Казначейство Polkadot втратило $1,38 млн після того, як нападник використав уразливість, яку розробники виправили чотири місяці тому. Parity Technologies повідомила у звіті про інцидент від 2 листопада, що виправлення коду в червні не було застосоване до вплинутих виробничих систем до атаки з 24 по 26 жовтня. Parity розробляє інфраструктуру блокчейн для екосистем Polkadot і Kusama.
Зловмисник змінив записи про пропозицію через систему міжланцюгової передачі повідомлень Polkadot Asset Hub, зменшивши зареєстровану пропозицію dotUSD, залишивши баланси користувачів на незмінному рівні. Ця невідповідність порушила ціноутворення у ліквідній парі DOT/dotUSD, дозволивши трейдерам отримувати DOT за штучно спотвореними курсами. Казначейство понесло збитки приблизно на $1,381 мільйона як єдиний постачальник ліквідності. Parity зазначила, що користувачі не зазнали втрат коштів, а dotUSD зберіг повне забезпечення USDT. Однак Parity не змогла визначити, чи отримав експлуататор також прибуток від арбітражних угод, що відбулися після цього.
dotUSD, децентралізований стейблкоїн Polkadot, почав функціонувати в жовтні під керівництвом децентралізованої автономної організації (DAO) мережі. dotUSD був розроблений без центрального випускача, на відміну від стейблкоїнів, випущених приватними компаніями. Власники DOT керують рішеннями щодо dotUSD через OpenGov. Спочатку Parity оцінила вразливість як середньої важливості, оскільки оцінка не враховувала можливі взаємодії з dotUSD, який ще не був запущений. Parity підвищила рівень важливості до критичного після того, як атака продемонструвала фінансовий вплив.
Дослідник безпеки, який першим повідомив про вразливість, опублікував коментар на форумі з посиланням на виправлення коду 20 жовтня. Parity заявила, що дослідник видалив цей коментар після отримання повідомлення про те, що розголошення порушує правила баг-баунті Parity. Parity вважає, що цей коментар міг надати достатньо інформації для того, щоб атакуючі виявили та експлуатували цю вразливість.
Snowfork припинив функціонування консенсусних релейерів компанії після виявлення підозрілої діяльності 24 жовтня. Зупинка тимчасово запобігла надходженню додаткових шкідливих транзакцій до Polkadot через Snowbridge. Однак атакувач використав незалежно керований релейер 26 жовтня, щоб відновити експлуатацію приблизно за шість годин до того, як розробники впровадили оновлення безпеки через OpenGov. Snowbridge дозволяє незалежним учасникам запускати релейери, тому Snowfork міг призупинити власну інфраструктуру, але не міг постійно заборонити атакувачеві доступ.
Parity усунула вразливість за допомогою оновлення в робочий час 2.5.1 26 жовтня та відновила залишкову ліквідність постраждалого пулу. Інше оновлення 30 жовтня виправило записи пропозиції dotUSD, не змінюючи баланси окремих акаунтів. Оновлення 30 жовтня також виправило окрему проблему, яка призупинила Snowbridge. Відновлені dotUSD були повернені до скарбниці. Однак збитки, спричинені торгівлею за штучними цінами, залишилися.
Parity визнала, що процедури безпеки компанії не відстежували зміни ризиків, пов’язані з новими функціями мережі. Parity заявила, що компанія покращить оцінку вразливостей, посилить перевірку розгортання та розширить моніторинг незвичайного випуску активів. Parity удосконалює автоматизовану безпекову систему на основі ШІ, призначену для раннього виявлення потенційно експлуатованих змін у коді під час розробки. Parity також перевіряє раніше повідомлені вразливості на предмет ризиків, пов’язаних з dotUSD.
Polkadot втратила $1,38 млн після того, як хакер використав виправлену безпекову вразливість
CryptoSlateПоділитися
Короткий зміст
Казначейство Polkadot втратило 1,38 мільйона доларів після того, як хакер використав відому вразливість, яка була виправлена чотири місяці тому. Атака була спрямована на систему міжланцюгової обмінної комунікації Polkadot Asset Hub, що призвело до дисбалансу пропозиції dotUSD і дозволило арбітраж. Parity Technologies підтвердила, що спочатку ця вразливість була оцінена як середня, але після вторгнення її рівень був підвищений до критичного. Виправлення від червня не було застосоване до робочих систем. Після цього були впроваджені оновлення рантайму для відновлення ліквідності та відповідності вимогам CFT та MiCA.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.