Le trésor de Polkadot a essuyé environ 1,381 million de dollars de pertes après qu’un attaquant a exploité une vulnérabilité corrigée par les développeurs en juin, mais dont le correctif n’a jamais été déployé sur les systèmes de production concernés. L’attaque, menée du 24 au 26 octobre, a visé dotUSD, le nouveau stablecoin décentralisé de Polkadot, et s’est poursuivie après qu’une mesure d’urgence a interrompu l’une des voies d’accès au réseau.
Pourquoi c’est important
La vulnérabilité avait d’abord été jugée de gravité moyenne, car l’évaluation n’avait pas pris en compte la façon dont elle pouvait interagir avec dotUSD, lancé en octobre. Après que l’exploit a révélé ses conséquences financières, Parity Technologies a reclassé le problème comme critique. L’incident montre comment de nouvelles fonctionnalités réseau peuvent modifier le risque posé par un bug connu, et qu’un correctif n’offre aucune protection tant qu’il n’est pas déployé en production.
L’attaquant a manipulé le système de messagerie interchaînes de Polkadot Asset Hub afin de réduire l’offre enregistrée de dotUSD sans retirer de jetons des comptes des utilisateurs. Cet écart a faussé les prix dans le pool de liquidité DOT/dotUSD, permettant des échanges à des taux artificiels. Le trésor était le seul fournisseur de liquidité du pool et a supporté les pertes.
Impact sur le marché
Parity a indiqué qu’aucun utilisateur n’avait perdu de fonds et que dotUSD était resté entièrement adossé à USDT. L’entreprise n’a pas pu déterminer si l’attaquant avait également tiré profit de l’arbitrage qui a suivi. Snowfork a suspendu ses propres relais de consensus après avoir détecté une activité suspecte, mais un relais indépendant a repris l’exploit le 26 octobre, environ six heures avant l’entrée en vigueur d’une mise à niveau de sécurité d’OpenGov.
La mise à niveau du runtime 2.5.1 a corrigé la vulnérabilité et récupéré les liquidités restantes du pool. Une deuxième mise à niveau, le 30 octobre, a corrigé l’offre enregistrée de dotUSD sans modifier les soldes des comptes et a résolu un autre problème lié à Snowbridge. Parity indique renforcer ses évaluations des vulnérabilités, ses vérifications du déploiement des correctifs et sa surveillance des émissions inhabituelles d’actifs.
Questions fréquemment posées
-
Comment l’exploit de Polkadot a-t-il causé des pertes au trésor ?
L’attaquant a manipulé la messagerie interchaînes pour réduire l’offre enregistrée de dotUSD sans retirer de jetons des comptes des utilisateurs. Cet écart a faussé les prix dans le pool DOT/dotUSD, et le trésor a supporté les pertes liées aux échanges en tant que seul fournisseur de liquidité.
-
Pourquoi une vulnérabilité corrigée en juin pouvait-elle encore être exploitée ?
Le correctif n’a jamais été déployé sur les systèmes de production concernés. Parity avait d’abord jugé la faille de gravité moyenne, car son évaluation n’avait pas pris en compte la façon dont elle pouvait interagir avec dotUSD.
-
Les utilisateurs de Polkadot ont-ils perdu des fonds ou dotUSD n’était-il plus adossé ?
Parity a indiqué qu’aucun utilisateur n’avait perdu de fonds et que dotUSD était resté entièrement adossé à USDT. Le trésor a essuyé environ 1,381 million de dollars de pertes liées aux opérations dans le pool de liquidité concerné.
-
Pourquoi l’arrêt des relais de Snowfork n’a-t-il pas stoppé l’attaque ?
La mesure a interrompu les propres relais de consensus de Snowfork, mais Snowbridge permet à des participants indépendants d’exploiter des relais. Un attaquant utilisant un relais indépendant a repris l’exploit.
-
Qu’ont changé les mises à niveau de Polkadot après l’attaque ?
La mise à niveau du runtime 2.5.1 a corrigé la vulnérabilité et récupéré les liquidités restantes du pool. Une mise à niveau ultérieure a corrigé l’offre enregistrée de dotUSD sans modifier les soldes des comptes individuels et a résolu un autre problème lié à Snowbridge.
TheBlock
WatcherGuru
CoinDesk
WuBlockchain