Polkadot 资产枢纽漏洞致国库损失138万DOT，XCM执行器缺陷成关键

在10月24日至26日期间，一名攻击者利用Polkadot资产枢纽（Asset Hub）中XCM执行器的一个历史漏洞，通过不改变账户余额的方式削减了dotUSD的已记录发行量，从而引发交易池定价异常。此次事件造成约138.1万DOT价值的损失，由作为唯一流动性提供者的Polkadot国库承担，所有用户资产未受影响。

XCM漏洞的技术机制

该漏洞的核心在于，XCM程序本应具备失败回滚特性，但在特定条件下未能撤销供应量变更。这使得dotUSD的报告发行量低于实际流动性池中的数量，导致系统误判可用额度，进而允许以非市场汇率兑换DOT。虽然dotUSD始终维持全额支持，但低估的供应数据阻碍了正常赎回流程。

攻击消息经由Snowbridge从以太坊传入，但根本问题出在XCM执行器本身，而非桥接协议。目前链上数据尚未确认攻击者是否从中套利获利。

为何修复未能及时上线

该漏洞于6月通过Parity漏洞赏金计划被发现并提交修复代码，原定纳入stable-2606版本发布，但因进度延误被推迟至stable-2609。此后，其严重性被重新评估为高危级别。

10月20日，有研究人员在公共论坛提及修复方案，违反了赏金计划保密条款，可能向攻击者提供了关键线索。尽管Runtime 2.5.1已于10月24日通过OpenGov提出，但当时Snowfork暂停中继器，使攻击中断。攻击者随后使用自建中继器恢复攻击，仅距正式升级六小时。

最终，Runtime 2.5.2于10月30日正式生效，修正了dotUSD供应量数据，相关资产已归还国库。此次事件暴露出开发、测试与生产部署之间的衔接断层。

Parity表示，未来将优化安全修复的发布节奏，并强化治理流程中的风险控制。该事件紧随此前Polkadot警告的Fearless Wallet私钥泄露事件，凸显去中心化生态中持续安全运维的重要性。