Attacco a Polymarket: dai 520.000 ai 660.000 $ in token POL rubati da un wallet interno

Fondamentalmente, Polymarket ha dichiarato che la violazione non ha coinvolto una vulnerabilità nei suoi contratti smart principali né nei saldi degli utenti. L'azienda ha invece attribuito l'accaduto all'esposizione di una chiave privata che controllava un wallet operativo interno, utilizzato per alcune funzioni della piattaforma come i pagamenti o le attività infrastrutturali.

Cos'è l'UMA CTF Adapter e perché è importante

Il motore dei mercati predittivi di Polymarket si basa sull'Ottimistic Oracle di UMA per determinare l'esito di eventi del mondo reale. L'UMA CTF Adapter funge da ponte tra il framework di token condizionali (CTF) di Polymarket e il sistema oracle di UMA, consentendo ai mercati di risolversi una volta verificati gli esiti.

Questo livello di adattamento è quindi un componente operativo cruciale dell'infrastruttura di regolamento della piattaforma su Polygon.

Mentre i primi avvisi descrivevano l'evento come un potenziale exploit dei contratti, le spiegazioni successive di Polymarket hanno indicato che la logica dei contratti smart sottostante è rimasta intatta.

Come è stato scoperto l'attacco

La violazione è emersa grazie al monitoraggio on-chain dell'investigatore blockchain ZachXBT.

Ha segnalato attività insolite riguardanti gli indirizzi legati all'adattatore, dopo aver osservato un modello di prelievi ripetuti di token – circa 5.000 POL ogni 30 secondi.

Queste transazioni ricorrenti suggerivano un drenaggio automatizzato piuttosto che una singola transazione di exploit, spingendo a lanciare avvertimenti attraverso vari canali di monitoraggio crypto e testate giornalistiche. Mentre gli investigatori seguivano l'attività del wallet in tempo reale, il valore stimato dei fondi rubati continuava a salire.

Come l'attaccante ha spostato i fondi

L'analisi on-chain ha indicato che:

• Almeno due indirizzi associati all'infrastruttura dell'adattatore sono stati prosciugati durante l'incidente.
• L'attaccante ha distribuito i token POL rubati su più wallet, una tattica comune per complicare il tracciamento.
• Una parte del bottino è stata trasferita verso exchange di criptovalute, probabilmente per scambiare o incassare i token.

Poiché le transazioni blockchain sono pubbliche, gli investigatori sono riusciti a seguire questi trasferimenti passo dopo passo mentre avvenivano.

Perché Polymarket sostiene che non sia stato un attacco ai contratti smart

Sebbene i primi rapporti parlassero di uno "sfruttamento", Polymarket ha poi chiarito che il problema derivava da una chiave privata compromessa appartenente a un wallet operativo interno.

Questa distinzione è importante:

• Attacco ai contratti smart (smart-contract exploit): l'attaccante viola la logica del codice distribuito per prosciugare i fondi.
• Compromissione di una chiave privata: l'attaccante ottiene la legittima autorità di firma su un wallet ed esegue transazioni valide.

Secondo Polymarket, l'attaccante ha semplicemente usato la chiave rubata per firmare i prelievi, il che significa che il sistema si è comportato come progettato, ma sotto un controllo non autorizzato.

Cosa ha detto Polymarket sui fondi degli utenti

Polymarket ha sottolineato pubblicamente che la violazione non ha avuto impatto sui fondi dei clienti né sui meccanismi di regolamento dei mercati della piattaforma. L'infrastruttura principale e i mercati predittivi hanno continuato a funzionare normalmente nonostante il wallet operativo compromesso.

L'azienda ha dichiarato che l'incidente è stato limitato nella portata e non ha coinvolto i contratti di trading o risoluzione principali utilizzati dagli utenti.

Domande chiave che rimangono aperte

Nonostante la spiegazione iniziale, diverse importanti domande sulla sicurezza sono rimaste senza risposta al momento del report:

• Come è stata compromessa la chiave privata. La piattaforma non ha rivelato se la fuga di chiavi sia avvenuta dall'infrastruttura, da un dispositivo di uno sviluppatore o da un altro fallimento operativo.
• Perché il wallet aveva privilegi sufficienti per spostare somme significative senza immediate salvaguardie.
• Perché i prelievi ripetuti sono continuati per un periodo prolungato, suggerendo che i controlli di monitoraggio o i limiti di velocità potrebbero non aver bloccato immediatamente l'attività.
• Quali pratiche di gestione delle chiavi erano in atto, come controlli multisig o moduli di sicurezza hardware.

In assenza di un'analisi post-mortem tecnica dettagliata, gli osservatori hanno potuto solo concludere che l'incidente è stato molto probabilmente un fallimento della sicurezza operativa piuttosto che un difetto a livello di protocollo.

La lezione più ampia per la sicurezza della DeFi

La violazione di Polymarket evidenzia una lezione ricorrente nella finanza decentralizzata: anche quando i contratti smart sono sicuri, l'infrastruttura operativa e la gestione delle chiavi rimangono superfici d'attacco critiche. Le chiavi compromesse possono concedere agli attaccanti l'autorità legittima per le transazioni, bypassando molte delle protezioni integrate nel codice on-chain.

Per le piattaforme che gestiscono sistemi complessi che interagiscono con oracle, adattatori e wallet operativi, l'incidente sottolinea l'importanza di una gestione rigorosa delle chiavi, di un monitoraggio attento e di una netta separazione dei privilegi.