В официальном разборе Polkadot 2 ноября раскрыт механизм инцидента в Asset Hub: с 24 по 26 октября злоумышленник использовал ошибку исполнителя межсетевых команд XCM, чтобы уменьшать учтённый выпуск dotUSD, не меняя балансы владельцев. Из-за расхождения пул DOT/dotUSD рассчитывал цену по заниженному резерву и отдавал за стейблкоин слишком много DOT.

Ошибка проявлялась, когда команда `WithdrawAsset` пыталась забрать несколько активов и завершалась сбоем на одном из них. Списание с аккаунта откатывалось, а уменьшение общего выпуска dotUSD оставалось в состоянии сети. Атакующие сообщения приходили из Ethereum через Snowbridge, но разработчики воспроизвели поведение без моста: уязвимость находилась в исполнителе XCM, а не в Snowbridge.

Polkadot оценила потери примерно в $1,381 млн в эквиваленте DOT за период атак. Единственным поставщиком ликвидности в затронутом пуле было казначейство сети, поэтому средства пользователей, по данным разбора, не потеряны. dotUSD всё время оставался обеспечен USDT, а модуль поддержания привязки сохранял обмен 1:1; при этом заниженный учтённый выпуск временно ограничивал объём погашений. Данные блокчейна не позволяют установить, что тот же участник и вызвал ошибку, и заработал на последующем арбитраже.

Исправление ошибки приняли в код ещё 25 июня, но оно не попало в производственные версии: проблему тогда оценили как среднюю, а патч пропустил срок ветки stable-2606. Runtime 2.5.1 с исправлением XCM исполнили 26 октября, примерно через шесть часов после последнего этапа атаки. Runtime 2.5.2, исполненный 30 октября, пересчитал выпуск dotUSD по существующим балансам без изменения пользовательских остатков и восстановил работу Snowbridge после отдельной ошибки весов.