Polymarket, bu ihlalin platformun ana akıllı sözleşmelerinde veya kullanıcı bakiyelerinde bir güvenlik açığı içermediğini vurguladı. Şirket, olayı, ödeme veya altyapı görevleri gibi bazı platform fonksiyonları için kullanılan bir iç operasyon cüzdanının özel anahtarının ele geçirilmesine bağladı.

UMA CTF Adaptörü Ne İşe Yarıyor?

Polymarket, gerçek dünya tahmin piyasalarının sonuçlarını belirlemek için UMA'nın İyimser Kahin (Optimistic Oracle) sistemini kullanıyor. UMA CTF Adaptörü, Polymarket'in koşullu token çerçevesi (CTF) ile UMA'nın kahin sistemi arasında bir köprü görevi görerek piyasaların sonuçların doğrulanmasının ardından çözülmesini sağlıyor.

Bu adaptör katmanı, platformun Polygon üzerindeki yerleşim altyapısının önemli bir operasyonel bileşenidir.

İlk uyarılar olayı olası bir sözleşme istismarı olarak tanımlarken, Polymarket'in daha sonraki açıklamaları, temeldeki akıllı sözleşme mantığının sağlam kaldığını gösterdi.

Saldırı Nasıl Tespit Edildi?

İhlal ilk olarak blockchain araştırmacısı ZachXBT tarafından yapılan zincir üstü izleme sayesinde ortaya çıktı.

ZachXBT, adaptörle ilgili adreslerde olağan dışı bir hareketlilik fark etti: her 30 saniyede bir yaklaşık 5.000 POL'un tekrar tekrar çekildiği bir model gözlemledi.

Bu tekrarlayan işlemler, tek bir istismar işleminden ziyade otomatik bir boşaltma işlemini işaret ediyordu. Bu durum, kripto izleme kanallarında ve haber sitelerinde uyarılara yol açtı. Araştırmacılar cüzdan faaliyetlerini gerçek zamanlı olarak takip ederken, çalınan fonların tahmini değeri artmaya devam etti.

Saldırgan Parayı Nasıl Taşıdı?

Zincir üstü analizler şunları gösterdi:

• Olay sırasında adaptör altyapısıyla bağlantılı en az iki adres boşaltıldı.
• Saldırgan, çalınan POL token'larını, takibi zorlaştırmak için yaygın bir taktik olan birden fazla cüzdana dağıttı.
• Çalınan varlıkların bir kısmı, takas edilmek veya nakde çevrilmek üzere kripto para borsalarına aktarıldı.

Blockchain işlemleri herkese açık olduğu için araştırmacılar bu transferleri adım adım takip edebildi.

Polymarket Neden Bunun Bir Akıllı Sözleşme İstismarı Olmadığını Söyledi?

İlk haberlerde olay bir "istismar (exploit)" olarak nitelendirilse de Polymarket daha sonra sorunun bir iç operasyon cüzdanına ait özel anahtarın ele geçirilmesinden kaynaklandığını açıkladı.

Bu ayrım önemlidir:

• Akıllı sözleşme istismarı: Saldırganlar, fonları çekmek için dağıtılmış kodun mantığındaki bir açığı kullanır.
• Özel anahtarın ele geçirilmesi: Saldırganlar, bir cüzdan üzerinde meşru imza yetkisi elde eder ve geçerli işlemler gerçekleştirir.

Polymarket'e göre, saldırgan çalınan anahtarı kullanarak çekimleri imzaladı; bu, sistemin tasarlandığı gibi çalıştığı ancak yetkisiz bir kontrol altında olduğu anlamına geliyor.

Polymarket Kullanıcı Fonları Hakkında Ne Dedi?

Polymarket, bu ihlalin müşteri fonlarını veya platformun piyasa çözüm mekanizmalarını etkilemediğini kamuoyuna duyurdu. Ana altyapı ve tahmin piyasaları, tehlikeye giren operasyonel cüzdana rağmen normal şekilde çalışmaya devam etti.

Şirket, olayın sınırlı kapsamda olduğunu ve kullanıcıların kullandığı temel alım-satım veya çözüm sözleşmelerini içermediğini belirtti.

Geriye Kalan Önemli Sorular

İlk açıklamalara rağmen, raporların hazırlandığı sırada birkaç önemli güvenlik sorusu yanıtsız kaldı:

• Özel anahtar nasıl ele geçirildi? Platform, anahtar sızıntısının altyapıdan mı, bir geliştirici cihazından mı yoksa başka bir operasyonel hatadan mı kaynaklandığını açıklamadı.
• Cüzdan neden önemli miktarda fonu anında güvenlik önlemi olmadan taşıyabilecek kadar geniş yetkilere sahipti?
• Tekrarlayan çekimler neden uzun bir süre boyunca devam etti? Bu, izleme veya hız sınırlama kontrollerinin faaliyeti hemen durduramadığını gösteriyor.
• Çoklu imza kontrolleri veya donanım güvenlik modülleri gibi hangi anahtar yönetimi uygulamaları mevcuttu?

Detaylı bir teknik otopsi raporu olmadan, gözlemciler olayın büyük olasılıkla bir protokol düzeyinde bir kusurdan ziyade bir operasyonel güvenlik başarısızlığı olduğu sonucuna varabildi.

DeFi Güvenliği İçin Genel Çıkarım

Polymarket ihlali, merkeziyetsiz finansta (DeFi) sıkça tekrarlanan bir dersi bir kez daha hatırlatıyor: akıllı sözleşmeler güvenli olsa bile, operasyonel altyapı ve anahtar yönetimi kritik saldırı yüzeyleri olmaya devam ediyor. Ele geçirilen anahtarlar, saldırganlara meşru işlem yetkisi vererek zincir üstü koda yerleştirilmiş birçok korumayı atlatabilir.

Kahinler, adaptörler ve operasyonel cüzdanlarla etkileşime giren karmaşık sistemler çalıştıran platformlar için bu olay, sıkı anahtar yönetimi, izleme ve yetki ayrımının önemini bir kez daha vurguluyor.

Polymarket, bu ihlalin platformun ana akıllı sözleşmelerinde veya kullanıcı bakiyelerinde bir güvenlik açığı içermediğini vurguladı. Şirket, olayı, ödeme veya altyapı görevleri gibi bazı platform fonksiyonları için kullanılan bir iç operasyon cüzdanının özel anahtarının ele geçirilmesine bağladı.

UMA CTF Adaptörü Ne İşe Yarıyor?

Polymarket, gerçek dünya tahmin piyasalarının sonuçlarını belirlemek için UMA'nın İyimser Kahin (Optimistic Oracle) sistemini kullanıyor. UMA CTF Adaptörü, Polymarket'in koşullu token çerçevesi (CTF) ile UMA'nın kahin sistemi arasında bir köprü görevi görerek piyasaların sonuçların doğrulanmasının ardından çözülmesini sağlıyor.

Bu adaptör katmanı, platformun Polygon üzerindeki yerleşim altyapısının önemli bir operasyonel bileşenidir.

İlk uyarılar olayı olası bir sözleşme istismarı olarak tanımlarken, Polymarket'in daha sonraki açıklamaları, temeldeki akıllı sözleşme mantığının sağlam kaldığını gösterdi.

Saldırı Nasıl Tespit Edildi?

İhlal ilk olarak blockchain araştırmacısı ZachXBT tarafından yapılan zincir üstü izleme sayesinde ortaya çıktı.

ZachXBT, adaptörle ilgili adreslerde olağan dışı bir hareketlilik fark etti: her 30 saniyede bir yaklaşık 5.000 POL'un tekrar tekrar çekildiği bir model gözlemledi.

Bu tekrarlayan işlemler, tek bir istismar işleminden ziyade otomatik bir boşaltma işlemini işaret ediyordu. Bu durum, kripto izleme kanallarında ve haber sitelerinde uyarılara yol açtı. Araştırmacılar cüzdan faaliyetlerini gerçek zamanlı olarak takip ederken, çalınan fonların tahmini değeri artmaya devam etti.

Saldırgan Parayı Nasıl Taşıdı?

Zincir üstü analizler şunları gösterdi:

• Olay sırasında adaptör altyapısıyla bağlantılı en az iki adres boşaltıldı.
• Saldırgan, çalınan POL token'larını, takibi zorlaştırmak için yaygın bir taktik olan birden fazla cüzdana dağıttı.
• Çalınan varlıkların bir kısmı, takas edilmek veya nakde çevrilmek üzere kripto para borsalarına aktarıldı.

Blockchain işlemleri herkese açık olduğu için araştırmacılar bu transferleri adım adım takip edebildi.

Polymarket Neden Bunun Bir Akıllı Sözleşme İstismarı Olmadığını Söyledi?

İlk haberlerde olay bir "istismar (exploit)" olarak nitelendirilse de Polymarket daha sonra sorunun bir iç operasyon cüzdanına ait özel anahtarın ele geçirilmesinden kaynaklandığını açıkladı.

Bu ayrım önemlidir:

• Akıllı sözleşme istismarı: Saldırganlar, fonları çekmek için dağıtılmış kodun mantığındaki bir açığı kullanır.
• Özel anahtarın ele geçirilmesi: Saldırganlar, bir cüzdan üzerinde meşru imza yetkisi elde eder ve geçerli işlemler gerçekleştirir.

Polymarket'e göre, saldırgan çalınan anahtarı kullanarak çekimleri imzaladı; bu, sistemin tasarlandığı gibi çalıştığı ancak yetkisiz bir kontrol altında olduğu anlamına geliyor.

Polymarket Kullanıcı Fonları Hakkında Ne Dedi?

Polymarket, bu ihlalin müşteri fonlarını veya platformun piyasa çözüm mekanizmalarını etkilemediğini kamuoyuna duyurdu. Ana altyapı ve tahmin piyasaları, tehlikeye giren operasyonel cüzdana rağmen normal şekilde çalışmaya devam etti.

Şirket, olayın sınırlı kapsamda olduğunu ve kullanıcıların kullandığı temel alım-satım veya çözüm sözleşmelerini içermediğini belirtti.

Geriye Kalan Önemli Sorular

İlk açıklamalara rağmen, raporların hazırlandığı sırada birkaç önemli güvenlik sorusu yanıtsız kaldı:

• Özel anahtar nasıl ele geçirildi? Platform, anahtar sızıntısının altyapıdan mı, bir geliştirici cihazından mı yoksa başka bir operasyonel hatadan mı kaynaklandığını açıklamadı.
• Cüzdan neden önemli miktarda fonu anında güvenlik önlemi olmadan taşıyabilecek kadar geniş yetkilere sahipti?
• Tekrarlayan çekimler neden uzun bir süre boyunca devam etti? Bu, izleme veya hız sınırlama kontrollerinin faaliyeti hemen durduramadığını gösteriyor.
• Çoklu imza kontrolleri veya donanım güvenlik modülleri gibi hangi anahtar yönetimi uygulamaları mevcuttu?

Detaylı bir teknik otopsi raporu olmadan, gözlemciler olayın büyük olasılıkla bir protokol düzeyinde bir kusurdan ziyade bir operasyonel güvenlik başarısızlığı olduğu sonucuna varabildi.

DeFi Güvenliği İçin Genel Çıkarım

Polymarket ihlali, merkeziyetsiz finansta (DeFi) sıkça tekrarlanan bir dersi bir kez daha hatırlatıyor: akıllı sözleşmeler güvenli olsa bile, operasyonel altyapı ve anahtar yönetimi kritik saldırı yüzeyleri olmaya devam ediyor. Ele geçirilen anahtarlar, saldırganlara meşru işlem yetkisi vererek zincir üstü koda yerleştirilmiş birçok korumayı atlatabilir.

Kahinler, adaptörler ve operasyonel cüzdanlarla etkileşime giren karmaşık sistemler çalıştıran platformlar için bu olay, sıkı anahtar yönetimi, izleme ve yetki ayrımının önemini bir kez daha vurguluyor.