ハッカーが固定されたセキュリティ上の脆弱性を悪用し、Polkadotが138万ドルを失う

Polkadotのトレジャーは、開発者が4ヶ月前に修正した脆弱性を悪用された結果、138万ドルを失った。Parity Technologiesは11月2日のインシデントレポートで、6月に実施されたコード修正が、10月24〜26日の攻撃前に影響を受けた本番システムに適用されていなかったことを明らかにした。Parityは、PolkadotおよびKusamaエコシステムのためのブロックチェーンインフラを開発している。

攻撃者はPolkadot Asset Hubのクロスチェーンメッセージングシステムを通じて供給記録を改ざんし、dotUSDの記録された供給量を削減したが、ユーザーのトークン残高は変更されなかった。この不一致により、DOT/dotUSDの流動性プールの価格が乱れ、トレーダーが人工的に歪められたレートでDOTをdotUSDで取得できる状況が生じた。流動性プロバイダーとして唯一の提供者であった財政は、約138万1,000ドルの損失を被った。Parityは、ユーザーに資金の損失は発生せず、dotUSDはUSDTで完全に裏付けられていると述べた。しかし、Parityは、この攻撃者がその後のアービトラージ取引からも利益を得ていたかどうかを特定できなかった。

dotUSD、Polkadotの分散型ステーブルコインは、10月にネットワークの分散型自律組織（DAO）の下で運用を開始しました。dotUSDは、民間企業が発行するステーブルコインとは異なり、中央発行者を持たないように設計されています。DOT保有者はOpenGovを通じてdotUSDの意思決定を管理します。Parityは当初、dotUSDがリリースされていなかったため、その可能性のある相互作用を除外して、脆弱性を中程度の深刻度と評価していました。攻撃によって財務的影響が示された後、Parityはこの評価を重大な深刻度に引き上げました。

脆弱性を最初に報告したセキュリティ研究者は、10月20日にコードの修正を言及するフォーラムコメントを投稿した。Parityは、その報告がParityのバグバウンティ規則に違反していたため、研究者がコメントを削除したと述べている。Parityは、このコメントが攻撃者に脆弱性を発見・悪用するのに十分な情報を提供していた可能性があると考えている。

10月24日に不審な活動が検出された後、Snowforkは同社のコンセンサスリレーヤーの運用を停止しました。この停止により、Snowbridgeを通じたPolkadotへの追加の悪意のあるトランザクションが一時的に防がれました。しかし、攻撃者は10月26日に独立して運用されるリレーヤーを使用し、OpenGovを通じたセキュリティアップグレードが実装される約6時間前に攻撃を再開しました。Snowbridgeは独立した参加者がリレーヤーを運用することを許可しているため、Snowforkは自社のインフラを停止することはできましたが、攻撃者のアクセスを永続的にブロックすることはできませんでした。

Parityは10月26日にランタイムアップグレード2.5.1を実施し、脆弱性を修正し、影響を受けたプールの残りの流動性を回復しました。10月30日のもう一つのアップグレードでは、個々の口座残高を変更せずにdotUSDの供給記録を修復しました。10月30日のアップグレードは、Snowbridgeを中断させていた別の問題も修正しました。回復したdotUSDは財政庫に戻されました。しかし、人工的な価格での取引によって発生した損失はそのまま残りました。

Parityは、同社のセキュリティ手順が新しいネットワーク機能に伴う変化するリスクを捕捉していなかったことを認めた。Parityは、脆弱性評価の改善、デプロイ検証の強化、異常な資産発行の監視範囲の拡大を実施すると述べた。Parityは、開発段階で潜在的に悪用可能なコード変更を早期に検出することを目的とした自動化されたAIベースのセキュリティフレームワークを精緻化している。また、ParityはdotUSDに起因するリスクについて、過去に報告された脆弱性を再検討している。