Polkadot a perdu 1,381 million de dollars parce qu’un correctif était prêt, mais n’a jamais été déployé sur le réseau principal.
Une réévaluation publiée sur le forum de Polkadot a révélé qu’une vulnérabilité XCM sur Asset Hub avait été exploitée entre le 24 et le 26 octobre.
Voici ce qui s’est passé :
L’attaquant a manipulé l’offre comptabilisée de dotUSD sans modifier les soldes réels des comptes.
Cela a faussé la valorisation de la paire de trading DOT/dotUSD, créant une possibilité d’arbitrage.
Les dommages estimés ont atteint l’équivalent de 1,381 million de dollars en DOT.
La trésorerie de Polkadot était le seul fournisseur de liquidités de cette paire ; les fonds des utilisateurs n’ont donc pas subi de pertes directes.
Le détail le plus préoccupant ? La vulnérabilité aurait été signalée en juin dans le cadre du programme de chasse aux bogues. Le code concerné a été corrigé, mais le correctif n’a pas été déployé à temps sur la version du réseau principal touchée.
Le 20 octobre, la personne ayant signalé la vulnérabilité a publiquement mentionné le correctif sur le forum, donnant potentiellement un indice aux attaquants.
Point de vue du marché : cet incident met en évidence l’écart entre la correction d’une vulnérabilité dans le code et la sécurisation effective d’un réseau en production. Un correctif qui n’arrive jamais sur le réseau principal, c’est simplement de la paperasse très coûteuse.
Le code a été corrigé. Le déploiement, lui, n’a pas eu lieu.
Combien d’autres vulnérabilités se cachent derrière un correctif qui n’a pas encore été déployé ?
Une réévaluation publiée sur le forum de Polkadot a révélé qu’une vulnérabilité XCM sur Asset Hub avait été exploitée entre le 24 et le 26 octobre.
Voici ce qui s’est passé :
L’attaquant a manipulé l’offre comptabilisée de dotUSD sans modifier les soldes réels des comptes.
Cela a faussé la valorisation de la paire de trading DOT/dotUSD, créant une possibilité d’arbitrage.
Les dommages estimés ont atteint l’équivalent de 1,381 million de dollars en DOT.
La trésorerie de Polkadot était le seul fournisseur de liquidités de cette paire ; les fonds des utilisateurs n’ont donc pas subi de pertes directes.
Le détail le plus préoccupant ? La vulnérabilité aurait été signalée en juin dans le cadre du programme de chasse aux bogues. Le code concerné a été corrigé, mais le correctif n’a pas été déployé à temps sur la version du réseau principal touchée.
Le 20 octobre, la personne ayant signalé la vulnérabilité a publiquement mentionné le correctif sur le forum, donnant potentiellement un indice aux attaquants.
Point de vue du marché : cet incident met en évidence l’écart entre la correction d’une vulnérabilité dans le code et la sécurisation effective d’un réseau en production. Un correctif qui n’arrive jamais sur le réseau principal, c’est simplement de la paperasse très coûteuse.
Le code a été corrigé. Le déploiement, lui, n’a pas eu lieu.
Combien d’autres vulnérabilités se cachent derrière un correctif qui n’a pas encore été déployé ?
