Polkadot Hazinesi, saldırganın daha önce giderilmiş açığı kullanması sonrası 1,38 milyon dolar kaybetti

Polkadot Hazinesi, saldırganın geliştiricilerin dört ay önce giderdiği bir güvenlik açığından yararlanması sonucu 1,38 milyon dolar kaybetti. Parity Technologies, 2 Kasım tarihli olay raporunda, haziran ayında yapılan kod düzeltmesinin 24-26 Ekim'deki saldırıdan önce etkilenen üretim sistemlerine uygulanmadığını açıkladı. Parity, Polkadot ve Kusama ekosistemleri için blokzincir altyapısı geliştiriyor.

Saldırgan, Polkadot Asset Hub'ın zincirler arası mesajlaşma sistemi üzerinden arz kayıtlarını değiştirdi; kullanıcıların token bakiyelerini aynı bırakırken kayıtlardaki dotUSD arzını düşürdü. Bu uyumsuzluk, DOT/dotUSD likidite havuzundaki fiyatlandırmayı bozarak yatırımcıların yapay biçimde çarpıtılmış oranlardan dotUSD karşılığında DOT almasını sağladı. Havuzun tek likidite sağlayıcısı olan Hazine yaklaşık 1,381 milyon dolar kaybetti. Parity, kullanıcıların fon kaybına uğramadığını ve dotUSD'nin USDT karşılığının tamamının korunduğunu söyledi. Ancak Parity, açığı kullanan kişinin sonrasında gerçekleşen arbitraj işlemlerinden de yararlanıp yararlanmadığını belirleyemedi.

dotUSD, Polkadot'un merkeziyetsiz stablecoin'i olarak ağın merkeziyetsiz otonom organizasyonu (DAO) bünyesinde ekim ayında faaliyete başladı. Özel şirketlerin çıkardığı stablecoin'lerin aksine dotUSD, merkezi bir ihraççı olmadan çalışacak şekilde tasarlandı. DOT sahipleri, OpenGov üzerinden dotUSD'ye ilişkin kararları yönetiyor. Parity, dotUSD henüz kullanıma açılmadığı için değerlendirmeye bu coin'le olası etkileşimleri dahil etmemiş ve güvenlik açığını başlangıçta orta önem derecesinde sınıflandırmıştı. Saldırının finansal etkisini ortaya koymasının ardından Parity, derecelendirmeyi kritik seviyeye yükseltti.

Güvenlik açığını ilk bildiren güvenlik araştırmacısı, 20 Ekim'de kod düzeltmesine atıfta bulunan bir forum yorumu yayımladı. Parity, açıklamanın şirketin hata ödül programı kurallarını ihlal ettiği bildirildikten sonra araştırmacının yorumu sildiğini söyledi. Parity, yorumun saldırganlara açığı keşfedip kullanmaları için yeterli bilgiyi sağlamış olabileceğine inanıyor.

Şüpheli faaliyetlerin 24 Ekim'de tespit edilmesinin ardından Snowfork, şirketin konsensüs aktarıcılarını çalıştırmayı durdurdu. Bu kapatma, Snowbridge üzerinden Polkadot'a daha fazla kötü amaçlı işlem gönderilmesini geçici olarak engelledi. Ancak saldırgan, geliştiricilerin OpenGov aracılığıyla güvenlik yükseltmesini uygulamasından yaklaşık altı saat önce, 26 Ekim'de saldırıyı yeniden başlatmak için bağımsız olarak işletilen bir aktarıcı kullandı. Snowbridge, bağımsız katılımcıların aktarıcı çalıştırmasına izin veriyor; bu nedenle Snowfork kendi altyapısını durdurabilse de saldırganın erişimini kalıcı olarak engelleyemedi.

Parity, 26 Ekim'de 2.5.1 çalışma zamanı yükseltmesiyle güvenlik açığını giderdi ve etkilenen havuzda kalan likiditeyi geri aldı. 30 Ekim'de yapılan başka bir yükseltme, tek tek hesap bakiyelerini değiştirmeden dotUSD arz kayıtlarını düzeltti. 30 Ekim'deki yükseltme, Snowbridge'de kesintiye yol açan ayrı bir sorunu da giderdi. Geri alınan dotUSD Hazine'ye döndü. Ancak yapay fiyatlardan yapılan işlemlerin yol açtığı kayıplar devam etti.

Parity, şirketin güvenlik prosedürlerinin yeni ağ işlevlerinden kaynaklanan değişen riskleri kapsamadığını kabul etti. Parity, güvenlik açığı değerlendirmelerini iyileştireceğini, dağıtım doğrulamasını güçlendireceğini ve olağandışı varlık ihracına yönelik izlemeyi genişleteceğini söyledi. Parity, geliştirme sırasında istismar edilebilir olabilecek kod değişikliklerini daha erken tespit etmeyi amaçlayan otomatik, yapay zeka tabanlı bir güvenlik çerçevesini geliştiriyor. Parity ayrıca dotUSD'den kaynaklanan riskler açısından daha önce bildirilmiş güvenlik açıklarını gözden geçiriyor.