CryptoSlate
Polkadot Hazinesi, geliştiricilerin haziranda düzelttiği ancak etkilenen üretim sistemlerine hiç dağıtılmayan bir güvenlik açığından yararlanan saldırgan nedeniyle yaklaşık 1,381 milyon dolar kayıp yaşadı. 24-26 Ekim'deki saldırı, Polkadot'un yeni kullanıma sunduğu merkeziyetsiz stablecoin dotUSD'yi hedef aldı ve acil bir önlem ağın bir giriş yolunu kesintiye uğrattıktan sonra da sürdü.
Neden önemli
Açık ilk olarak orta önem seviyesinde değerlendirildi; çünkü inceleme, ekim ayında kullanıma sunulan dotUSD ile nasıl etkileşime girebileceğini hesaba katmamıştı. Saldırının mali sonuçları ortaya çıkınca Parity Technologies, açığın önem derecesini kritik seviyeye yükseltti. Olay, ağlara eklenen yeni işlevlerin bilinen bir hatanın riskini değiştirebileceğini ve kod düzeltmesinin üretim ortamına ulaşana kadar koruma sağlamadığını gösteriyor.
Saldırgan, Polkadot Asset Hub'ın zincirler arası mesajlaşma sistemini manipüle ederek kullanıcı hesaplarındaki tokenlara dokunmadan dotUSD'nin kayıtlardaki arzını düşürdü. Bu uyumsuzluk, DOT/dotUSD likidite havuzundaki fiyatları bozarak yapay oranlardan işlem yapılmasını sağladı. Havuzun tek likidite sağlayıcısı olan Hazine kayıpları üstlendi.
Piyasa etkisi
Parity, kullanıcıların fon kaybetmediğini ve dotUSD'nin USDT ile tamamen desteklenmeye devam ettiğini bildirdi. Saldırganın sonraki arbitraj işlemlerinden de kazanç sağlayıp sağlamadığını belirleyemedi. Şüpheli faaliyetlerin ardından Snowfork kendi konsensüs aktarıcılarını durdurdu, ancak bağımsız bir aktarıcı 26 Ekim'de, OpenGov güvenlik yükseltmesinin devreye girmesinden yaklaşık altı saat önce saldırıyı yeniden başlattı.
Runtime yükseltmesi 2.5.1 açığı kapattı ve havuzda kalan likiditeyi kurtardı. 30 Ekim'de yapılan ikinci yükseltme, hesap bakiyelerini değiştirmeden dotUSD'nin kayıtlardaki arzını düzeltti ve Snowbridge'deki ayrı bir sorunu giderdi. Parity, açık değerlendirmelerini, dağıtım kontrollerini ve olağandışı varlık ihracına yönelik izlemeyi sıkılaştırdığını belirtiyor.
Sıkça sorulan sorular
-
Polkadot saldırısı Hazine'nin kayıp yaşamasına nasıl yol açtı?
Saldırgan, kullanıcı hesaplarındaki tokenları almadan dotUSD'nin kayıtlardaki arzını düşürmek için zincirler arası mesajlaşmayı manipüle etti. Bu uyumsuzluk DOT/dotUSD havuzundaki fiyatları bozdu ve tek likidite sağlayıcısı olan Hazine işlem kayıplarını üstlendi.
-
Haziranda düzeltilen bir açık neden hâlâ kullanılabildi?
Kod düzeltmesi etkilenen üretim sistemlerine hiç dağıtılmadı. Parity, açığı başlangıçta orta seviyede değerlendirmişti; çünkü incelemede dotUSD ile olası etkileşimi hesaba katılmamıştı.
-
Polkadot kullanıcıları fon kaybetti mi veya dotUSD desteksiz mi kaldı?
Parity, kullanıcıların fon kaybetmediğini ve dotUSD'nin USDT ile tamamen desteklendiğini bildirdi. Etkilenen likidite havuzundaki işlemler nedeniyle yaklaşık 1,381 milyon dolarlık kaybı Hazine üstlendi.
-
Snowfork aktarıcılarını durdurmak saldırıyı neden kesmedi?
Önlem Snowfork'un kendi konsensüs aktarıcılarını durdurdu, ancak Snowbridge bağımsız katılımcıların aktarıcı çalıştırmasına izin veriyor. Bağımsız bir aktarıcı kullanan saldırgan, saldırıyı yeniden başlattı.
-
Saldırıdan sonra Polkadot yükseltmeleri neleri değiştirdi?
Runtime yükseltmesi 2.5.1 açığı kapattı ve havuzda kalan likiditeyi kurtardı. Daha sonraki bir yükseltme, bireysel hesap bakiyelerini değiştirmeden dotUSD'nin kayıtlardaki arzını düzeltti ve Snowbridge'deki ayrı bir sorunu giderdi.
TheBlock
WatcherGuru
CoinDesk
Crypto Rank News