Kho bạc của Polkadot đã mất 1,38 triệu USD sau khi một kẻ tấn công khai thác lỗ hổng mà các nhà phát triển đã sửa chữa bốn tháng trước đó. Parity Technologies tiết lộ trong báo cáo sự cố ngày 2 tháng 11 rằng bản sửa đổi mã vào tháng Sáu chưa được triển khai đến các hệ thống sản xuất bị ảnh hưởng trước cuộc tấn công từ ngày 24 đến 26 tháng Mười. Parity phát triển cơ sở hạ tầng blockchain cho các hệ sinh thái Polkadot và Kusama.
Kẻ tấn công đã thay đổi hồ sơ cung thông qua hệ thống nhắn tin liên chuỗi của Polkadot Asset Hub, làm giảm lượng cung được ghi nhận của dotUSD trong khi số dư token của người dùng không thay đổi. Sự không khớp này đã làm gián đoạn định giá trong pool thanh khoản DOT/dotUSD, cho phép các nhà giao dịch nhận DOT bằng dotUSD với tỷ lệ bị bóp méo nhân tạo. Quỹ kho bạc chịu tổn thất khoảng 1,381 triệu USD với tư cách là nhà cung cấp thanh khoản duy nhất của pool. Parity cho biết người dùng không bị mất tiền và dotUSD vẫn được đảm bảo đầy đủ bằng USDT. Tuy nhiên, Parity không thể xác định liệu kẻ khai thác có cũng hưởng lợi từ các giao dịch chênh lệch giá sau đó hay không.
dotUSD, stablecoin phi tập trung của Polkadot, đã bắt đầu hoạt động vào tháng Mười dưới sự quản lý của tổ chức tự trị phi tập trung (DAO) của mạng lưới. dotUSD được thiết kế mà không có bên phát hành trung tâm, khác với các stablecoin do các công ty tư nhân phát hành. Người nắm giữ DOT quản lý các quyết định liên quan đến dotUSD thông qua OpenGov. Parity ban đầu đánh giá lỗ hổng này ở mức độ nghiêm trọng trung bình vì đánh giá không bao gồm các tương tác có thể xảy ra với dotUSD, vốn chưa được ra mắt. Parity đã nâng mức độ đánh giá lên mức nghiêm trọng cực độ sau khi cuộc tấn công cho thấy tác động tài chính.
Nhà nghiên cứu bảo mật đầu tiên báo cáo lỗ hổng đã đăng một bình luận trên diễn đàn đề cập đến bản sửa lỗi vào ngày 20 tháng Mười. Parity cho biết nhà nghiên cứu đã xóa bình luận sau khi nhận thông báo rằng việc tiết lộ này vi phạm các quy định về chương trình phần thưởng lỗi của Parity. Parity tin rằng bình luận có thể đã cung cấp đủ thông tin để các kẻ tấn công phát hiện và khai thác lỗ hổng.
Snowfork đã ngừng hoạt động các relayer đồng thuận của công ty sau khi phát hiện hoạt động khả nghi vào ngày 24 tháng Mười. Việc ngừng hoạt động này tạm thời ngăn chặn các giao dịch độc hại bổ sung xâm nhập vào Polkadot thông qua Snowbridge. Tuy nhiên, kẻ tấn công đã sử dụng một relayer được vận hành độc lập vào ngày 26 tháng Mười để khôi phục cuộc khai thác, khoảng sáu giờ trước khi các nhà phát triển triển khai bản nâng cấp bảo mật thông qua OpenGov. Snowbridge cho phép các bên tham gia độc lập vận hành relayer, do đó Snowfork có thể tạm ngừng cơ sở hạ tầng của chính mình nhưng không thể từ chối vĩnh viễn quyền truy cập của kẻ tấn công.
Parity đã loại bỏ lỗ hổng bằng bản nâng cấp thời gian chạy 2.5.1 vào ngày 26 tháng Mười và khôi phục lượng thanh khoản còn lại của hồ sơ bị ảnh hưởng. Một bản nâng cấp khác vào ngày 30 tháng Mười đã sửa chữa các bản ghi cung cấp dotUSD mà không thay đổi số dư của từng tài khoản. Bản nâng cấp ngày 30 tháng Mười cũng khắc phục một vấn đề riêng biệt đã làm gián đoạn Snowbridge. Số dotUSD được khôi phục đã được chuyển trở lại Kho bạc. Tuy nhiên, các tổn thất do giao dịch ở mức giá nhân tạo vẫn còn tồn tại.
Parity thừa nhận rằng các thủ tục bảo mật của công ty chưa ghi nhận được những rủi ro thay đổi từ các tính năng mạng mới. Parity cho biết công ty sẽ cải thiện đánh giá lỗ hổng, tăng cường xác minh triển khai và mở rộng giám sát việc phát hành tài sản bất thường. Parity đang tinh chỉnh một khung bảo mật tự động dựa trên AI nhằm phát hiện sớm các thay đổi mã có thể bị khai thác trong quá trình phát triển. Parity cũng đang xem xét lại các lỗ hổng đã được báo cáo trước đó để đánh giá rủi ro phát sinh từ dotUSD.
Polkadot mất 1,38 triệu USD sau khi tin tặc khai thác lỗ hổng bảo mật đã được sửa cố định
CryptoSlateChia sẻ
Tóm tắt
Kho bạc của Polkadot đã mất 1,38 triệu USD sau khi một tin tặc khai thác lỗ hổng đã được vá cách đây bốn tháng. Cuộc tấn công nhắm vào hệ thống nhắn tin liên chuỗi của Polkadot Asset Hub, gây mất cân đối nguồn cung dotUSD và tạo điều kiện cho hoạt động arbitrage. Parity Technologies xác nhận lỗ hổng ban đầu được đánh giá ở mức trung bình nhưng sau đó được nâng lên mức nghiêm trọng sau vụ xâm nhập. Bản vá từ tháng Sáu chưa được triển khai lên các hệ thống đang hoạt động. Các bản nâng cấp runtime đã được thực hiện để khôi phục thanh khoản và tuân thủ các yêu cầu về tuân thủ CFT và MiCA.
Nguồn:Hiển thị bản gốc
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể được lấy từ bên thứ ba và không nhất thiết phản ánh quan điểm hoặc ý kiến của KuCoin. Nội dung này chỉ được cung cấp cho mục đích thông tin chung, không có bất kỳ đại diện hay bảo đảm nào dưới bất kỳ hình thức nào và cũng không được hiểu là lời khuyên tài chính hay đầu tư. KuCoin sẽ không chịu trách nhiệm về bất kỳ sai sót hoặc thiếu sót nào hoặc về bất kỳ kết quả nào phát sinh từ việc sử dụng thông tin này.
Việc đầu tư vào tài sản kỹ thuật số có thể tiềm ẩn nhiều rủi ro. Vui lòng đánh giá cẩn thận rủi ro của sản phẩm và khả năng chấp nhận rủi ro của bạn dựa trên hoàn cảnh tài chính của chính bạn. Để biết thêm thông tin, vui lòng tham khảo Điều khoản sử dụng và Tiết lộ rủi ro của chúng tôi.