Die Treasury von Polkadot verbuchte Verluste von rund 1,381 Millionen Dollar, nachdem ein Angreifer eine Schwachstelle ausgenutzt hatte, die Entwickler im Juni behoben, aber nie auf den betroffenen Produktivsystemen eingespielt hatten. Der Angriff vom 24. bis 26. Oktober richtete sich gegen dotUSD, den neu gestarteten dezentralen Stablecoin von Polkadot, und ging weiter, nachdem eine Notfallmaßnahme einen Zugangsweg zum Netzwerk unterbrochen hatte.
Warum das wichtig ist
Die Schwachstelle wurde zunächst als mittelschwer eingestuft, weil bei der Bewertung nicht berücksichtigt wurde, wie sie mit dotUSD zusammenwirken könnte, das im Oktober gestartet war. Nachdem der Exploit die finanziellen Folgen offengelegt hatte, stufte Parity Technologies den Fehler als kritisch ein. Der Vorfall zeigt, wie neue Netzwerkfunktionen das Risiko eines bekannten Fehlers verändern können und dass ein Code-Fix erst dann schützt, wenn er in der Produktivumgebung eingesetzt wird.
Der Angreifer manipulierte das Cross-Chain-Nachrichtensystem von Polkadot Asset Hub, um den erfassten Bestand an dotUSD zu verringern, ohne Token aus den Nutzerkonten zu entfernen. Die Abweichung verzerrte die Preise im DOT/dotUSD-Liquiditätspool und ermöglichte Handel zu künstlichen Kursen. Die Treasury war alleinige Liquiditätsanbieterin des Pools und trug die Verluste.
Auswirkungen auf den Markt
Parity zufolge verloren Nutzer kein Geld und dotUSD blieb vollständig durch USDT gedeckt. Das Unternehmen konnte nicht feststellen, ob der Angreifer zusätzlich mit anschließendem Arbitragehandel Gewinne erzielte. Snowfork stellte nach verdächtigen Aktivitäten seine eigenen Konsens-Relayer ein. Ein unabhängiger Relayer setzte den Exploit jedoch am 26. Oktober fort, etwa sechs Stunden bevor ein Sicherheitsupgrade über OpenGov wirksam wurde.
Das Runtime-Upgrade 2.5.1 schloss die Schwachstelle und stellte die verbliebene Liquidität des Pools wieder her. Ein zweites Upgrade am 30. Oktober korrigierte den erfassten dotUSD-Bestand, ohne Kontostände zu verändern, und behob ein separates Problem bei Snowbridge. Parity zufolge verschärft das Unternehmen nun die Schwachstellenbewertungen, Prüfungen der Bereitstellung und die Überwachung ungewöhnlicher Ausgabe von Vermögenswerten.
Häufig gestellte Fragen
-
Wie führte der Polkadot-Exploit zu Verlusten für die Treasury?
Der Angreifer manipulierte die Cross-Chain-Kommunikation und verringerte den erfassten dotUSD-Bestand, ohne Token aus Nutzerkonten zu entfernen. Die Abweichung verzerrte die Preise im DOT/dotUSD-Pool. Als alleinige Liquiditätsanbieterin trug die Treasury die Handelsverluste.
-
Warum ließ sich eine im Juni behobene Schwachstelle noch ausnutzen?
Der Code-Fix wurde nie auf den betroffenen Produktivsystemen eingespielt. Parity hatte den Fehler zunächst als mittelschwer eingestuft, weil bei der Bewertung nicht berücksichtigt wurde, wie er mit dotUSD zusammenwirken könnte.
-
Verloren Polkadot-Nutzer Geld oder war dotUSD nicht mehr gedeckt?
Parity zufolge verloren Nutzer kein Geld und dotUSD blieb vollständig durch USDT gedeckt. Die Treasury verbuchte durch Aktivitäten im betroffenen Liquiditätspool Verluste von rund 1,381 Millionen Dollar.
-
Warum konnte der Angriff trotz des Stopps der Snowfork-Relayer weitergehen?
Die Maßnahme stoppte die eigenen Konsens-Relayer von Snowfork, doch Snowbridge ermöglicht auch unabhängigen Teilnehmern den Betrieb von Relayern. Ein Angreifer setzte den Exploit über einen unabhängigen Relayer fort.
-
Was änderten die Polkadot-Upgrades nach dem Angriff?
Das Runtime-Upgrade 2.5.1 schloss die Schwachstelle und stellte die verbliebene Liquidität des Pools wieder her. Ein späteres Upgrade korrigierte den erfassten dotUSD-Bestand, ohne einzelne Kontostände zu verändern, und behob ein separates Problem bei Snowbridge.
TheBlock
WatcherGuru
CoinDesk
CoinTelegraph
Lookonchain