Kas Polkadot kehilangan $1.38 juta selepas penyerang memanfaatkan kerentanan yang telah diperbaiki oleh pembangun empat bulan sebelumnya. Parity Technologies mengumumkan dalam laporan insiden 2 November bahawa pembaikan kod pada Jun belum sampai ke sistem pengeluaran yang terjejas sebelum serangan pada 24-26 Oktober. Parity membangunkan infrastruktur blok rantai untuk ekosistem Polkadot dan Kusama.
Penyerang mengubah rekod bekalan melalui sistem pesan lintas rantai Polkadot Asset Hub, mengurangkan bekalan dotUSD yang dicatatkan sambil meninggalkan baki token pengguna tanpa perubahan. Ketidaksepadanan ini mengganggu penentuan harga dalam kolam likuiditi DOT/dotUSD, membolehkan pedagang mendapatkan DOT dengan kadar yang diputarbelitkan secara artifisial. Baitab menanggung kerugian sebanyak kira-kira $1,381 juta sebagai penyedia likuiditi tunggal kolam tersebut. Parity menyatakan pengguna tidak mengalami kerugian dana dan dotUSD kekal sepenuhnya disokong oleh USDT. Namun, Parity tidak dapat menentukan sama ada pengeksploitasi juga mendapat keuntungan daripada perdagangan arbitrase yang mengikutinya.
dotUSD, koin stabil terdesentralisasi Polkadot, bermula beroperasi pada Oktober di bawah organisasi autonomi terdesentralisasi (DAO) rangkaian tersebut. dotUSD direka tanpa penerbit pusat, berbeza dengan koin stabil yang dikeluarkan oleh syarikat swasta. Pemegang DOT mengendalikan keputusan dotUSD melalui OpenGov. Parity awalnya menilai kerentanan ini sebagai keparahan sederhana kerana penilaian itu tidak mempertimbangkan kemungkinan interaksi dengan dotUSD, yang belum dilancarkan. Parity meningkatkan penilaian kepada kritikal selepas serangan itu menunjukkan kesan kewangan.
Penyelidik keselamatan yang pertama kali melaporkan kerentanan itu menerbitkan komen forum yang merujuk kepada pembaikan kod pada 20 Oktober. Parity mengatakan penyelidik itu menghapus komen itu selepas menerima notis bahawa pengungkapan itu melanggar peraturan bounty ralat Parity. Parity percaya komen itu mungkin telah memberikan maklumat yang mencukupi untuk penyerang menemui dan mengeksploitasi kelemahan tersebut.
Snowfork berhenti mengendalikan relayer konsensus syarikat selepas aktiviti mencurigakan dikesan pada 24 Oktober. Penutupan itu sementara mencegah transaksi jahat tambahan memasuki Polkadot melalui Snowbridge. Namun, penyerang menggunakan relayer yang dioperasikan secara bebas pada 26 Oktober untuk memulakan semula eksploit, kira-kira enam jam sebelum pembangun melaksanakan peningkatan keselamatan melalui OpenGov. Snowbridge membenarkan peserta bebas menjalankan relayer, jadi Snowfork boleh menghentikan infrastruktur Snowfork tetapi tidak boleh menafikan akses penyerang secara kekal.
Parity menghilangkan kerentanan dengan pembaruan runtime 2.5.1 pada 26 Oktober dan memulihkan likuiditi baki kolam yang terjejas. Pembaruan lain pada 30 Oktober memperbaiki rekod bekalan dotUSD tanpa mengubah baki akaun individu. Pembaruan 30 Oktober juga memperbaiki masalah berasingan yang mengganggu Snowbridge. dotUSD yang dipulihkan dikembalikan ke Baitul Mal. Walau bagaimanapun, kerugian yang disebabkan oleh perdagangan pada harga buatan masih berterusan.
Parity mengakui bahawa prosedur keselamatan syarikat tidak menangkap perubahan risiko daripada fungsionaliti rangkaian baru. Parity menyatakan bahawa syarikat akan meningkatkan penilaian kerentanan, memperkuat pengesahan pelaksanaan, dan memperluaskan pemantauan terhadap penerbitan aset yang tidak biasa. Parity sedang menyempurnakan kerangka keselamatan berasaskan AI automatik yang bertujuan untuk mengesan perubahan kod yang boleh dieksploitasi lebih awal semasa pembangunan. Parity juga sedang mengkaji kerentanan yang telah dilaporkan sebelum ini bagi mengenal pasti risiko yang timbul daripada dotUSD.
Polkadot Kehilangan $1,38 juta Selepas Perompak Mengeksploitasi Kekurangan Keselamatan yang Tetap
CryptoSlateKongsi
Ringkasan
Kas Polkadot kehilangan $1.38 juta selepas seorang perompak mengeksploitasi kerentanan yang telah diperbaiki empat bulan yang lalu. Serangan itu menargetkan sistem pesan lintas rantai Polkadot Asset Hub, menyebabkan ketidakseimbangan pasokan dotUSD dan membolehkan arbitrase. Parity Technologies mengesahkan kelemahan itu awalnya dinilai sederhana tetapi dinaikkan menjadi kritikal selepas serangan itu. Pembaikan dari Jun tidak telah dilaksanakan ke sistem langsung. Peningkatan runtime telah dilaksanakan untuk memulihkan likuiditi dan selari dengan keperluan pematuhan CFT dan MiCA.
Sumber:Tunjukkan artikel asal
Penafian: Maklumat yang terdapat pada halaman ini mungkin telah diperoleh daripada pihak ketiga dan tidak semestinya menggambarkan pandangan atau pendapat KuCoin. Kandungan ini adalah disediakan bagi tujuan maklumat umum sahaja, tanpa sebarang perwakilan atau waranti dalam apa jua bentuk, dan juga tidak boleh ditafsirkan sebagai nasihat kewangan atau pelaburan. KuCoin tidak akan bertanggungjawab untuk sebarang kesilapan atau pengabaian, atau untuk sebarang akibat yang terhasil daripada penggunaan maklumat ini.
Pelaburan dalam aset digital boleh membawa risiko. Sila menilai risiko produk dan toleransi risiko anda dengan teliti berdasarkan keadaan kewangan anda sendiri. Untuk maklumat lanjut, sila rujuk kepada Terma Penggunaan dan Pendedahan Risiko kami.