Polkadot-Treasury verliert 1,38 Mio. $ durch dotUSD-Exploit nach verpasstem Bugfix

Die Treasury von Polkadot verlor zwischen dem 24. Oktober und dem 26. Oktober rund 1,381 Millionen $, nachdem ein Angreifer einen Fehler im Cross-Chain-Messaging ausnutzte, den Entwickler bereits vor Monaten im Code behoben, aber nie in der Produktionsumgebung bereitgestellt hatten.

Die Schwachstelle betraf den Polkadot Asset Hub und dessen Integration mit dotUSD, dem neu eingeführten dezentralen Stablecoin des Netzwerks. Parity Technologies, das den Vorfall in einem Bericht vom 2. November offenlegte, bestätigte, dass der zugrunde liegende Fehler bereits im Juni korrigiert worden war, jedoch eine Release-Frist verpasste und somit unberücksichtigt blieb, als dotUSD im Oktober an den Start ging.

Parity stufte das Problem zunächst als mittelschwer ein, da der Stablecoin zum Zeitpunkt der ersten Überprüfung des Fehlers noch nicht existierte. Sobald dotUSD unter der Governance von Polkadots OpenGov-System startete, eskalierte die finanzielle Bedrohung, was Parity dazu veranlasste, die Einstufung nach dem Exploit auf kritisch heraufzustufen.

Die Aufmerksamkeit für die Schwachstelle verstärkte sich am 20. Oktober, als der Sicherheitsforscher, der sie gemeldet hatte, einen Forenkommentar veröffentlichte, in dem der Fix erwähnt wurde. Der Forscher löschte den Beitrag, nachdem Parity darauf hingewiesen hatte, dass dies gegen die Regeln des Bug-Bounty-Programms verstieß; Parity merkte jedoch an, dass das Leak den Angreifern möglicherweise dabei geholfen haben könnte, die Schwachstelle genau zu lokalisieren.

Während des Vorfalls nutzte der Angreifer den Cross-Chain-Messaging-Fehler aus, um die erfasste Ausgabemenge von dotUSD zu senken, ohne die Guthaben in den Wallets der Nutzer zu verändern. Diese Diskrepanz in der Buchführung verzerrte die Preise im Liquiditätspool für DOT/dotUSD, wodurch Händler dotUSD zu künstlichen Wechselkursen gegen DOT tauschen konnten. Da die Polkadot-Treasury der einzige Liquiditätsanbieter für den Pool war, fing sie die gesamten finanziellen Auswirkungen auf.

Die Bemühungen zur Eindämmung stießen unmittelbar auf Hürden. Snowfork setzte am 24. Oktober seine Konsens-Relayer aus, um bösartige Aktivitäten über das Snowbridge-Netzwerk zu stoppen. Da Snowbridge-Relayer jedoch permissionless sind, setzte der Angreifer am 26. Oktober einen unabhängigen Konsens-Relayer auf und setzte den Exploit etwa sechs Stunden vor Inkrafttreten eines Governance-Fixes fort.

Polkadot behob die Schwachstelle am 26. Oktober durch das Runtime-Upgrade 2.5.1 im Rahmen des Referendums 1960 und sicherte damit die verbleibende Pool-Liquidität. Ein nachfolgendes Runtime-Update, 2.5.2, wurde am 30. Oktober durchgeführt, um das erfasste dotUSD-Angebot mit den bestehenden Kontoständen abzugleichen und ein damit verbundenes Bridge-Problem zu beheben.

Parity bestätigte, dass keine Nutzergelder kompromittiert wurden und dotUSD während des gesamten Vorfalls vollständig durch USDT gedeckt blieb. Es bleibt unbestätigt, ob die Person, die die Schwachstelle ausnutzte, dieselbe Instanz war, die auch die Arbitrage-Trades ausführte.

Nach dem Vorfall kündigte Parity Änderungen an seinen internen Sicherheitsverfahren an, darunter strengere Überprüfungen bei Deployments, eine verstärkte Überwachung auf unregelmäßige Token-Ausgaben, ein automatisiertes KI-Sicherheits-Tool zur früheren Erkennung von Problemen sowie Neubewertungen früherer Bug-Meldungen.