Polkadot'ın hazinesi, geliştiricilerin dört ay önce düzelttiği bir zafiyeti kötüye kullanan bir saldırgan nedeniyle 1,38 milyon dolar kaybetti. Parity Technologies, 2 Kasım'da yayımlanan bir raporda, Haziran'da yapılan kod düzeltmesinin, 24-26 Ekim saldırılarından önce etkilenen üretim sistemlerine ulaşmadığını açıkladı. Parity, Polkadot ve Kusama ekosistemleri için blok zinciri altyapısı geliştiriyor.
Saldırgan, Polkadot Asset Hub'un çapraz zincir mesajlaşma sistemi aracılığıyla arz kayıtlarını değiştirdi ve dotUSD'nin kayıtlı arzını azaltırken kullanıcıların token bakiyelerini değişmeden bıraktı. Bu uyumsuzluk, DOT/dotUSD likidite havuzunda fiyatlamayı bozdu ve trader'ların yapay olarak çarpılmış oranlarla dotUSD karşılığında DOT elde etmesine izin verdi. Treasury, havuzun tek likidite sağlayıcısı olarak yaklaşık 1,381 milyon dolarlık kayıplar taşıdı. Parity, kullanıcıların fon kaybı yaşamadığını ve dotUSD'nin USDT ile tam olarak desteklendiğini söyledi. Ancak Parity, istismarcının ardından gerçekleşen arbitraj işlemlerinden de fayda sağlayıp sağlamadığını belirleyemedi.
dotUSD, Polkadot'un merkeziyetsiz stablecoin'i, ağıın merkeziyetsiz otonom organizasyonu (DAO) altında Ekim'de faaliyete geçti. dotUSD, özel şirketler tarafından çıkarılan stablecoin'lerden farklı olarak, merkezi bir çıkarıcı olmadan tasarlandı. DOT sahipleri, OpenGov aracılığıyla dotUSD kararlarını yönetiyor. Parity, değerlendirmede dotUSD ile olası etkileşimlerin dışlanması nedeniyle ilk olarak bu zafiyeti orta ciddiyette olarak değerlendirdi; ancak saldırı, finansal etkiyi ortaya çıkardıktan sonra Parity, bu ratingi kritik seviyeye çıkardı.
Zafiyeti ilk rapor eden güvenlik araştırmacısı, 20 Ekim'de kod düzeltmesine atıfta bulunan bir forum yorumu yayınladı. Parity, araştırmacının, açıklamanın Parity'nin hata ödüllü program kurallarını ihlal ettiğine dair bildirim aldıktan sonra yorumu sildiğini söyledi. Parity, yorumun saldırganların zafiyeti keşfetmek ve kullanmak için yeterli bilgi sağlayabileceğini düşünüyor.
Snowfork, 24 Ekim'de şüpheli aktivite tespit edildikten sonra şirketin konsensüs relayer'lerinin işletimini durdurdu. Kapanış, Snowbridge üzerinden Polkadot'a ek zararlı işlemlerin girmesini geçici olarak engelledi. Ancak saldırgan, 26 Ekim'de bağımsız olarak işletilen bir relayer kullanarak, geliştiricilerin OpenGov aracılığıyla güvenlik yükseltmesini uygulamasından yaklaşık altı saat önce istismarı yeniden başlattı. Snowbridge, bağımsız katılımcıların relayer çalıştırmasına izin verdiğinden, Snowfork, kendi altyapısını askıya alabildi ancak saldırganın erişimini kalıcı olarak engelleyemedi.
Parity, 26 Ekim'de runtime yükseltmesi 2.5.1 ile açıklığı giderdi ve etkilenen havuzun kalan likiditesini geri kazandı. 30 Ekim'de yapılan başka bir yükseltme, bireysel hesap bakiyelerini değiştirmeden dotUSD'nin arz kayıtlarını onardı. 30 Ekim'deki yükseltme, Snowbridge'i kesen ayrı bir sorunu da düzeltti. Geri kazanılan dotUSD, Hazine'ye geri gönderildi. Ancak yapay fiyatlarla yapılan işlemelerden kaynaklanan kayıplar devam etti.
Parity, şirketin güvenlik prosedürlerinin yeni ağ işlevselliğinden kaynaklanan değişen riskleri tespit edemediğini kabul etti. Parity, şirketin zafiyet değerlendirmelerini iyileştireceğini, dağıtım doğrulamasını güçlendireceğini ve anormal varlık çıkışı için izlemeyi genişleteceğini söyledi. Parity, geliştirme sürecinde potansiyel olarak istismar edilebilir kod değişikliklerini daha erken tespit etmeyi amaçlayan otomatikleştirilmiş bir AI tabanlı güvenlik çerçevesini geliştiriyor. Parity, dotUSD'den kaynaklanan riskler için daha önce bildirilen zafiyetleri de gözden geçiriyor.
Polkadot, bir hakerin sabitlenen güvenlik açıklarından yararlanmasının ardından 1,38 milyon ABD doları kaybetti
CryptoSlatePaylaş
Özet
Polkadot'ın hazinesi, dört ay önce düzeltilen bilinen bir zafiyeti kullanan bir hacker tarafından 1,38 milyon dolar kaybetti. Saldırı, Polkadot Asset Hub'un çapraz zincir mesajlaşma sistemini hedef aldı, dotUSD arz dengesizliğine neden oldu ve arbitrajı mümkün kıldı. Parity Technologies, bu hatalı durumun başlangıçta orta olarak değerlendirildiğini, ancak ihlalden sonra kritik olarak yükseltildiğini doğruladı. Haziran'da yapılan düzeltme, canlı sistemlere uygulanmamıştı. Likiditeyi geri kazanmak ve CFT ile MiCA uyumluluk gerekliliklerine uyum sağlamak için runtime yükseltmeleri uygulandı.
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir.
Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.