Polymarket सुरक्षा घटना: आंतरिक वॉलेट हैक से आधा मिलियन डॉलर से ज़्यादा के POL टोकन ड्रेन

घटना का संक्षिप्त विवरण

22 मई 2026 को प्रेडिक्शन‑मार्केट प्लेटफ़ॉर्म Polymarket ने एक सुरक्षा घटना की पुष्टि की जिसमें हमलावर ने POL टोकन की बड़ी मात्रा एक इंटरनल ऑपरेशनल वॉलेट से निकाल ली। यह वॉलेट Polygon नेटवर्क पर चल रहे Polymarket के UMA CTF Adapter इंफ्रास्ट्रक्चर से जुड़ा था। कुल नुकसान का अनुमान समय के साथ बदलता रहा—लगभग $520,000 से $660,000 से अधिक तक।

Polymarket के अनुसार यह घटना स्मार्ट‑कॉन्ट्रैक्ट की किसी खामी से नहीं हुई। कंपनी ने कहा कि असली कारण था एक इंटरनल ऑपरेशन्स वॉलेट की प्राइवेट‑की का एक्सपोज़ हो जाना।

UMA CTF Adapter क्या करता है

Polymarket पर लगाए गए दांव (prediction markets) का नतीजा तय करने के लिए प्लेटफ़ॉर्म UMA के Optimistic Oracle का उपयोग करता है। यह सिस्टम वास्तविक दुनिया की घटनाओं के डेटा को ऑन‑चेन सत्यापित करने में मदद करता है।

UMA CTF Adapter इस पूरी प्रक्रिया में एक कनेक्शन लेयर की तरह काम करता है—यह Polymarket के Conditional Token Framework (CTF) को UMA के ऑरेकल सिस्टम से जोड़ता है, ताकि किसी इवेंट का परिणाम सत्यापित होते ही मार्केट का निपटारा (settlement) हो सके।

इस वजह से यह एडाप्टर Polymarket के Polygon‑आधारित इंफ्रास्ट्रक्चर का महत्वपूर्ण हिस्सा है।

हमला कैसे पकड़ में आया

सबसे पहले इस घटना की पहचान ऑन‑चेन जांचकर्ता ZachXBT ने की। उन्होंने ब्लॉकचेन पर जुड़े एड्रेस में असामान्य गतिविधि देखी।

जांच के दौरान पाया गया कि:

• लगभग हर 30 सेकंड में 5,000 POL की निकासी हो रही थी।
• यह एक ही बार का ट्रांज़ैक्शन नहीं बल्कि लगातार दोहराया जा रहा पैटर्न था।

ऐसी नियमित निकासी आमतौर पर किसी ऑटोमेटेड स्क्रिप्ट या बॉट‑आधारित ड्रेन का संकेत देती है। इसके बाद क्रिप्टो मॉनिटरिंग चैनलों और न्यूज़ साइटों पर चेतावनियाँ फैलने लगीं।

हमलावर ने चोरी किए गए टोकन कैसे घुमाए

ऑन‑चेन डेटा से जांचकर्ताओं ने कुछ पैटर्न नोट किए:

• घटना के दौरान एडाप्टर से जुड़े कम से कम दो एड्रेस खाली किए गए।
• चोरी किए गए POL टोकन कई अलग‑अलग वॉलेट में भेज दिए गए।
• कुछ फंड क्रिप्टो एक्सचेंज की ओर ट्रांसफर किए गए, संभवतः उन्हें स्वैप या कैश‑आउट करने के लिए।

ब्लॉकचेन की पारदर्शिता के कारण इन ट्रांज़ैक्शनों को लगभग रियल‑टाइम में ट्रैक किया जा सका।

Polymarket ने इसे स्मार्ट‑कॉन्ट्रैक्ट एक्सप्लॉइट क्यों नहीं माना

शुरुआती रिपोर्टों में इस घटना को "एक्सप्लॉइट" कहा गया था, लेकिन बाद में Polymarket ने स्पष्ट किया कि स्मार्ट‑कॉन्ट्रैक्ट में कोई लॉजिक बग नहीं था। असली समस्या थी एक इंटरनल ऑपरेशनल वॉलेट की प्राइवेट‑की का समझौता (compromise)।

यह फर्क महत्वपूर्ण है:

• स्मार्ट‑कॉन्ट्रैक्ट एक्सप्लॉइट: कोड की कमजोरी का फायदा उठाकर फंड निकाले जाते हैं।
• प्राइवेट‑की कंपरोमाइज: हमलावर के पास वैध सिग्नेचर की अनुमति आ जाती है और वह सामान्य ट्रांज़ैक्शन की तरह फंड ट्रांसफर कर देता है।

Polymarket के अनुसार हमलावर ने बस उसी चाबी का उपयोग किया जिससे सिस्टम को लगा कि ट्रांज़ैक्शन वैध है।

क्या यूज़र के फंड सुरक्षित थे?

कंपनी ने सार्वजनिक बयान में कहा कि:

• यूज़र के फंड प्रभावित नहीं हुए।
• मुख्य स्मार्ट‑कॉन्ट्रैक्ट और मार्केट सेटलमेंट सिस्टम सुरक्षित रहे।
• प्लेटफ़ॉर्म के प्रेडिक्शन मार्केट सामान्य रूप से चलते रहे।

यानी घटना केवल एक सीमित इंटरनल वॉलेट तक सीमित बताई गई।

अब भी कौन‑से सवाल बाकी हैं

हालाँकि शुरुआती स्पष्टीकरण मिल गया, लेकिन कुछ अहम सवाल अभी भी खुले हैं:

• प्राइवेट‑की कैसे लीक हुई? क्या यह डेवलपर मशीन, सर्वर इंफ्रास्ट्रक्चर या किसी अन्य ऑपरेशनल गलती से हुआ?
• उस वॉलेट के पास इतनी अनुमति क्यों थी कि वह बड़ी रकम मूव कर सके?
• लगातार निकासी तुरंत क्यों नहीं रुकी, जबकि पैटर्न स्पष्ट था?
• क्या वहां मल्टी‑सिग्नेचर, हार्डवेयर सिक्योरिटी मॉड्यूल (HSM) या अन्य की‑मैनेजमेंट सुरक्षा उपाय मौजूद थे?

इन सवालों के जवाब आमतौर पर किसी विस्तृत पोस्टमॉर्टम रिपोर्ट में सामने आते हैं, जो घटना के बाद कई प्रोजेक्ट प्रकाशित करते हैं।

DeFi सुरक्षा के लिए बड़ा सबक

Polymarket की यह घटना DeFi क्षेत्र की एक पुरानी समस्या को फिर याद दिलाती है: स्मार्ट‑कॉन्ट्रैक्ट सुरक्षित होने के बावजूद ऑपरेशनल सुरक्षा कमजोर पड़ सकती है।

अगर किसी प्लेटफ़ॉर्म की प्राइवेट‑की लीक हो जाए, तो हमलावर को वैध ट्रांज़ैक्शन करने की क्षमता मिल जाती है—और उस स्थिति में ब्लॉकचेन सिस्टम स्वयं ही उन ट्रांज़ैक्शनों को सही मान लेता है।

इसलिए DeFi प्लेटफ़ॉर्म के लिए सख्त की‑मैनेजमेंट, मॉनिटरिंग और एक्सेस कंट्रोल उतने ही महत्वपूर्ण हैं जितने सुरक्षित स्मार्ट‑कॉन्ट्रैक्ट।