Kas Polkadot kehilangan $1,38 juta setelah penyerang memanfaatkan kerentanan yang telah diperbaiki oleh pengembang empat bulan sebelumnya. Parity Technologies mengungkapkan dalam laporan insiden 2 November bahwa perbaikan kode pada Juni tidak sampai ke sistem produksi yang terdampak sebelum serangan pada 24-26 Oktober. Paritas mengembangkan infrastruktur blockchain untuk ekosistem Polkadot dan Kusama.
Penyerang mengubah catatan pasokan melalui sistem pesan lintas rantai Polkadot Asset Hub, mengurangi pasokan dotUSD yang tercatat sambil mempertahankan saldo token pengguna tetap sama. Ketidaksesuaian ini mengganggu penetapan harga di kolam likuiditas DOT/dotUSD, memungkinkan pedagang untuk mendapatkan DOT dengan harga dotUSD yang terdistorsi secara artifisial. Kas Treasury mengalami kerugian sekitar $1,381 juta sebagai satu-satunya penyedia likuiditas di kolam tersebut. Parity menyatakan bahwa pengguna tidak mengalami kerugian dana dan dotUSD tetap didukung penuh oleh USDT. Namun, Parity tidak dapat menentukan apakah pelaku juga mendapat keuntungan dari perdagangan arbitrase yang mengikuti.
dotUSD, stablecoin terdesentralisasi Polkadot, mulai beroperasi pada Oktober di bawah organisasi otonom terdesentralisasi (DAO) jaringan. dotUSD dirancang tanpa penerbit pusat, berbeda dengan stablecoin yang dikeluarkan oleh perusahaan swasta. Pemegang DOT mengatur keputusan dotUSD melalui OpenGov. Parity awalnya menilai kerentanan ini sebagai tingkat sedang karena penilaian tersebut tidak mempertimbangkan kemungkinan interaksi dengan dotUSD, yang belum diluncurkan. Parity meningkatkan peringkat menjadi kritis setelah serangan tersebut menunjukkan dampak finansialnya.
Peneliti keamanan yang pertama kali melaporkan kerentanan tersebut menerbitkan komentar forum yang merujuk pada perbaikan kode pada 20 Oktober. Parity menyatakan bahwa peneliti tersebut menghapus komentar tersebut setelah menerima pemberitahuan bahwa pengungkapan tersebut melanggar aturan bug bounty Parity. Parity percaya bahwa komentar tersebut mungkin menyediakan informasi yang cukup bagi penyerang untuk menemukan dan mengeksploitasi kelemahan tersebut.
Snowfork menghentikan operasi relayer konsensus perusahaan setelah aktivitas mencurigakan terdeteksi pada 24 Oktober. Penutupan tersebut sementara mencegah transaksi jahat tambahan memasuki Polkadot melalui Snowbridge. Namun, penyerang menggunakan relayer yang dioperasikan secara independen pada 26 Oktober untuk menghidupkan kembali eksploitasi, sekitar enam jam sebelum pengembang menerapkan peningkatan keamanan melalui OpenGov. Snowbridge memungkinkan peserta independen menjalankan relayer, sehingga Snowfork dapat menangguhkan infrastruktur Snowfork tetapi tidak dapat secara permanen menolak akses penyerang.
Parity menghilangkan kerentanan dengan pembaruan runtime 2.5.1 pada 26 Oktober dan memulihkan likuiditas tersisa dari pool yang terdampak. Pembaruan lain pada 30 Oktober memperbaiki catatan pasokan dotUSD tanpa mengubah saldo akun individu. Pembaruan 30 Oktober juga memperbaiki masalah terpisah yang mengganggu Snowbridge. dotUSD yang dipulihkan dikembalikan ke Treasury. Namun, kerugian yang disebabkan oleh perdagangan pada harga buatan tetap ada.
Parity mengakui bahwa prosedur keamanan perusahaan tidak menangkap perubahan risiko dari fungsionalitas jaringan baru. Parity menyatakan bahwa perusahaan akan meningkatkan penilaian kerentanan, memperkuat verifikasi peluncuran, dan memperluas pemantauan untuk penerbitan aset yang tidak biasa. Parity sedang menyempurnakan kerangka keamanan berbasis AI otomatis yang bertujuan mendeteksi perubahan kode yang berpotensi dieksploitasi lebih awal selama pengembangan. Parity juga sedang meninjau kerentanan yang sebelumnya dilaporkan untuk menilai risiko yang timbul dari dotUSD.
Polkadot Kehilangan $1,38 Juta Setelah Peretas Mengeksploitasi Kerentanan Keamanan yang Telah Diperbaiki
CryptoSlateBagikan
Ringkasan
Kas Polkadot kehilangan $1,38 juta setelah peretas mengeksploitasi kerentanan yang sudah dikenal dan diperbaiki empat bulan lalu. Serangan tersebut menargetkan sistem pesan lintas rantai Polkadot Asset Hub, menyebabkan ketidakseimbangan pasokan dotUSD dan memungkinkan arbitrase. Parity Technologies mengonfirmasi bahwa kelemahan tersebut awalnya dinilai sedang, tetapi dinaikkan menjadi kritis setelah pelanggaran. Perbaikan dari bulan Juni belum diterapkan pada sistem aktif. Peningkatan runtime telah diimplementasikan untuk memulihkan likuiditas dan sesuai dengan persyaratan kepatuhan CFT dan MiCA.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.