Kluczowe jest to, że Polymarket podkreślił, iż włamanie nie wynikało z podatności w głównych smart kontraktach platformy i nie dotknęło sald użytkowników. Firma przypisała incydent ujawnieniu klucza prywatnego kontrolującego wewnętrzny portfel operacyjny, używany do niektórych funkcji platformy, takich jak wypłaty czy zadania infrastrukturalne.

Do czego służy adapter UMA CTF?

Polymarket korzysta z optymistycznego wyroczni UMA (Optimistic Oracle) do rozstrzygania wyników rzeczywistych rynków prognostycznych. Adapter UMA CTF działa jako pomost między platformą Polymarket a systemem wyroczni UMA, umożliwiając rozliczanie rynków po zweryfikowaniu wyników.

Adapter ten jest więc ważnym elementem operacyjnym infrastruktury rozliczeniowej platformy w sieci Polygon.

Choć pierwsze alarmy opisywały zdarzenie jako potencjalny exploit kontraktu, późniejsze wyjaśnienia Polymarket wskazywały, że logika smart kontraktów pozostała nienaruszona.

Jak wykryto atak?

Włamanie wyszło na jaw dzięki monitoringowi on-chain prowadzonemu przez detektywa blockchain ZachXBT.

ZachXBT zgłosił nietypową aktywność związaną z adresami powiązanymi z adapterem po zaobserwowaniu wzorca powtarzających się wypłat tokenów – około 5 000 POL co 30 sekund.

Te powtarzające się transakcje sugerowały zautomatyzowany proces drenażu, a nie pojedynczy exploit, co skłoniło do ostrzeżeń na kanałach monitorujących kryptowaluty i w mediach. Gdy detektywi śledzili aktywność portfela w czasie rzeczywistym, szacunkowa wartość skradzionych funduszy nadal rosła.

Jak haker przemieszczał środki?

Analiza on-chain wykazała, że:

• Podczas incydentu drenażowi uległy co najmniej dwa adresy związane z infrastrukturą adaptera.
• Haker rozproszył skradzione tokeny POL na wiele portfeli, co jest powszechną taktyką utrudniającą śledzenie.
• Część zysków została przesłana na giełdy kryptowalut, prawdopodobnie w celu wymiany lub wypłaty środków.

Ponieważ transakcje blockchain są publiczne, detektywi mogli krok po kroku śledzić te transfery na bieżąco.

Dlaczego Polymarket twierdzi, że to nie był exploit smart kontraktu?

Choć wczesne doniesienia mówiły o „exploicie”, Polymarket później wyjaśnił, że problem wynikał z skompromitowanego klucza prywatnego należącego do wewnętrznego portfela operacyjnego.

To rozróżnienie jest istotne:

• Exploit smart kontraktu: atakujący łamią logikę wdrożonego kodu, aby wyprowadzić środki.
• Kompromitacja klucza prywatnego: atakujący uzyskują uprawnienia do podpisywania transakcji dla portfela i wykonują prawidłowe transakcje, ale bez autoryzacji.

Według Polymarket, haker po prostu użył skradzionego klucza do podpisywania wypłat, co oznacza, że system działał zgodnie z projektem – tylko pod nieautoryzowaną kontrolą.

Co Polymarket powiedział o środkach użytkowników?

Polymarket publicznie podkreślił, że włamanie nie wpłynęło na środki klientów ani mechanizmy rozliczania rynków platformy. Główna infrastruktura i rynki prognostyczne działały normalnie, mimo kompromitacji portfela operacyjnego.

Firma oświadczyła, że incydent miał ograniczony zasięg i nie dotyczył głównych kontraktów handlowych ani rozliczeniowych używanych przez użytkowników.

Kluczowe pytania, które pozostają bez odpowiedzi

Nawet po wstępnych wyjaśnieniach, kilka ważnych pytań dotyczących bezpieczeństwa pozostało nierozwiązanych w momencie publikacji:

• Jak doszło do kompromitacji klucza prywatnego? Platforma nie ujawniła, czy wyciek nastąpił z infrastruktury, urządzenia dewelopera czy innej operacyjnej przyczyny.
• Dlaczego portfel miał wystarczające uprawnienia do przemieszczania znacznych środków bez natychmiastowych zabezpieczeń?
• Dlaczego powtarzające się wypłaty trwały przez dłuższy czas, co sugeruje, że mechanizmy monitorowania lub ograniczania szybkości transakcji nie zadziałały od razu?
• Jakie praktyki zarządzania kluczami były stosowane, takie jak kontrole multisig czy moduły bezpieczeństwa sprzętowego?

Bez szczegółowego raportu powłamaniowego (postmortem) obserwatorzy mogli jedynie stwierdzić, że incydent był najprawdopodobniej błędem w bezpieczeństwie operacyjnym, a nie luką na poziomie protokołu.

Główna lekcja dla bezpieczeństwa DeFi

Włamanie na Polymarket podkreśla powtarzającą się lekcję w zdecentralizowanych finansach: nawet gdy smart kontrakty są bezpieczne, infrastruktura operacyjna i zarządzanie kluczami pozostają krytycznymi powierzchniami ataku. Skompromitowane klucze mogą dać atakującym prawowitą władzę do przeprowadzania transakcji, omijając wiele zabezpieczeń wbudowanych w kod on-chain.

Dla platform obsługujących złożone systemy, które współpracują z wyroczniami, adapterami i portfelami operacyjnymi, incydent ten podkreśla znaczenie ścisłego zarządzania kluczami, monitorowania i separacji uprawnień.

Kluczowe jest to, że Polymarket podkreślił, iż włamanie nie wynikało z podatności w głównych smart kontraktach platformy i nie dotknęło sald użytkowników. Firma przypisała incydent ujawnieniu klucza prywatnego kontrolującego wewnętrzny portfel operacyjny, używany do niektórych funkcji platformy, takich jak wypłaty czy zadania infrastrukturalne.

Do czego służy adapter UMA CTF?

Polymarket korzysta z optymistycznego wyroczni UMA (Optimistic Oracle) do rozstrzygania wyników rzeczywistych rynków prognostycznych. Adapter UMA CTF działa jako pomost między platformą Polymarket a systemem wyroczni UMA, umożliwiając rozliczanie rynków po zweryfikowaniu wyników.

Adapter ten jest więc ważnym elementem operacyjnym infrastruktury rozliczeniowej platformy w sieci Polygon.

Choć pierwsze alarmy opisywały zdarzenie jako potencjalny exploit kontraktu, późniejsze wyjaśnienia Polymarket wskazywały, że logika smart kontraktów pozostała nienaruszona.

Jak wykryto atak?

Włamanie wyszło na jaw dzięki monitoringowi on-chain prowadzonemu przez detektywa blockchain ZachXBT.

ZachXBT zgłosił nietypową aktywność związaną z adresami powiązanymi z adapterem po zaobserwowaniu wzorca powtarzających się wypłat tokenów – około 5 000 POL co 30 sekund.

Te powtarzające się transakcje sugerowały zautomatyzowany proces drenażu, a nie pojedynczy exploit, co skłoniło do ostrzeżeń na kanałach monitorujących kryptowaluty i w mediach. Gdy detektywi śledzili aktywność portfela w czasie rzeczywistym, szacunkowa wartość skradzionych funduszy nadal rosła.

Jak haker przemieszczał środki?

Analiza on-chain wykazała, że:

• Podczas incydentu drenażowi uległy co najmniej dwa adresy związane z infrastrukturą adaptera.
• Haker rozproszył skradzione tokeny POL na wiele portfeli, co jest powszechną taktyką utrudniającą śledzenie.
• Część zysków została przesłana na giełdy kryptowalut, prawdopodobnie w celu wymiany lub wypłaty środków.

Ponieważ transakcje blockchain są publiczne, detektywi mogli krok po kroku śledzić te transfery na bieżąco.

Dlaczego Polymarket twierdzi, że to nie był exploit smart kontraktu?

Choć wczesne doniesienia mówiły o „exploicie”, Polymarket później wyjaśnił, że problem wynikał z skompromitowanego klucza prywatnego należącego do wewnętrznego portfela operacyjnego.

To rozróżnienie jest istotne:

• Exploit smart kontraktu: atakujący łamią logikę wdrożonego kodu, aby wyprowadzić środki.
• Kompromitacja klucza prywatnego: atakujący uzyskują uprawnienia do podpisywania transakcji dla portfela i wykonują prawidłowe transakcje, ale bez autoryzacji.

Według Polymarket, haker po prostu użył skradzionego klucza do podpisywania wypłat, co oznacza, że system działał zgodnie z projektem – tylko pod nieautoryzowaną kontrolą.

Co Polymarket powiedział o środkach użytkowników?

Polymarket publicznie podkreślił, że włamanie nie wpłynęło na środki klientów ani mechanizmy rozliczania rynków platformy. Główna infrastruktura i rynki prognostyczne działały normalnie, mimo kompromitacji portfela operacyjnego.

Firma oświadczyła, że incydent miał ograniczony zasięg i nie dotyczył głównych kontraktów handlowych ani rozliczeniowych używanych przez użytkowników.

Kluczowe pytania, które pozostają bez odpowiedzi

Nawet po wstępnych wyjaśnieniach, kilka ważnych pytań dotyczących bezpieczeństwa pozostało nierozwiązanych w momencie publikacji:

• Jak doszło do kompromitacji klucza prywatnego? Platforma nie ujawniła, czy wyciek nastąpił z infrastruktury, urządzenia dewelopera czy innej operacyjnej przyczyny.
• Dlaczego portfel miał wystarczające uprawnienia do przemieszczania znacznych środków bez natychmiastowych zabezpieczeń?
• Dlaczego powtarzające się wypłaty trwały przez dłuższy czas, co sugeruje, że mechanizmy monitorowania lub ograniczania szybkości transakcji nie zadziałały od razu?
• Jakie praktyki zarządzania kluczami były stosowane, takie jak kontrole multisig czy moduły bezpieczeństwa sprzętowego?

Bez szczegółowego raportu powłamaniowego (postmortem) obserwatorzy mogli jedynie stwierdzić, że incydent był najprawdopodobniej błędem w bezpieczeństwie operacyjnym, a nie luką na poziomie protokołu.

Główna lekcja dla bezpieczeństwa DeFi

Włamanie na Polymarket podkreśla powtarzającą się lekcję w zdecentralizowanych finansach: nawet gdy smart kontrakty są bezpieczne, infrastruktura operacyjna i zarządzanie kluczami pozostają krytycznymi powierzchniami ataku. Skompromitowane klucze mogą dać atakującym prawowitą władzę do przeprowadzania transakcji, omijając wiele zabezpieczeń wbudowanych w kod on-chain.

Dla platform obsługujących złożone systemy, które współpracują z wyroczniami, adapterami i portfelami operacyjnymi, incydent ten podkreśla znaczenie ścisłego zarządzania kluczami, monitorowania i separacji uprawnień.