Polkadot-Treasury verliert 1,38 Millionen Dollar durch Ausnutzung einer vier Monate zuvor behobenen Sicherheitslücke

Die Treasury von Polkadot hat 1,38 Millionen Dollar verloren, nachdem ein Angreifer eine Sicherheitslücke ausgenutzt hatte, die Entwickler vier Monate zuvor behoben hatten. Parity Technologies teilte in einem Vorfallsbericht vom 2. November mit, dass die im Juni vorgenommene Codekorrektur vor dem Angriff vom 24. bis 26. Oktober nicht auf die betroffenen Produktionssysteme übertragen worden war. Parity entwickelt Blockchain-Infrastruktur für die Ökosysteme Polkadot und Kusama.

Der Angreifer veränderte über das Cross-Chain-Messaging-System von Polkadot Asset Hub die erfassten Bestände: Die registrierte dotUSD-Menge wurde verringert, während die Token-Guthaben der Nutzer unverändert blieben. Die Abweichung störte die Preisbildung im DOT/dotUSD-Liquiditätspool und ermöglichte es Händlern, DOT zu künstlich verzerrten Kursen gegen dotUSD zu erwerben. Die Treasury erlitt Verluste von rund 1,381 Millionen Dollar, da sie der einzige Liquiditätsanbieter des Pools war. Parity zufolge erlitten Nutzer keine Verluste und dotUSD blieb vollständig durch USDT gedeckt. Parity konnte jedoch nicht feststellen, ob der Angreifer auch von den anschließenden Arbitragegeschäften profitierte.

dotUSD, Polkadots dezentraler Stablecoin, nahm im Oktober den Betrieb unter der dezentralen autonomen Organisation (DAO) des Netzwerks auf. dotUSD wurde ohne zentralen Herausgeber konzipiert, anders als Stablecoins, die von privaten Unternehmen ausgegeben werden. Inhaber von DOT entscheiden über dotUSD durch OpenGov. Parity hatte die Sicherheitslücke zunächst als mittelschwer eingestuft, weil die Bewertung mögliche Wechselwirkungen mit dotUSD nicht berücksichtigte, das damals noch nicht gestartet war. Nach dem Angriff stufte Parity die Lücke als kritisch ein, da dieser die finanziellen Auswirkungen deutlich machte.

Der Sicherheitsforscher, der die Sicherheitslücke zuerst gemeldet hatte, veröffentlichte am 20. Oktober einen Forenkommentar, in dem er auf die Codekorrektur verwies. Parity zufolge löschte der Forscher den Kommentar, nachdem er darauf hingewiesen worden war, dass die Offenlegung gegen die Bug-Bounty-Regeln von Parity verstieß. Parity geht davon aus, dass der Kommentar Angreifern möglicherweise genügend Informationen lieferte, um die Lücke zu entdecken und auszunutzen.

Snowfork stellte den Betrieb der eigenen Consensus-Relayer ein, nachdem am 24. Oktober verdächtige Aktivitäten festgestellt worden waren. Der Schritt verhinderte vorübergehend, dass weitere schädliche Transaktionen über Snowbridge in Polkadot gelangten. Am 26. Oktober nutzte der Angreifer jedoch einen unabhängig betriebenen Relayer, um den Angriff rund sechs Stunden vor der Umsetzung des Sicherheitsupgrades durch die Entwickler über OpenGov wieder aufzunehmen. Da Snowbridge unabhängigen Teilnehmern den Betrieb von Relayern ermöglicht, konnte Snowfork zwar die eigene Infrastruktur abschalten, dem Angreifer den Zugang aber nicht dauerhaft verwehren.

Parity beseitigte die Sicherheitslücke am 26. Oktober mit dem Runtime-Upgrade 2.5.1 und stellte die verbleibende Liquidität des betroffenen Pools wieder her. Ein weiteres Upgrade am 30. Oktober korrigierte die Bestandsdaten von dotUSD, ohne die Guthaben einzelner Konten zu verändern. Das Upgrade vom 30. Oktober behob zudem ein separates Problem, das Snowbridge unterbrochen hatte. Die wiederhergestellten dotUSD flossen an die Treasury zurück. Die Verluste durch den Handel zu künstlich verzerrten Preisen blieben jedoch bestehen.

Parity räumte ein, dass die Sicherheitsverfahren des Unternehmens den veränderten Risiken durch neue Netzwerkfunktionen nicht Rechnung getragen hatten. Parity erklärte, die Bewertungen von Sicherheitslücken zu verbessern, die Überprüfung von Bereitstellungen zu verstärken und die Überwachung auf ungewöhnliche Ausgabe von Vermögenswerten auszuweiten. Das Unternehmen arbeitet an einem automatisierten, KI-basierten Sicherheitsrahmen, der potenziell ausnutzbare Codeänderungen bereits früher während der Entwicklung erkennen soll. Zudem überprüft Parity zuvor gemeldete Sicherheitslücken auf Risiken, die sich aus dotUSD ergeben.