Polkadot потеряла $1.381M, потому что патч был готов, но так и не попал в мейннет.
Повторная оценка, опубликованная на форуме Polkadot, показала, что уязвимость XCM на Asset Hub использовалась в период с 24 по 26 октября.
Вот что произошло:
Злоумышленник манипулировал учётным предложением dotUSD, не меняя фактические балансы счетов.
Это исказило оценку торговой пары DOT/dotUSD и создало возможность для арбитража.
Ущерб оценивается в $1.381 миллиона в DOT.
Единственным поставщиком ликвидности для этой пары была казна Polkadot, поэтому пользователи не понесли прямых финансовых потерь.
Самая тревожная деталь? Сообщается, что об уязвимости рассказали в рамках программы вознаграждения за обнаружение ошибок ещё в июне. Связанный с ней код исправили, но патч не успели развернуть в затронутой версии мейннета.
20 октября сообщивший об уязвимости публично упомянул патч на форуме, потенциально дав злоумышленникам подсказку.
Взгляд на рынок: Этот инцидент показывает разрыв между исправлением уязвимости в коде и реальной защитой работающей сети. Патч, который так и не попал в мейннет, — просто очень дорогая бумажная работа.
Код исправили. А обновление не установили.
Сколько ещё уязвимостей скрывается за патчами, которые пока так и не были установлены?
Повторная оценка, опубликованная на форуме Polkadot, показала, что уязвимость XCM на Asset Hub использовалась в период с 24 по 26 октября.
Вот что произошло:
Злоумышленник манипулировал учётным предложением dotUSD, не меняя фактические балансы счетов.
Это исказило оценку торговой пары DOT/dotUSD и создало возможность для арбитража.
Ущерб оценивается в $1.381 миллиона в DOT.
Единственным поставщиком ликвидности для этой пары была казна Polkadot, поэтому пользователи не понесли прямых финансовых потерь.
Самая тревожная деталь? Сообщается, что об уязвимости рассказали в рамках программы вознаграждения за обнаружение ошибок ещё в июне. Связанный с ней код исправили, но патч не успели развернуть в затронутой версии мейннета.
20 октября сообщивший об уязвимости публично упомянул патч на форуме, потенциально дав злоумышленникам подсказку.
Взгляд на рынок: Этот инцидент показывает разрыв между исправлением уязвимости в коде и реальной защитой работающей сети. Патч, который так и не попал в мейннет, — просто очень дорогая бумажная работа.
Код исправили. А обновление не установили.
Сколько ещё уязвимостей скрывается за патчами, которые пока так и не были установлены?
