เหตุการณ์แฮ็ก Polymarket ปี 2026: กระเป๋าภายในถูกเจาะ สูญเสีย POL กว่า 5 แสนดอลลาร์

ภาพรวมเหตุการณ์

เมื่อวันที่ 22 พฤษภาคม 2026 แพลตฟอร์ม prediction market อย่าง Polymarket ยืนยันว่ามีเหตุการณ์ด้านความปลอดภัยเกิดขึ้น โดยผู้โจมตีสามารถดูดเหรียญ POL มูลค่าหลายแสนดอลลาร์จาก กระเป๋าปฏิบัติการภายใน (internal operations wallet) ที่เชื่อมกับโครงสร้างพื้นฐาน UMA CTF Adapter บนเครือข่าย Polygon

การประเมินความเสียหายแตกต่างกันตามช่วงเวลาที่ติดตามธุรกรรม โดยตัวเลขอยู่ประมาณ 520,000–660,000 ดอลลาร์สหรัฐ จากเหรียญ POL ที่ถูกถอนออกไปอย่างต่อเนื่อง

สิ่งสำคัญคือ Polymarket ระบุว่า ระบบ smart contract หลักและเงินของผู้ใช้ไม่ได้ถูกเจาะ โดยสาเหตุของเหตุการณ์ครั้งนี้มาจาก private key ของกระเป๋าภายในที่ถูกเปิดเผยหรือถูกขโมย ซึ่งเป็นกระเป๋าที่ใช้สำหรับงานโครงสร้างพื้นฐานบางส่วน เช่น การจ่ายรางวัลหรือการดำเนินการของระบบ

UMA CTF Adapter คืออะไร

Polymarket ใช้ระบบ Optimistic Oracle ของ UMA เพื่อยืนยันผลลัพธ์ของเหตุการณ์จริงในตลาดทำนายผล (prediction market)

ตัวกลางที่เรียกว่า UMA CTF Adapter ทำหน้าที่เชื่อมระบบ Conditional Token Framework (CTF) ของ Polymarket เข้ากับ oracle ของ UMA เพื่อให้ตลาดสามารถ “ปิดผล” ได้หลังจากข้อมูลเหตุการณ์ถูกยืนยันแล้ว

องค์ประกอบนี้จึงเป็นส่วนหนึ่งของโครงสร้างการชำระผลตลาดบนเครือข่าย Polygon

ในช่วงแรกของเหตุการณ์ หลายรายงานเรียกเหตุการณ์นี้ว่าเป็น "exploit" ของ smart contract แต่ภายหลัง Polymarket ชี้แจงว่า ตรรกะของสัญญาอัจฉริยะไม่ได้ถูกเจาะ

การตรวจพบการโจมตี

สัญญาณเตือนครั้งแรกมาจากการติดตามธุรกรรมบนบล็อกเชนโดยนักสืบคริปโต ZachXBT

เขาพบกิจกรรมผิดปกติจาก address ที่เกี่ยวข้องกับ adapter หลังเห็นรูปแบบการถอนเหรียญซ้ำ ๆ โดยมีธุรกรรม ประมาณ 5,000 POL ทุก 30 วินาที

รูปแบบดังกล่าวบ่งชี้ว่าเป็น การดูดเงินแบบอัตโนมัติ มากกว่าธุรกรรมโจมตีครั้งเดียว ทำให้มีการแจ้งเตือนในชุมชนคริปโตและสื่อข่าว ขณะเดียวกันผู้ติดตาม on‑chain ก็สามารถเห็นการเคลื่อนย้ายเงินเกิดขึ้นแบบเรียลไทม์

ผู้โจมตีย้ายเงินอย่างไร

การวิเคราะห์ธุรกรรมบนบล็อกเชนพบว่า

• มี อย่างน้อยสอง address ที่เกี่ยวข้องกับโครงสร้าง adapter ถูกดูดเงินออก
• เหรียญ POL ที่ถูกขโมยถูก กระจายไปหลายกระเป๋า เพื่อทำให้การติดตามยากขึ้น
• เงินบางส่วนถูก ส่งต่อไปยังแพลตฟอร์มแลกเปลี่ยนคริปโต ซึ่งอาจใช้สำหรับการแปลงเหรียญหรือถอนเป็นสินทรัพย์อื่น

เนื่องจากธุรกรรมบนบล็อกเชนเป็นข้อมูลสาธารณะ นักวิเคราะห์จึงสามารถติดตามเส้นทางเงินได้เกือบทุกขั้นตอน

ทำไม Polymarket บอกว่าไม่ใช่ช่องโหว่ Smart Contract

แม้รายงานช่วงแรกจะใช้คำว่า exploit แต่ทีมงาน Polymarket ชี้แจงในภายหลังว่า ปัญหาเกิดจาก

private key ของกระเป๋าปฏิบัติการภายในถูก compromise

ความแตกต่างสำคัญมีดังนี้

• Smart‑contract exploit: ผู้โจมตีใช้ช่องโหว่ในโค้ดเพื่อดึงเงินออก
• Private‑key compromise: ผู้โจมตีได้สิทธิ์เซ็นธุรกรรมจากกระเป๋าโดยตรง

ในกรณีนี้ ผู้โจมตีเพียงแค่ใช้คีย์ที่ถูกขโมยเพื่อเซ็นธุรกรรมถอนเงิน ซึ่งทำให้ระบบทำงาน “ตามปกติ” แต่ถูกควบคุมโดยบุคคลที่ไม่ได้รับอนุญาต

เงินผู้ใช้ปลอดภัยหรือไม่

Polymarket ระบุชัดว่าเหตุการณ์นี้

• ไม่กระทบเงินของผู้ใช้
• ไม่กระทบระบบ settlement ของตลาด
• โครงสร้างพื้นฐานหลักยังทำงานปกติ

กล่าวคือ ความเสียหายจำกัดอยู่ที่กระเป๋าปฏิบัติการภายในบางส่วนเท่านั้น

คำถามด้านความปลอดภัยที่ยังค้างอยู่

แม้จะมีคำอธิบายเบื้องต้น แต่ยังมีประเด็นสำคัญหลายข้อที่ยังไม่ได้รับคำตอบ

• private key ถูกขโมยได้อย่างไร ยังไม่มีการเปิดเผยว่าเกิดจากเครื่องนักพัฒนา เซิร์ฟเวอร์ หรือระบบอื่น
• สิทธิ์ของกระเป๋านั้นสูงเกินไปหรือไม่ เพราะสามารถเคลื่อนย้ายเงินจำนวนมากได้
• เหตุใดการถอนซ้ำ ๆ จึงเกิดขึ้นต่อเนื่องได้ระยะหนึ่ง โดยไม่ถูกหยุดทันที
• มีระบบ key management แบบใด เช่น multisig หรือ hardware security module หรือไม่

จนกว่าจะมีรายงาน post‑mortem ทางเทคนิค รายละเอียดเหล่านี้ยังคงไม่ชัดเจน

บทเรียนสำคัญสำหรับ DeFi

เหตุการณ์นี้สะท้อนบทเรียนที่พบซ้ำในโลก DeFi คือ แม้ smart contract จะปลอดภัย แต่

โครงสร้างการดำเนินงานและการจัดการ private key ยังเป็นจุดเสี่ยงสำคัญ

หากคีย์ถูกขโมย ผู้โจมตีสามารถทำธุรกรรมได้อย่างถูกต้องตามระบบ ทำให้การป้องกันที่สร้างไว้ในระดับสัญญาอัจฉริยะไม่สามารถหยุดการโจมตีได้

สำหรับแพลตฟอร์มที่เชื่อมต่อกับ oracle, adapter และกระเป๋าปฏิบัติการหลายตัว เหตุการณ์นี้จึงย้ำถึงความจำเป็นของ

• การจัดการคีย์ที่เข้มงวด
• การแบ่งสิทธิ์ระบบอย่างชัดเจน
• การเฝ้าระวังธุรกรรมแบบเรียลไทม์

เพื่อป้องกันเหตุการณ์ลักษณะเดียวกันในอนาคต