- Ein Polymarket-Vertrag auf Polygon wurde am 22. Mai um mehr als 520.000 Dollar geleert.
- Der On-Chain-Ermittler ZachXBT hat eine kompromittierte Deployer-Adresse als wahrscheinliche Ursache identifiziert.
- Der Angreifer hat den Adapter-Admin-Vertrag neu initialisiert, bevor er die Sicherheiten abhob.
Ein Polymarket-Sicherheitsvorfall entleerte am 22. Mai 2026 mehr als 520.000 US-Dollar an Sicherheiten aus dem UMA-CTF-Adapter-Vertrag der Plattform auf Polygon.
Der On-Chain-Ermittler ZachXBT markierte den Vorfall in einem Community-Alert und wies auf eine kompromittierte Deployer-Adresse als wahrscheinlichen Einstiegspunkt für den Angriff hin. Die Entleerung spielte sich in einem kurzen Fenster um 09:00 Uhr UTC ab.
Zum Zeitpunkt der Berichterstattung war keine offizielle Mitteilung von Polymarket oder UMA veröffentlicht worden.
Wie spielte sich die Polymarket-Entleerung ab?
Der Hack zielte auf den Polymarket UMA CTF Adapter Admin Contract unter der Adresse 0x91430C…E5c5 ab, der ein upgradbarer Proxy ist, der den Hauptadapter verwaltet, der die Marktsicherheiten hält. Die Blockchain zeigt die ersten Ereignisse, die um 09:00:30 Uhr UTC im Admin Contract aufgezeichnet wurden. Dies sollte ein Alarmzeichen für einen Proxy-Pattern-Exploit sein.
Den ersten Ereignissen folgten schnell Übertragungsereignisse für die native Währung von Polygon, POL. Um 09:00:49 Uhr erhielt der Adapter-Admin 5.000 POL von einer Polymarket-Adresse. Fünf Sekunden später sendete er fast 9.994 POL an das angreiferkontrollierte Konto. Das Muster wiederholte sich um 09:01:19 Uhr mit einem weiteren POL-Zufluss von 5.000, gefolgt von einer Übertragung von fast 5.000 POL an dieselbe Angreiferadresse um 09:01:26 Uhr.
Die zweistufige Übertragung bewegte mehr als 10.000 POL aus dem Adapter in weniger als einer Minute. Die von ZachXBT aufgeführten entleerten Adressen, 0x871D7c0f und 0xf61e39C7, hatten Sicherheiten in den Adapter eingezahlt, die der Angreifer dann über den Admin-Vertrag abzog. Die primäre Angreiferadresse erhielt die POL-Übertragungen und begann kurz darauf, die Mittel zu konsolidieren.
Ein kompromittierter Schlüssel, kein Smart-Contract-Bug
Auf diese Weise zeigt die Kette der Initialisierungsaufrufe an den Admin-Vertrag das Risiko eines Schlüssel-Diebstahls und einer Initialisierungsanfälligkeit auf, anstatt ein Problem mit der UMA-optimistischen Oracle-Logik. Der Vertrag basierte auf dem UMA-Oracle, aber der Bruch geschah auf der Zugriffskontrollebene, und der Hacker erhielt die Möglichkeit, nur für Administratoren vorgesehene Aufrufe durchzuführen.
Es kann angenommen werden, dass entweder der Bereitstellungsprozess mit Hilfe eines von Angreifern kompromittierten Schlüssels geschah oder ein nicht initialisierter Vertrags-Proxy für die Ausnutzung verfügbar war. Nach Erhalt der Administratorrechte konnte der Hacker den gesamten Sicherheitenbestand ohne Notwendigkeit von benutzerdefinierten Exploits abheben.
Der Polymarket-Hack ähnelt ähnlichen Ereignissen, die Anfang 2026 gemeldet wurden. Zum Beispiel geschah der Step-Finance-Hack von etwa 27,3 Millionen US-Dollar aufgrund einer Verletzung des Executive-Keys und des Multi-Sig-Mechanismus zu Beginn von 2026.
Ein ähnlicher Fall ist der Drift-Protocol-Hack von etwa 285 Millionen US-Dollar; er geschah im April 2026 als Ergebnis eines sozial manipulierten Admin-Keys, der das Whitelisting wertloser Sicherheiten ermöglichte. Es gab keine Software-Schwachstellen in diesen Smart Contracts.
Aktivität und Rückverfolgung der Angreifer-Wallet
Die Adresse 0x8F98075d sollte als hochverdächtig markiert werden, da sie das Ziel für beide POL-Sicherheitsübertragungen war und die größte Möglichkeit für die Bewegung gestohlener Werte aus oder in das Polygon-Netzwerk darstellt.
Ebenso kann die Zwischenadresse, die an Initialisierungsaufrufen beteiligt ist, 0x65070BE9, als von Angreifern kontrolliert angenommen werden und verdient eine ähnliche Überwachung.
Basierend auf vergangenen Erfahrungen besteht die Möglichkeit, dass der nächste Schritt Cross-Chain-Bridges und Mixing beinhaltet. Im Fall von Drift wurden die gestohlenen Mittel teilweise über das Cross-Chain-Protokoll von Circle vor dem Geldwäschevorgang auf Ethereum überführt. Zum Zeitpunkt der Berichterstattung gab es keine Berichte über große ausgehende Bridges von den verdächtigen Adressen.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Vignesh Karunanidhi
Vignesh ist ein Krypto-Inhaltsautor, Krypto-Journalist, Content-Editor und Social-Media-Manager. Er arbeitet seit über 6 Jahren mit Watcher.guru, BeInCrypto, CoinGape, Milkroad und Airdrops zusammen. Seine Fähigkeiten im Bereich Tech-, Robotik-, Business- und KI-Nachrichten wurden durch einen Master of Commerce vertieft.
