Polkadot verlor DOT im Wert von 1,381 Millionen US-Dollar, weil ein Patch zwar fertig war, es aber nie ins Mainnet schaffte.
Eine im Polkadot-Forum veröffentlichte Neubewertung ergab, dass eine XCM-Sicherheitslücke auf Asset Hub zwischen dem 24. und 26. Oktober ausgenutzt wurde.
Das ist passiert:
Der Angreifer manipulierte den buchhalterischen Bestand von dotUSD, ohne die tatsächlichen Kontostände zu verändern.
Dadurch wurde die Bewertung des Handelspaars DOT/dotUSD verzerrt und eine Arbitragemöglichkeit geschaffen.
Der geschätzte Schaden belief sich auf DOT im Wert von 1,381 Millionen US-Dollar.
Die Polkadot-Treasury war der einzige Liquiditätsanbieter des Paars, sodass die Gelder der Nutzer keine direkten Kapitalverluste erlitten.
Was ist das Beunruhigendste daran? Berichten zufolge war die Sicherheitslücke bereits im Juni über das Bug-Bounty-Programm gemeldet worden. Der betreffende Code wurde korrigiert, doch der Patch wurde nicht rechtzeitig für die betroffene Mainnet-Version bereitgestellt.
Am 20. Oktober erwähnte der meldende Nutzer den Patch öffentlich im Forum und gab Angreifern damit möglicherweise einen Hinweis.
Marktperspektive: Dieser Vorfall verdeutlicht die Lücke zwischen der Behebung einer Sicherheitslücke im Code und dem tatsächlichen Schutz eines aktiven Netzwerks. Ein Patch, der es nie ins Mainnet schafft, ist nichts weiter als ein sehr teures Stück Papierkram.
Der Code wurde korrigiert. Die Bereitstellung nicht.
Wie viele weitere Sicherheitslücken stecken wohl hinter einem Patch, der noch nicht bereitgestellt wurde?
Eine im Polkadot-Forum veröffentlichte Neubewertung ergab, dass eine XCM-Sicherheitslücke auf Asset Hub zwischen dem 24. und 26. Oktober ausgenutzt wurde.
Das ist passiert:
Der Angreifer manipulierte den buchhalterischen Bestand von dotUSD, ohne die tatsächlichen Kontostände zu verändern.
Dadurch wurde die Bewertung des Handelspaars DOT/dotUSD verzerrt und eine Arbitragemöglichkeit geschaffen.
Der geschätzte Schaden belief sich auf DOT im Wert von 1,381 Millionen US-Dollar.
Die Polkadot-Treasury war der einzige Liquiditätsanbieter des Paars, sodass die Gelder der Nutzer keine direkten Kapitalverluste erlitten.
Was ist das Beunruhigendste daran? Berichten zufolge war die Sicherheitslücke bereits im Juni über das Bug-Bounty-Programm gemeldet worden. Der betreffende Code wurde korrigiert, doch der Patch wurde nicht rechtzeitig für die betroffene Mainnet-Version bereitgestellt.
Am 20. Oktober erwähnte der meldende Nutzer den Patch öffentlich im Forum und gab Angreifern damit möglicherweise einen Hinweis.
Marktperspektive: Dieser Vorfall verdeutlicht die Lücke zwischen der Behebung einer Sicherheitslücke im Code und dem tatsächlichen Schutz eines aktiven Netzwerks. Ein Patch, der es nie ins Mainnet schafft, ist nichts weiter als ein sehr teures Stück Papierkram.
Der Code wurde korrigiert. Die Bereitstellung nicht.
Wie viele weitere Sicherheitslücken stecken wohl hinter einem Patch, der noch nicht bereitgestellt wurde?
