Polkadot mất 1,381 triệu USD vì bản vá đã sẵn sàng nhưng chưa bao giờ được triển khai lên mạng chính.

Một đánh giá lại được đăng trên diễn đàn Polkadot tiết lộ rằng một lỗ hổng XCM trên Asset Hub đã bị khai thác trong khoảng thời gian từ ngày 24 đến 26 tháng 10.

Chuyện đã xảy ra như sau:

Kẻ tấn công thao túng nguồn cung dotUSD ghi nhận trên sổ sách mà không thay đổi số dư thực tế trong các tài khoản.

Điều này làm sai lệch định giá của cặp giao dịch DOT/dotUSD, tạo ra cơ hội kinh doanh chênh lệch giá.

Thiệt hại ước tính lên tới 1,381 triệu USD tính theo giá trị DOT.

Kho bạc Polkadot là nhà cung cấp thanh khoản duy nhất cho cặp giao dịch này, vì vậy tiền của người dùng không chịu tổn thất vốn trực tiếp.

Chi tiết đáng lo ngại nhất? Theo báo cáo, lỗ hổng đã được gửi qua chương trình săn lỗi hồi tháng 6. Mã liên quan đã được sửa, nhưng bản vá không được triển khai kịp thời lên phiên bản mạng chính bị ảnh hưởng.

Ngày 20 tháng 10, người báo cáo công khai nhắc đến bản vá trên diễn đàn, qua đó có thể đã để lộ manh mối cho những kẻ tấn công.

Góc nhìn thị trường: Sự việc này cho thấy khoảng cách giữa việc sửa một lỗ hổng trong mã nguồn và thực sự bảo vệ một mạng lưới đang hoạt động. Bản vá không bao giờ được đưa lên mạng chính chẳng khác nào một mớ giấy tờ vô cùng đắt đỏ.

Mã nguồn đã được sửa. Bản vá thì chưa được triển khai.

Còn bao nhiêu lỗ hổng nữa đang chờ phía sau những bản vá vẫn chưa được triển khai?