Polkadot потеряла $1,38 млн из-за бага в XCM, исправленного в июне

Атакующий воспользовался ошибкой в исполнителе XCM — системе межцепочечных сообщений Polkadot — и вывел из пула ликвидности Казначейства около $1,381 млн в DOT. Атака шла 24⁠–⁠26 октября, а разбор инцидента команда разработки опубликовала 2 ноября. Деньги пользователей не пострадали, обеспечение стейблкоина dotUSD осталось на месте.

Подробности

По разбору разработчика под ником bkchr на форуме Polkadot, инструкция WithdrawAsset при ошибке корректно откатывала списание с аккаунтов, но изменение записанного общего предложения сохранялось. В итоге учётное предложение dotUSD уменьшалось, а реальные балансы оставались прежними. Это нарушало базовое допущение протокола.

Искажённый учёт привёл к неверной цене dotUSD на DEX. Модуль стабильности (PSM) продолжал менять dotUSD на USDT один к одному, поэтому атакующий мог зарабатывать на разнице. Единственным поставщиком ликвидности в паре DOT/dotUSD было Казначейство Polkadot, оно и понесло весь убыток.

Исправление нашли ещё в июне 2026 года (PR #11910), но оно не попало в релиз stable-2606. Рантайм 2.5.1 с исправлением XCM предложили 24 октября (референдум 1960). Рантайм 2.5.2, который поправил учёт предложения dotUSD, утвердили 30 октября (референдум 1961). Как пишет CryptoSlate, личность атакующего неизвестна, а упоминание исправления в публичном комментарии на форуме 20 октября позже удалили.

Что это значит для рынка

Сумма невелика для сети такого масштаба, но случай показывает цену задержки: уязвимость была закрыта в коде за четыре месяца до атаки и не дошла до боевой версии. Для пользователей Polkadot главное — dotUSD остаётся полностью обеспеченным USDT, а убыток покрыт из Казначейства.

Подробнее о DOT — на странице монеты, актуальные цены — в сводке дня.