La Tesorería de Polkadot perdió $1.38 millones después de que un atacante explotara una vulnerabilidad que los desarrolladores habían corregido cuatro meses antes. Parity Technologies reveló en un informe de incidentes del 2 de noviembre que la corrección de código de junio no había llegado a los sistemas de producción afectados antes del ataque del 24 al 26 de octubre. Parity desarrolla infraestructura de cadena de bloques para los ecosistemas Polkadot y Kusama.
El atacante alteró los registros de oferta a través del sistema de mensajería entre cadenas de Polkadot Asset Hub, reduciendo la oferta registrada de dotUSD mientras dejaba los saldos de tokens de los usuarios sin cambios. La discrepancia interrumpió la fijación de precios en la piscina de liquidez DOT/dotUSD, permitiendo a los operadores obtener DOT a cambio de dotUSD a tasas artificialmente distorsionadas. El Tesoro soportó pérdidas aproximadas de $1.381 millones como único proveedor de liquidez de la piscina. Parity indicó que los usuarios no sufrieron pérdida de fondos y que dotUSD mantuvo respaldo total en USDT. Sin embargo, Parity no pudo determinar si el explotador también se benefició de las operaciones de arbitraje que siguieron.
dotUSD, la stablecoin descentralizada de Polkadot, comenzó a operar en octubre bajo la organización autónoma descentralizada (DAO) de la red. dotUSD fue diseñada sin un emisor central, a diferencia de las stablecoins emitidas por empresas privadas. Los titulares de DOT gobiernan las decisiones de dotUSD a través de OpenGov. Parity originalmente clasificó la vulnerabilidad como de severidad media porque la evaluación excluía posibles interacciones con dotUSD, que aún no se había lanzado. Parity elevó la clasificación a crítica después de que el ataque demostrara el impacto financiero.
El investigador de seguridad que primero informó la vulnerabilidad publicó un comentario en el foro que se refería a la corrección del código el 20 de octubre. Parity dijo que el investigador eliminó el comentario después de recibir notificación de que la divulgación violaba las reglas del programa de recompensas por errores de Parity. Parity cree que el comentario pudo haber proporcionado suficiente información para que los atacantes descubrieran y explotaran la falla.
Snowfork dejó de operar los relés de consenso de la empresa después de que se detectara actividad sospechosa el 24 de octubre. El cierre impidió temporalmente que transacciones maliciosas adicionales ingresaran a Polkadot a través de Snowbridge. Sin embargo, el atacante utilizó un relé operado independientemente el 26 de octubre para reiniciar la explotación, aproximadamente seis horas antes de que los desarrolladores implementaran la actualización de seguridad a través de OpenGov. Snowbridge permite que participantes independientes ejecuten relés, por lo que Snowfork pudo suspender su infraestructura, pero no pudo negar permanentemente el acceso al atacante.
Parity eliminó la vulnerabilidad con la actualización en tiempo de ejecución 2.5.1 el 26 de octubre y recuperó la liquidez restante del pool afectado. Otra actualización el 30 de octubre reparó los registros de suministro de dotUSD sin alterar los saldos individuales de las cuentas. La actualización del 30 de octubre también solucionó un problema separado que había interrumpido Snowbridge. El dotUSD recuperado se devolvió al Tesoro. Sin embargo, las pérdidas causadas por el comercio a precios artificiales persistieron.
Parity reconoció que los procedimientos de seguridad de la empresa no habían captado los riesgos cambiantes derivados de nuevas funcionalidades de red. Parity indicó que la empresa mejorará las evaluaciones de vulnerabilidades, fortalecerá la verificación de despliegue y ampliará la monitorización de emisiones de activos anormales. Parity está perfeccionando un marco de seguridad automatizado basado en IA destinado a detectar cambios en el código potencialmente explotables más temprano durante el desarrollo. Parity también está revisando vulnerabilidades previamente reportadas en busca de riesgos derivados de dotUSD.
Polkadot pierde $1,38 millones tras que un hacker explotó una vulnerabilidad de seguridad fija
CryptoSlateCompartir
Resumen
El Tesoro de Polkadot perdió 1,38 millones de dólares tras un hacker explotó una vulnerabilidad conocida que había sido corregida hace cuatro meses. El ataque objetó el sistema de mensajería entre cadenas de Polkadot Asset Hub, causando un desequilibrio en la oferta de dotUSD y permitiendo arbitraje. Parity Technologies confirmó que la falla inicialmente se clasificó como media, pero se actualizó a crítica tras el ataque. La corrección de junio no se había implementado en los sistemas en vivo. Ya se han implementado actualizaciones de runtime para recuperar liquidez y cumplir con los requisitos de cumplimiento de CFT y MiCA.
Fuente:Mostrar original
Descargo de responsabilidad: La información contenida en esta página puede proceder de terceros y no refleja necesariamente los puntos de vista u opiniones de KuCoin. Este contenido se proporciona solo con fines informativos generales, sin ninguna representación o garantía de ningún tipo, y tampoco debe interpretarse como asesoramiento financiero o de inversión. KuCoin no es responsable de ningún error u omisión, ni de ningún resultado derivado del uso de esta información.
Las inversiones en activos digitales pueden ser arriesgadas. Evalúa con cuidado los riesgos de un producto y tu tolerancia al riesgo en función de tus propias circunstancias financieras. Para más información, consulta nuestras Condiciones de uso y la Declaración de riesgos.