Казна Polkadot потеряла 1,38 миллиона долларов после того, как злоумышленник воспользовался уязвимостью, которую разработчики устранили четыре месяца назад. Parity Technologies сообщила в отчете о инциденте от 2 ноября, что исправление кода от июня не было применено на затронутых производственных системах до атаки с 24 по 26 октября. Parity разрабатывает блокчейн-инфраструктуру для экосистем Polkadot и Kusama.
Злоумышленник изменил записи о предложении через межцепочечную систему обмена сообщениями Polkadot Asset Hub, снизив зарегистрированное предложение dotUSD, оставив при этом балансы токенов пользователей неизменными. Это несоответствие нарушило ценообразование в ликвидности DOT/dotUSD, позволив трейдерам получать DOT за dotUSD по искусственно искаженным курсам. Казначейство понесло примерно 1,381 миллиона долларов потерь в качестве единственного поставщика ликвидности. Parity заявила, что пользователи не понесли потерь средств, а dotUSD сохранил полное покрытие в USDT. Однако Parity не смогла определить, получил ли злоумышленник выгоду также от арбитражных сделок, последовавших за этим.
dotUSD, децентрализованный стейблкоин Polkadot, начал функционировать в октябре в рамках децентрализованной автономной организации (DAO) сети. dotUSD был разработан без централизованного эмитента, в отличие от стейблкоинов, выпускаемых частными компаниями. Держатели DOT управляют решениями, связанными с dotUSD, через OpenGov. Изначально Parity оценила уязвимость как среднюю серьезность, поскольку оценка не учитывала возможные взаимодействия с dotUSD, который еще не был запущен. Parity повысила рейтинг до критического после того, как атака продемонстрировала финансовые последствия.
Исследователь безопасности, который первым сообщил об уязвимости, опубликовал комментарий на форуме, ссылающийся на исправление кода 20 октября. Parity заявила, что исследователь удалил комментарий после получения уведомления о том, что раскрытие нарушает правила баг-бонуса Parity. Parity считает, что этот комментарий мог содержать достаточно информации для того, чтобы злоумышленники обнаружили и эксплуатировали уязвимость.
Snowfork прекратил работу консенсусных релейеров компании после обнаружения подозрительной активности 24 октября. Остановка временно предотвратила поступление дополнительных вредоносных транзакций в Polkadot через Snowbridge. Однако злоумышленник 26 октября использовал независимо управляемый релейер, чтобы возобновить эксплуатацию уязвимости, примерно за шесть часов до того, как разработчики внедрили обновление безопасности через OpenGov. Snowbridge позволяет независимым участникам запускать релейеры, поэтому Snowfork мог приостановить свою инфраструктуру, но не мог навсегда заблокировать доступ злоумышленника.
Parity устранила уязвимость с обновлением во время выполнения 2.5.1 26 октября и восстановила оставшуюся ликвидность затронутого пула. Другое обновление 30 октября исправило записи о предложении dotUSD, не изменяя балансы отдельных аккаунтов. Обновление 30 октября также устранило отдельную проблему, которая прервала работу Snowbridge. Восстановленные dotUSD были возвращены в Казну. Однако потери, вызванные торговлей по искусственным ценам, остались.
Parity признала, что процедуры безопасности компании не учли изменяющиеся риски, связанные с новыми функциями сети. Parity сообщила, что компания улучшит оценку уязвимостей, усилит проверку развертывания и расширит мониторинг аномальной эмиссии активов. Parity дорабатывает автоматизированную безопасную систему на основе ИИ, предназначенную для раннего выявления потенциально эксплуатируемых изменений кода на этапе разработки. Parity также пересматривает ранее сообщенные уязвимости с точки зрения рисков, связанных с dotUSD.
Polkadot потерял 1,38 млн долларов после того, как хакер воспользовался исправленной уязвимостью безопасности
CryptoSlateПоделиться
Сводка
Казна Polkadot потеряла 1,38 миллиона долларов после того, как хакер воспользовался известной уязвимостью, которая была устранена четыре месяца назад. Атака была направлена на систему межсетевого обмена сообщениями Polkadot Asset Hub, вызвав дисбаланс предложения dotUSD и позволив арбитраж. Parity Technologies подтвердила, что изначально уязвимость оценивалась как средняя, но была повышена до критической после инцидента. Исправление от июня не было развернуто на рабочих системах. Впоследствии были внедрены обновления рантайма для восстановления ликвидности и соответствия требованиям CFT и MiCA.
Источник:Показать оригинал
Отказ от ответственности: Информация на этой странице может быть получена от третьих лиц и не обязательно отражает взгляды или мнения KuCoin. Данный контент предоставляется исключительно в общих информационных целях, без каких-либо заверений или гарантий, а также не может быть истолкован как финансовый или инвестиционный совет. KuCoin не несет ответственности за ошибки или упущения, а также за любые результаты, полученные в результате использования этой информации.
Инвестиции в цифровые активы могут быть рискованными. Пожалуйста, тщательно оценивайте риски, связанные с продуктом, и свою устойчивость к риску, исходя из собственных финансовых обстоятельств. Для получения более подробной информации, пожалуйста, ознакомьтесь с нашими Условиями использования и Уведомлением о риске.