A Polkadot perdeu US$ 1.381M porque um patch estava pronto, mas nunca chegou à mainnet.
Uma reavaliação publicada no fórum da Polkadot revelou que uma vulnerabilidade de XCM na Asset Hub foi explorada entre 24 e 26 de outubro.
Veja o que aconteceu:
O invasor manipulou a oferta contábil de dotUSD sem alterar os saldos reais das contas.
Isso distorceu a avaliação do par de negociação DOT/dotUSD, criando uma oportunidade de arbitragem.
O prejuízo estimado chegou a US$ 1,381 milhão em DOT.
O Tesouro da Polkadot era o único provedor de liquidez do par, então os fundos dos usuários não sofreram perdas diretas de capital.
O detalhe mais preocupante? A vulnerabilidade teria sido enviada pelo programa de recompensa por bugs em junho. O código relacionado foi corrigido, mas o patch não foi implantado a tempo na versão afetada da mainnet.
Em 20 de outubro, o responsável pelo relato mencionou publicamente o patch no fórum, possivelmente dando uma pista aos invasores.
Perspectiva de mercado: Este incidente destaca a diferença entre corrigir uma vulnerabilidade no código e realmente proteger uma rede em operação. Um patch que nunca chega à mainnet é apenas um pedaço de papelada muito caro.
O código foi corrigido. A implantação não aconteceu.
Quantas outras vulnerabilidades estão por trás de um patch que ainda não foi implantado?
Uma reavaliação publicada no fórum da Polkadot revelou que uma vulnerabilidade de XCM na Asset Hub foi explorada entre 24 e 26 de outubro.
Veja o que aconteceu:
O invasor manipulou a oferta contábil de dotUSD sem alterar os saldos reais das contas.
Isso distorceu a avaliação do par de negociação DOT/dotUSD, criando uma oportunidade de arbitragem.
O prejuízo estimado chegou a US$ 1,381 milhão em DOT.
O Tesouro da Polkadot era o único provedor de liquidez do par, então os fundos dos usuários não sofreram perdas diretas de capital.
O detalhe mais preocupante? A vulnerabilidade teria sido enviada pelo programa de recompensa por bugs em junho. O código relacionado foi corrigido, mas o patch não foi implantado a tempo na versão afetada da mainnet.
Em 20 de outubro, o responsável pelo relato mencionou publicamente o patch no fórum, possivelmente dando uma pista aos invasores.
Perspectiva de mercado: Este incidente destaca a diferença entre corrigir uma vulnerabilidade no código e realmente proteger uma rede em operação. Um patch que nunca chega à mainnet é apenas um pedaço de papelada muito caro.
O código foi corrigido. A implantação não aconteceu.
Quantas outras vulnerabilidades estão por trás de um patch que ainda não foi implantado?
