PANews 11월 5일 소식: 폴카닷 포럼이 XCM 사건 사후 분석을 발표했으며, 10월 24일부터 26일까지 폴카닷 Asset Hub의 XCM 실행기(executor) 취약점이 악용된 것으로 나타났다. 공격자는 계정 잔액을 변경하지 않은 채 dotUSD의 장부상 발행량을 낮춰 DOT/dotUSD 풀의 가격이 왜곡되고 차익거래 기회가 발생했으며, 약 138만 1천 달러 상당의 DOT 가치 손실이 발생한 것으로 추정된다. 폴카닷 트레저리(Polkadot Treasury)가 해당 풀의 유일한 유동성 공급자였으며, 사용자 자금 손실은 없었다.
사후 분석에 따르면 해당 취약점은 6월 버그 바운티 프로그램을 통해 보고되어 코드베이스에서 수정이 완료됐으나, 이 수정은 영향을 받은 메인넷 운영 버전에 제때 배포되지 못했다. 10월 20일 보고자가 포럼에서 관련 수정 사항을 공개적으로 언급한 것이 공격자에게 단서를 제공했을 가능성이 있다. 사건 발생 후 폴카닷은 Runtime 2.5.1과 2.5.2를 통해 수정을 진행해 dotUSD 공급량을 바로잡았고, 회수된 자금은 트레저리로 반환됐다.
