Polkadot : un bug XCM corrigé en juin mais oublié en production coûte 1,38 million à la trésorerie

Un bug dans l’exécuteur XCM de l’Asset Hub de Polkadot a vidé 1,38 million de dollars en DOT de la trésorerie, alors que le correctif existait depuis juin 2026. Entre le 24 et le 26 octobre 2026, un attaquant a exploité une vulnérabilité dans l’exécuteur XCM (Cross-Consensus Messaging) de l’Asset Hub, la parachaîne de Polkadot dédiée aux actifs. Environ 1,38 million de dollars en DOT ont été siphonnés depuis le pool DOT/dotUSD, dont la trésorerie du projet était alors l’unique fournisseur de liquidité. Le plus gênant: la faille était connue et déjà corrigée dans le code source. Tout tourne autour d’une instruction précise, « WithdrawAsset ». Quand un programme XCM échoue, toutes les modifications d’état sont censées être annulées. Ici, les débits étaient bien annulés, mais la baisse de l’offre totale de dotUSD enregistrée par la blockchain, elle, restait inscrite. En répétant l’opération, l’attaquant a fait chuter artificiellement l’offre officielle du stablecoin de Polkadot sans que les soldes réels bougent.

Comment la faille a vidé le pool DOT/dotUSD

Le pool DOT/dotUSD du DEX de l’Asset Hub calculait son prix en retenant la plus petite de deux valeurs: son propre solde de dotUSD, ou l’offre officielle de l’actif. Une fois l’offre passée sous le solde réel du pool, celui-ci s’est mis à surévaluer fortement le dotUSD. Il devenait possible d’échanger des dotUSD contre beaucoup plus de DOT qu’ils n’en valaient, aux dépens de la trésorerie. Les messages XCM malveillants arrivaient depuis Ethereum via Snowbridge, le pont décentralisé qui relie Ethereum au Polkadot Asset Hub. Parity, qui développe le réseau, a insisté: le bug se situait dans l’exécuteur XCM, pas dans Snowbridge, et les équipes ont reproduit le comportement sans passer par le pont. Dès le 24 octobre, Snowfork a arrêté ses relayers pour couper temporairement l’attaque. Deux jours plus tard, l’attaquant a contourné l’obstacle en faisant tourner son propre relais, environ six heures avant que le correctif runtime 2.5.1 ne soit appliqué. Le runtime 2.5.2, déployé le 30 octobre, a corrigé l’offre enregistrée de dotUSD et restitué les fonds récupérés à la trésorerie. Parity indique qu’aucun utilisateur n’a perdu de fonds.

Source: CoinMarketCap · CoinMarketCap Academy

Les enjeux du bug XCM pour Polkadot

Dette opérationnelle critique

Un correctif existant depuis juin 2026 n'a jamais été déployé en production. L'incident expose une faille de process, pas seulement de code.

Gouvernance OpenGov mise à l'épreuve

Le patch runtime 2.5.1 est passé par le vote OpenGov. La rapidité de la réponse on-chain sera scrutée par la communauté.

Confiance et demande atone

Les ETP sur DOT n'ont capté aucun nouvel investissement début octobre 2026, dans un contexte déjà fragile pour l'écosystème.

Ponts inter-chaînes sous surveillance

L'attaque transitait par Snowbridge depuis Ethereum, même si le bug résidait dans l'exécuteur XCM et non le pont.

Ce que révèle vraiment cet incident

Le vrai problème n’est pas technique, il est organisationnel. La faille avait été remontée via le programme de Bug Bounty de Parity dès juin 2026, puis corrigée dans le code source. Mais ce correctif n’a jamais atteint la production. C’est exactement le type de dette opérationnelle qui tue la confiance dans un écosystème. Face à ses concurrents layer 1, Polkadot traîne déjà un contexte compliqué: selon CoinMarketCap, les produits négociés en bourse sur DOT n’ont enregistré aucun nouvel investissement sur la semaine du 28 septembre au 2 octobre 2026, signe d’une demande institutionnelle atone. Si vous détenez du DOT ou utilisez le DEX de l’Asset Hub, vérifiez que votre runtime est bien à jour (2.5.2 minimum) et surveillez les annonces de gouvernance OpenGov. Parity a promis d’accélérer le passage des correctifs en production: à suivre de près, car cet incident suit déjà l’alerte d’octobre sur l’extension Fearless Wallet.

Les informations contenues dans cet article sont fournies à titre indicatif et ne constituent pas un conseil en investissement. Les crypto-actifs sont des placements très volatils et présentent un risque de perte totale du capital investi. Faites vos propres recherches (DYOR) et, si besoin, consultez un conseiller financier agréé avant toute décision d’investissement.

• À propos
• Articles récents

Léa Fontaine

Léa Fontaine vit dans les écosystèmes qu'elle couvre : elle lit les propositions d'amélioration d'Ethereum, suit les votes de gouvernance des DAO, teste les rollups avant d'en parler. Son terrain, c'est ce qui bouge — les mises à jour de protocole, la migration de liquidité d'une chaîne à l'autre, les L2 qui percent et ceux qui s'éteignent, les forks, les nouveaux modèles de DeFi. Elle a assez vu de cycles pour reconnaître un récit marketing d'une avancée technique réelle, et elle le dit sans détour : une TVL qui explose grâce à des incitations temporaires n'est pas une adoption. Elle traite les altcoins par leur écosystème et leurs usages, jamais par leur cours. Ses articles décrivent des technologies et des projets ; ils ne constituent pas un conseil en investissement.

Les derniers articles par Léa Fontaine (tout voir)

• Polkadot : un bug XCM corrigé en juin mais oublié en production coûte 1,38 million à la trésorerie - 5 novembre 2026
• Bitmine frôle 5 % de l’offre Ethereum : ce que cache cette accumulation de 6 millions d’ETH - 3 novembre 2026
• Shiba Inu : 20 millions de dollars liquidés, ce que les flux on-chain racontent vraiment sur SHIB - 30 octobre 2026

Sur le même sujet :  Dogecoin Labs : le pari de transformer 500 000 wallets en vraie economie d'applications DOGE