Le trésor de Polkadot a perdu 1,38 million de dollars après qu'un attaquant a exploité une vulnérabilité que les développeurs avaient corrigée quatre mois plus tôt. Parity Technologies a indiqué dans un rapport d'incident du 2 novembre que la correction de code de juin n'avait pas été appliquée sur les systèmes de production concernés avant l'attaque du 24 au 26 octobre. Parity développe l'infrastructure blockchain pour les écosystèmes Polkadot et Kusama.
L'attaquant a modifié les enregistrements de l'offre via le système de messagerie interchaînes de Polkadot Asset Hub, réduisant l'offre enregistrée de dotUSD tout en laissant les soldes de jetons des utilisateurs inchangés. Ce déséquilibre a perturbé le prix dans le pool de liquidité DOT/dotUSD, permettant aux traders d'obtenir des DOT contre des dotUSD à des taux artificiellement déformés. Le Trésor a subi environ 1,381 million de dollars de pertes en tant que seul fournisseur de liquidité du pool. Parity a déclaré que les utilisateurs n'ont subi aucune perte de fonds et que dotUSD conservait un soutien complet en USDT. Toutefois, Parity n'a pas pu déterminer si l'exploiteur a également bénéficié des opérations d'arbitrage qui ont suivi.
dotUSD, la stablecoin décentralisée de Polkadot, a commencé à fonctionner en octobre sous l'organisation autonome décentralisée (DAO) du réseau. dotUSD a été conçue sans émetteur central, contrairement aux stablecoins émis par des entreprises privées. Les détenteurs de DOT gèrent les décisions concernant dotUSD via OpenGov. Parity avait initialement évalué la vulnérabilité comme ayant une gravité moyenne, car l'évaluation excluait les interactions possibles avec dotUSD, qui n'avait pas encore été lancée. Parity a relevé la gravité à critique après que l'attaque a démontré son impact financier.
Le chercheur en sécurité qui a initialement signalé la vulnérabilité a publié un commentaire sur un forum faisant référence au correctif de code le 20 octobre. Parity a déclaré que le chercheur a supprimé le commentaire après avoir reçu une notification indiquant que la divulgation violait les règles du programme de récompenses pour bugs de Parity. Parity estime que ce commentaire aurait pu fournir suffisamment d'informations aux attaquants pour découvrir et exploiter la faille.
Snowfork a arrêté le fonctionnement des relais de consensus de l'entreprise après la détection d'activités suspectes le 24 octobre. L'arrêt a temporairement empêché l'entrée de transactions malveillantes supplémentaires sur Polkadot via Snowbridge. Toutefois, l'attaquant a utilisé un relais exploité indépendamment le 26 octobre pour redémarrer l'exploitation, environ six heures avant que les développeurs n'implémentent la mise à jour de sécurité via OpenGov. Snowbridge permet à des participants indépendants d'exécuter des relais, donc Snowfork pouvait suspendre son infrastructure, mais ne pouvait pas refuser de manière permanente l'accès à l'attaquant.
Parity a éliminé la vulnérabilité avec la mise à jour en temps réel 2.5.1 le 26 octobre et a récupéré la liquidité restante du pool affecté. Une autre mise à jour le 30 octobre a réparé les enregistrements de la fourniture de dotUSD sans modifier les soldes des comptes individuels. La mise à jour du 30 octobre a également corrigé un autre problème qui avait interrompu Snowbridge. Le dotUSD récupéré a été réintégré au Trésor. Toutefois, les pertes causées par le trading à des prix artificiels sont restées.
Parity a reconnu que les procédures de sécurité de l'entreprise n'avaient pas capté les risques évolutifs liés aux nouvelles fonctionnalités du réseau. Parity a déclaré que l'entreprise améliorerait les évaluations de vulnérabilités, renforcerait la vérification des déploiements et élargirait la surveillance des émissions d'actifs anormales. Parity affine un cadre de sécurité automatisé basé sur l'IA destiné à détecter plus tôt lors du développement les modifications de code potentiellement exploitables. Parity examine également les vulnérabilités précédemment signalées pour identifier les risques liés à dotUSD.
Polkadot perd 1,38 M$ après qu'un pirate a exploité une faille de sécurité fixée
CryptoSlatePartager
Résumé
Le trésor de Polkadot a perdu 1,38 million de dollars après qu'un pirate a exploité une vulnérabilité connue corrigée il y a quatre mois. L'attaque ciblait le système de messagerie interchaînes de l'Asset Hub de Polkadot, provoquant un déséquilibre de l'offre de dotUSD et permettant des arbitrages. Parity Technologies a confirmé que la faille était initialement classée comme moyenne, mais a été reclassée comme critique après la violation. La correction de juin n'avait pas été déployée sur les systèmes en production. Des mises à jour du runtime ont depuis été mises en œuvre pour récupérer la liquidité et se conformer aux exigences de réglementation CFT et MiCA.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.