O Tesouro da Polkadot perdeu US$ 1,38 milhão após um atacante explorar uma vulnerabilidade que os desenvolvedores haviam corrigido quatro meses antes. A Parity Technologies divulgou em um relatório de incidente de 2 de novembro que a correção de código de junho não havia chegado aos sistemas de produção afetados antes do ataque de 24 a 26 de outubro. A Parity desenvolve infraestrutura blockchain para os ecossistemas Polkadot e Kusama.
O atacante alterou os registros de oferta por meio do sistema de mensagens entre cadeias do Polkadot Asset Hub, reduzindo a oferta registrada do dotUSD, enquanto mantinha os saldos dos usuários inalterados. A discrepância perturbou a precificação no pool de liquidez DOT/dotUSD, permitindo que traders obtivessem DOT por dotUSD a taxas artificialmente distorcidas. O Tesouro sofreu perdas aproximadas de US$ 1,381 milhão como único provedor de liquidez do pool. A Parity afirmou que os usuários não sofreram perda de fundos e que o dotUSD manteve cobertura total em USDT. Contudo, a Parity não conseguiu determinar se o explorador também se beneficiou das operações de arbitragem que se seguiram.
dotUSD, a stablecoin descentralizada da Polkadot, começou a operar em outubro sob a organização autônoma descentralizada (DAO) da rede. O dotUSD foi projetado sem um emissor central, ao contrário das stablecoins emitidas por empresas privadas. Os titulares de DOT governam as decisões do dotUSD por meio do OpenGov. A Parity originalmente classificou a vulnerabilidade como de gravidade média, pois a avaliação excluía possíveis interações com o dotUSD, que ainda não havia sido lançado. A Parity elevou a classificação para crítica após o ataque demonstrar o impacto financeiro.
O pesquisador de segurança que primeiro relatou a vulnerabilidade publicou um comentário em fórum referindo-se à correção do código em 20 de outubro. A Parity afirmou que o pesquisador apagou o comentário após receber notificação de que a divulgação violava as regras do programa de recompensa por bugs da Parity. A Parity acredita que o comentário pode ter fornecido informações suficientes para atacantes descobrirem e explorarem a falha.
A Snowfork interrompeu as operações dos relays de consenso da empresa após a detecção de atividade suspeita em 24 de outubro. O encerramento impediu temporariamente a entrada de transações maliciosas adicionais na Polkadot por meio do Snowbridge. No entanto, o atacante utilizou um relay operado independentemente em 26 de outubro para reiniciar a exploração, aproximadamente seis horas antes dos desenvolvedores implementarem a atualização de segurança por meio do OpenGov. O Snowbridge permite que participantes independentes executem relays, portanto, a Snowfork pôde suspender sua própria infraestrutura, mas não pôde negar permanentemente o acesso ao atacante.
A Parity eliminou a vulnerabilidade com a atualização em tempo de execução 2.5.1 em 26 de outubro e recuperou a liquidez restante do pool afetado. Outra atualização em 30 de outubro corrigiu os registros de oferta do dotUSD sem alterar os saldos individuais das contas. A atualização de 30 de outubro também resolveu um problema separado que havia interrompido o Snowbridge. O dotUSD recuperado foi devolvido ao Tesouro. No entanto, as perdas causadas pelo comércio a preços artificiais permaneceram.
A Parity reconheceu que os procedimentos de segurança da empresa não capturaram os riscos em mudança provenientes de novas funcionalidades de rede. A Parity afirmou que a empresa melhorará as avaliações de vulnerabilidades, fortalecerá a verificação de implantação e ampliará a monitoração de emissões atípicas de ativos. A Parity está aprimorando um framework de segurança automatizado baseado em IA, destinado a detectar alterações de código potencialmente exploráveis mais cedo durante o desenvolvimento. A Parity também está revisando vulnerabilidades anteriormente relatadas quanto a riscos decorrentes do dotUSD.
Polkadot perde US$ 1,38 milhão após hacker explorar falha de segurança fixa
CryptoSlateCompartilhar
Resumo
O Tesouro da Polkadot perdeu US$ 1,38 milhão após um hacker explorar uma vulnerabilidade conhecida que havia sido corrigida há quatro meses. O ataque visou o sistema de mensagens entre cadeias do Polkadot Asset Hub, causando um desequilíbrio na oferta de dotUSD e permitindo arbitragem. A Parity Technologies confirmou que a falha foi inicialmente classificada como média, mas foi elevada para crítica após a violação. A correção de junho não havia sido implantada nos sistemas em produção. Atualizações de runtime foram implementadas desde então para recuperar liquidez e alinhar-se aos requisitos de conformidade com CFT e MiCA.
Fonte:Mostrar original
Aviso legal: as informações nesta página podem ter sido obtidas de terceiros e não refletem necessariamente os pontos de vista ou opiniões da KuCoin. Este conteúdo é fornecido apenas para fins informativos gerais, sem qualquer representação ou garantia de qualquer tipo, nem deve ser interpretado como aconselhamento financeiro ou de investimento. A KuCoin não é responsável por quaisquer erros ou omissões, ou por quaisquer resultados do uso destas informações.
Os investimentos em ativos digitais podem ser arriscados. Avalie cuidadosamente os riscos de um produto e a sua tolerância ao risco com base nas suas próprias circunstâncias financeiras. Para mais informações, consulte nossos termos de uso e divulgação de risco.