Polkadot потерял $1.38 миллиона из-за уязвимости безопасности, исправленной четыре месяца назад

Убытки сокровищницы Polkadot

Сокровищница Polkadot понесла убытки в размере $1.38 миллиона после того, как злоумышленник использовал уязвимость, которую разработчики исправили несколько месяцев назад, до запуска нового стейблкоина.

Инцидент и его последствия

В отчете о инциденте от 2 ноября компания Parity Technologies, занимающаяся блокчейн-инфраструктурой, сообщила, что уязвимость была выявлена и исправлена в коде в июне, но так и не была внедрена в затронутые производственные системы до атаки, произошедшей с 24 по 26 октября.

«Это происшествие подчеркивает проблемы с безопасностью вокруг dotUSD, децентрализованного стейблкоина Polkadot, который был запущен в октябре под управлением децентрализованной автономной организации (DAO) сети.»

В отличие от стейблкоинов, выпущенных частными компаниями, dotUSD был разработан для работы без централизованного эмитента, при этом держатели DOT управляли решениями через систему OpenGov сети.

Классификация уязвимости

Parity изначально классифицировала ошибку как средней степени серьезности, поскольку ее оценка не учитывала, как уязвимость может взаимодействовать с dotUSD, который еще не был запущен. Позже разработчик повысил уровень уязвимости до критического после того, как атака выявила ее финансовые последствия.

Нарушение также произошло после публичного раскрытия 20 октября, когда исследователь безопасности оставил комментарий на форуме, ссылаясь на исправление кода. Parity сообщила, что исследователь удалил комментарий после уведомления о том, что он нарушает правила компании по вознаграждениям за ошибки.

Методы злоумышленника

Злоумышленник манипулировал системой межсетевого обмена Polkadot Asset Hub, чтобы уменьшить зарегистрированное предложение dotUSD, не удаляя токены из учетных записей пользователей. Это несоответствие исказило цены в ликвидном пуле DOT/dotUSD сети, позволяя трейдерам обменивать dotUSD на DOT по искусственным ставкам.

Сокровищница, которая была единственным поставщиком ликвидности пула, понесла убытки в размере примерно $1.381 миллиона. Parity подчеркнула, что ни один пользователь не потерял средства, и dotUSD оставался полностью обеспеченным USDT.

Меры по устранению уязвимости

Инцидент стал более сложным, когда злоумышленник обошел экстренную меру по сдерживанию, предназначенную для остановки эксплуатации. После того как 24 октября была обнаружена подозрительная активность, Snowfork приостановила свои консенсусные релейеры, временно предотвращая дальнейшие злонамеренные транзакции.

Однако злоумышленник управлял независимым релейером 26 октября, возобновив эксплуатацию примерно за шесть часов до того, как разработчики развернули обновление безопасности через OpenGov.

«Обход был возможен, потому что Snowbridge позволяет независимым участникам управлять релейерами, что означает, что вмешательство Snowfork может прервать собственную инфраструктуру, не блокируя доступ злоумышленника.»

В конечном итоге Parity закрыла уязвимость через обновление времени выполнения 2.5.1 26 октября и спасла оставшуюся ликвидность из затронутого торгового пула. Второе обновление последовало 30 октября, исправив зарегистрированное предложение dotUSD без изменения балансов отдельных счетов.

Будущие меры безопасности

Parity признала, что ее существующие процессы безопасности не учитывали развивающиеся риски, связанные с новой функциональностью сети. Компания заявила, что усилит оценку уязвимостей, улучшит проверки развертывания и расширит мониторинг необычного выпуска активов.

Она также уточняет автоматизированную систему безопасности на основе ИИ для более раннего выявления потенциально уязвимых изменений кода в процессе разработки, одновременно пересматривая ранее сообщенные уязвимости на предмет рисков, связанных с dotUSD.