione introdotto dalle nuove funzionalità della rete. L'azienda ha dichiarato che:

• Rafforzerà le valutazioni delle vulnerabilità
• Migliorerà i controlli di distribuzione
• Amplierà il monitoraggio per emissioni di asset insolite
• Perfezionerà un framework di sicurezza automatizzato basato su intelligenza artificiale

Queste misure sono destinate a identificare cambiamenti di codice potenzialmente sfruttabili prima nello sviluppo e rivalutare le vulnerabilità precedentemente segnalate per i rischi introdotti da dotUSD.