Polkadot kehilangan $1.381M karena sebuah patch sudah siap, tetapi tidak pernah diterapkan ke mainnet.
Penilaian ulang yang dipublikasikan di forum Polkadot mengungkapkan bahwa kerentanan XCM di Asset Hub dieksploitasi antara 24–26 Oktober.
Berikut yang terjadi:
Penyerang memanipulasi pasokan akuntansi dotUSD tanpa mengubah saldo akun yang sebenarnya.
Hal ini mendistorsi valuasi pasangan perdagangan DOT/dotUSD, sehingga menciptakan peluang arbitrase.
Kerugian diperkirakan mencapai $1,381 juta dalam bentuk DOT.
Treasury Polkadot adalah satu-satunya penyedia likuiditas untuk pasangan tersebut, sehingga dana pengguna tidak mengalami kerugian modal secara langsung.
Detail yang paling mengkhawatirkan? Kerentanan tersebut kabarnya telah dilaporkan melalui program bug bounty pada bulan Juni. Kode terkait sudah diperbaiki, tetapi patch-nya tidak sempat diterapkan ke versi mainnet yang terdampak.
Pada 20 Oktober, pelapor menyebutkan patch tersebut secara terbuka di forum, yang berpotensi memberi petunjuk kepada para penyerang.
Sudut pandang pasar: Insiden ini menyoroti kesenjangan antara memperbaiki kerentanan dalam kode dan benar-benar mengamankan jaringan yang sedang beroperasi. Patch yang tidak pernah sampai ke mainnet hanyalah selembar dokumen yang sangat mahal.
Kodenya sudah diperbaiki. Penerapannya belum.
Berapa banyak lagi kerentanan yang masih menunggu di balik patch yang belum diterapkan?
Penilaian ulang yang dipublikasikan di forum Polkadot mengungkapkan bahwa kerentanan XCM di Asset Hub dieksploitasi antara 24–26 Oktober.
Berikut yang terjadi:
Penyerang memanipulasi pasokan akuntansi dotUSD tanpa mengubah saldo akun yang sebenarnya.
Hal ini mendistorsi valuasi pasangan perdagangan DOT/dotUSD, sehingga menciptakan peluang arbitrase.
Kerugian diperkirakan mencapai $1,381 juta dalam bentuk DOT.
Treasury Polkadot adalah satu-satunya penyedia likuiditas untuk pasangan tersebut, sehingga dana pengguna tidak mengalami kerugian modal secara langsung.
Detail yang paling mengkhawatirkan? Kerentanan tersebut kabarnya telah dilaporkan melalui program bug bounty pada bulan Juni. Kode terkait sudah diperbaiki, tetapi patch-nya tidak sempat diterapkan ke versi mainnet yang terdampak.
Pada 20 Oktober, pelapor menyebutkan patch tersebut secara terbuka di forum, yang berpotensi memberi petunjuk kepada para penyerang.
Sudut pandang pasar: Insiden ini menyoroti kesenjangan antara memperbaiki kerentanan dalam kode dan benar-benar mengamankan jaringan yang sedang beroperasi. Patch yang tidak pernah sampai ke mainnet hanyalah selembar dokumen yang sangat mahal.
Kodenya sudah diperbaiki. Penerapannya belum.
Berapa banyak lagi kerentanan yang masih menunggu di balik patch yang belum diterapkan?
