Polkadot : un bug fait perdre près d’1,4 million de dollars à la trésorerie du projet

Accueil » Actu de la crypto » Actualité des Altcoins » Polkadot : un bug fait perdre près d’1,4 million de dollars à la trésorerie du projet

https://cryptoast.fr/polkadot-bug-xcm-dotusd-tresorerie-perd-1-4-million-dollars/

Entre le 24 et le 26 octobre 2026, un attaquant a exploité une vulnérabilité dans l'exécuteur XCM ( Cross-Consensus Messaging ) de l' Asset Hub , la parachaîne de Polkadot dédiée aux actifs, qui héberge une plateforme d'échange décentralisée (DEX). Suite à l'exploitation de cette faille, environ 1,38 million de dollars en DOT ont été siphonnés depuis le pool DOT/dotUSD, dont la trésorerie du projet était alors l'unique fournisseur de liquidité.

Le bug touchait une instruction précise, « WithdrawAsset ». Quand un programme XCM échouait, les débits sur les comptes étaient bien annulés, mais la baisse de l'offre totale de dotUSD enregistrée par la blockchain, elle, était conservée. En répétant l'opération, l'attaquant a fait chuter artificiellement l'offre officielle du stablecoin de Polkadot, sans que les soldes réels des utilisateurs ne bougent.

Mais le problème est que, pour calculer le prix, le pool DOT/dotUSD du DEX de l' Asset Hub retenait la plus petite de deux valeurs, son propre solde de dotUSD ou l'offre officielle de l'actif. Une fois cette offre passée sous le solde réel du pool, celui-ci s'est mis à surévaluer fortement le dotUSD. Il devenait possible d'échanger des dotUSD contre beaucoup plus de DOT qu'ils n'en valaient, aux dépens de la trésorerie de Polkadot.

On notera toutefois que les preuves disponibles on-chain n'ont pas permis d'établir que l'attaquant à l'origine de l'exploitation de la vulnérabilité XCM est également celui qui a tiré profit de l'arbitrage qui a suivi sur le pool DOT/dotUSD. Autrement dit, la personne qui a déclenché la faille et celle qui a encaissé les gains issus du prix distordu pourraient potentiellement être deux entités distinctes.

Un point technique mérite d'être précisé sur le vecteur d'attaque. Les messages XCM exploitant la faille arrivaient en réalité depuis Ethereum (ETH), via Snowbridge, le pont décentralisé qui relie Ethereum au Polkadot Asset Hub . Les équipes de Parity, qui développent le réseau DOT, ont toutefois insisté sur un point : le bug sous-jacent se situait dans l'exécuteur XCM, pas dans Snowbridge, et elles ont d'ailleurs reproduit le comportement sans passer par le bridge .