Polymarket 22 мая столкнулась с тем, что многие пользователи расценили как возможный взлом, после того как публичные оповещения зафиксировали стремительный отток токенов POL с платформы для рынков предсказаний. Позднее аккаунты, связанные с Polymarket, заявили, что инцидент не был эксплойтом смарт-контракта и не затронул средства пользователей или разрешение рынков.
Первая волна беспокойства исходила от ончейн-исследователя ZachXBT и фирмы по анализу блокчейна Bubblemaps. ZachXBT сообщил, что административный адрес Polymarket, по-видимому, был скомпрометирован в сети Polygon, и на момент его оповещения в Telegram было выведено более 520 000 долларов.
Bubblemaps затем предупредила, что злоумышленники изымают примерно по 5000 POL каждые 30 секунд и что на тот момент было украдено около 600 000 долларов, посоветовав пользователям приостановить активность на Polymarket.
Последующее объяснение от Polymarket сместило акцент с основного сбоя рынка на нарушение внутренней операционной безопасности. Согласно заявлению Polymarket Developers, результаты указывали на компрометацию приватного ключа кошелька, используемого для «внутренних операций по пополнению», а не на уязвимость контрактов или основной инфраструктуры.
Инженер-программист Polymarket Шантикиран Чанал аналогично заявил, что «Средства пользователей и разрешение рынков в безопасности», добавив, что проблема связана с отчетами о выплате вознаграждений.
Это подразумевает разные риски. Сбой контракта или разрешения вызвал бы вопросы о том, могут ли рынки корректно урегулироваться или подверглись ли риску позиции пользователей. Компрометация внутреннего кошелька для пополнения, хотя и является серьезной проблемой, указывает на проблемы с управлением ключами, услугами по пополнению и операционным контролем вокруг кошельков, поддерживающих платформу.
Публичное оповещение сработало быстрее, чем объяснение о компрометации приватного ключа
Хронология развивалась стремительно. В сообщении ZachXBT в Telegram в 08:22 UTC говорилось о явной компрометации административного адреса Polymarket в сети Polygon и идентифицировался адрес злоумышленника как 0x8F98075db5d6C620e8D420A8c516E2F2059d9B91.
В том же сообщении были перечислены связанные и опустошенные адреса, что дало ончейн-аналитикам след для расследования.
Bubblemaps усилила предупреждение в 08:51 UTC, охарактеризовав ситуацию как эксплойт контракта Polymarket — тип оповещения об эксплойте Polymarket, который немедленно вызывает беспокойство по поводу основной инфраструктуры, — и сообщив, что злоумышленник изымает 5000 POL каждые 30 секунд.
Данные блокчейна показывают, почему это предупреждение привлекло внимание. Транзакция в PolygonScan в 09:01:19 UTC показывает перемещение 5000 POL на адрес UMA CTF Adapter Admin с меткой Polymarket.
Семь секунд спустя другая транзакция PolygonScan показывает перемещение 4999,994 POL с этого помеченного административного адреса на помеченный адрес злоумышленника. Страница адреса злоумышленника помечена PolygonScan как «Polymarket Adapter Exploiter 1» и показывает повторяющиеся переводы в период оповещения.
Эта пара транзакций подтверждает видимую схему оттока, которая вызвала публичную тревогу, и дает конкретный пример потока переводов, который члены команды Polymarket позже описали как связанный с внутренним пополнением, оставляя первопричину заявлениям команды.
| Вопрос | Первоначальное оповещение | Объяснение, связанное с Polymarket |
|---|---|---|
| Что происходило? | Bubblemaps предупредила, что примерно каждые 30 секунд изымается 5000 POL. | Заявления команды связали это с выплатой вознаграждений или внутренней операцией по пополнению. |
| Был ли это эксплойт контракта? | Bubblemaps изначально охарактеризовала это как эксплойт контракта Polymarket. | Аккаунты, связанные с Polymarket, заявили, что результаты указывают в сторону от контрактов или основной инфраструктуры. |
| Были ли затронуты средства пользователей? | Первое оповещение посоветовало пользователям приостановить активность. | Шантикиран Чанал и Polymarket Developers заявили, что средства пользователей и разрешение рынков в безопасности. |
| Что остается нерешенным? | Оценка текущих потерь составляла около 600 000 долларов на момент оповещения Bubblemaps. | Окончательная сумма потерь, полный набор затронутых адресов и детали устранения последствий все еще не определены. |
Заявления команды указывали на компрометацию приватного ключа Polymarket
Самая ясная официальная формулировка поступила от аккаунта Polymarket Developers, который представил инцидент как компрометацию приватного ключа Polymarket, связанную с кошельком, используемым для внутренних операций по пополнению.
Эта формулировка выводит инцидент из категории прямой уязвимости смарт-контракта и переводит его в плоскость операционного вопроса: кто контролировал ключ, как он был скомпрометирован и почему затронутый процесс продолжал отправлять POL на адрес, который можно было опустошить.
Заявление Чанала использовало схожую лексику, утверждая, что отчеты были связаны с выплатой вознаграждений и что результаты указывали на компрометацию приватного ключа кошелька, используемого для внутренних операций. В ответах пользователям Чанал заявил, что кошельки «полностью безопасны», и сообщил, что команда расследует серверные системы и секреты, одновременно ротируя ключи.
Мустафа, еще один источник, связанный с Polymarket, дал самое прямое объяснение различия в контрактах. Он заявил: «Контракт CTF не был скомпрометирован», добавив, что проблема касалась внутреннего операционного адреса, используемого сервисом, который проверяет и пополняет балансы каждые несколько секунд.
Он также сообщил, что все средства пользователей в безопасности и что адрес ротируется.
Собственная документация Polymarket помогает объяснить ставки, стоящие за этим различием. Платформа заявляет, что рынки используют UMA для разрешения споров, а выигрышные позиции погашаются после разрешения через механизмы, связанные с CTF.
В документации CTF описываются токены исхода для рынков предсказаний и отмечается, что пары Да/Нет полностью обеспечены залогом. На этом фоне прямой сбой в инфраструктуре CTF или разрешения вызвал бы иные вопросы, нежели компрометация кошелька, используемого для вознаграждений или внутреннего пополнения.
Известные заявления команды помещают проблему за пределы основной инфраструктуры разрешения рынков. Они оставляют открытым вопрос операционной безопасности.
Приватные ключи являются уровнем полномочий для блокчейн-кошельков, и скомпрометированный внутренний ключ все еще может перемещать средства, вызывать публичную панику и обнажать слабости в мониторинге или автоматизированных потоках пополнения, даже если торговые балансы пользователей и урегулирование рынков не являются целью.
Следующее обновление должно прояснить детали потерь и мер по устранению
На данный момент команда Polymarket заявляет пользователям, что инцидент ограничился внутренними операциями, а это означает, что средства пользователей Polymarket, основные контракты и процессы разрешения рынков находились вне затронутого пути.
Остается вопрос, сколько в итоге было потеряно и что изменилось после того, как команда обнаружила скомпрометированный ключ.
Первая доступная цифра от ZachXBT составляла более 520 000 долларов. Позднее Bubblemaps сообщила, что на момент их оповещения было украдено около 600 000 долларов.
Страницы в блокчейне показывают репрезентативный след транзакций, но текущая публичная запись оставляет нерешенными окончательную аудированную сумму потерь, полный набор затронутых адресов и статус восстановления.
Оперативные последующие действия не менее важны. Заявления, связанные с Polymarket, сообщили, что затронутый адрес ротируется и что команда расследует серверные системы и секреты.
Это оставляет несколько актуальных вопросов: завершена ли ротация, были ли скомпрометированы какие-либо связанные учетные данные сервиса пополнения, имели ли разрешения скомпрометированного кошелька больший объем, чем наблюдаемые переводы, и опубликует ли платформа отчет об инциденте с объяснением сбоя.
Для трейдеров практический вывод заключается в том, что первоначальная публичная формулировка, по-видимому, преувеличила аспект эксплойта контракта, судя по последующим заявлениям команды Polymarket. Живой отток внутренних средств остается инцидентом безопасности, особенно для платформы, пользователи которой полагаются на четкое разделение между операционными кошельками, системами вознаграждений и рыночной инфраструктурой.
Пока Polymarket не выпустит окончательное обновление, команда сообщила пользователям, что их средства и разрешение рынков в безопасности, в то время как публичная запись в блокчейне показывает быстрый отток POL из инфраструктуры с меткой Polymarket.
Следующее раскрытие информации должно будет указать окончательную сумму потерь, подтвердить ротацию адреса и объяснить, что изменилось после того, как компрометация приватного ключа Polymarket превратила внутренний кошелек в центр тревоги из-за живого оттока.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Liam 'Akiba' Wright
