Polkadot perdió $1.381M porque había un parche listo, pero nunca llegó a la red principal.
Una reevaluación publicada en el foro de Polkadot reveló que se explotó una vulnerabilidad de XCM en Asset Hub entre el 24 y el 26 de octubre.
Esto es lo que ocurrió:
El atacante manipuló el suministro contable de dotUSD sin cambiar los saldos reales de las cuentas.
Esto distorsionó la valoración del par de trading DOT/dotUSD y creó una oportunidad de arbitraje.
Los daños estimados alcanzaron un valor de $1.381 millones en DOT.
Polkadot Treasury era el único proveedor de liquidez del par, por lo que los fondos de los usuarios no sufrieron pérdidas directas de capital.
¿El detalle más preocupante? Según se informa, la vulnerabilidad se había reportado a través del programa de recompensas por errores en junio. El código relacionado se corrigió, pero el parche no se implementó a tiempo en la versión afectada de la red principal.
El 20 de octubre, quien reportó la vulnerabilidad mencionó públicamente el parche en el foro, lo que potencialmente pudo dar una pista a los atacantes.
Perspectiva de mercado: Este incidente pone de relieve la brecha entre corregir una vulnerabilidad en el código y proteger realmente una red activa. Un parche que nunca llega a la red principal no es más que un papeleo muy costoso.
El código se corrigió. El parche no se implementó.
¿Cuántas vulnerabilidades más esperan detrás de un parche que aún no se ha implementado?
Una reevaluación publicada en el foro de Polkadot reveló que se explotó una vulnerabilidad de XCM en Asset Hub entre el 24 y el 26 de octubre.
Esto es lo que ocurrió:
El atacante manipuló el suministro contable de dotUSD sin cambiar los saldos reales de las cuentas.
Esto distorsionó la valoración del par de trading DOT/dotUSD y creó una oportunidad de arbitraje.
Los daños estimados alcanzaron un valor de $1.381 millones en DOT.
Polkadot Treasury era el único proveedor de liquidez del par, por lo que los fondos de los usuarios no sufrieron pérdidas directas de capital.
¿El detalle más preocupante? Según se informa, la vulnerabilidad se había reportado a través del programa de recompensas por errores en junio. El código relacionado se corrigió, pero el parche no se implementó a tiempo en la versión afectada de la red principal.
El 20 de octubre, quien reportó la vulnerabilidad mencionó públicamente el parche en el foro, lo que potencialmente pudo dar una pista a los atacantes.
Perspectiva de mercado: Este incidente pone de relieve la brecha entre corregir una vulnerabilidad en el código y proteger realmente una red activa. Un parche que nunca llega a la red principal no es más que un papeleo muy costoso.
El código se corrigió. El parche no se implementó.
¿Cuántas vulnerabilidades más esperan detrás de un parche que aún no se ha implementado?
