Un hacker consiguió sustraer 1,38 millones de dólares en Polkadot al explotar una vulnerabilidad de seguridad que, según la información disponible, ya había sido corregida cuatro meses antes. El atacante retomó la actividad el 26 de octubre utilizando su propio relayer, antes de que se aplicara el arreglo relacionado con XCM.
El fallo estaba relacionado con XCM
XCM es el sistema de Polkadot para intercambiar mensajes entre sus distintas cadenas. La vulnerabilidad permitía al atacante aprovechar un problema en ese mecanismo y continuar con la operación mediante una infraestructura de retransmisión propia.
La existencia de una corrección previa no evitó las pérdidas. El incidente muestra la diferencia entre publicar un parche y lograr que la actualización se aplique de forma efectiva en todos los componentes afectados del ecosistema. La información disponible no precisa qué cuentas resultaron perjudicadas ni detalla el reparto exacto de los fondos sustraídos.
Una actualización corrigió la oferta, no los saldos
Tras el ataque, una actualización posterior corrigió la oferta total de activos del sistema, pero lo hizo sin modificar los saldos de las cuentas. Ese matiz separa la contabilidad global de la red de la recuperación de los fondos: ajustar la cantidad total registrada no implica revertir las operaciones ni devolver automáticamente los activos.
El caso deja como elemento central la reutilización del fallo antes de la solución específica para XCM. La brecha temporal entre la corrección inicial y la aplicación efectiva del arreglo permitió que el atacante volviera a operar el 26 de octubre, de acuerdo con la información difundida por CryptoSlate.
