Undent de seguridad en Polymarket provoca la pérdida de 520.000 dólares en tokens Polygon

Undent de seguridad en Polymarket provocó la pérdida de más de 520.000 dólares en garantías deltracdel adaptador UMA CTF de la plataforma en Polygon el 22 de mayo de 2026.

El investigador de la cadena de bloques ZachXBT alertó sobre el incidentedent una comunidad y señaló una dirección IP de un implementador comprometida como el punto de entrada probable del ataque. El ataque se produjo en un breve lapso de tiempo alrededor de las 09:00 UTC.

ningún comunicado oficial Polymarket y UMA no habían publicado

¿Cómo se desarrolló el proceso de drenaje de Polymarket?

El ataque tuvo como objetivo eltracde administración del adaptador UMA CTF de Polymarket en la dirección 0x91430C…E5c5, que es un proxy actualizable que administra el adaptador principal que contiene la garantía del mercado. La cadena de bloques revela los eventos iniciales registrados en eltracde administración alrededor de las 09:00:30 UTC. Esto debería alertar sobre una posible vulnerabilidad de patrón de proxy.

Los eventos iniciales fueron seguidos rápidamente por transferencias de la criptomoneda nativa de Polygon, POL. A las 09:00:49, el administrador del adaptador recibió 5000 POL de una dirección de Polymarket. Cinco segundos después, envió cerca de 9994 POL a la cuenta controlada por el atacante. El patrón se repitió a las 09:01:19 con otra entrada de 5000 POL, seguida de una transferencia de casi 5000 POL a la misma dirección del atacante a las 09:01:26.

La transferencia en dos pasos extrajo más de 10 000 POL del adaptador en menos de un minuto. Las direcciones drenadas que ZachXBT mencionó, 0x871D7c0f y 0xf61e39C7, habían enviado garantías al adaptador que el atacante retiró posteriormente mediante eltracde administrador. La dirección principal del atacante recibió las transferencias de POL y comenzó a consolidar los fondos poco después.

Una clave comprometida, no un fallo en untracinteligente

De esta forma, la cadena de llamadas de inicialización altracde administrador evidencia el riesgo de robo de claves y vulnerabilidad de inicialización, más que cualquier problema con la lógica del oráculo optimista UMA. Eltracse basaba en el oráculo UMA, pero la brecha se produjo en el nivel de control de acceso, y el hacker obtuvo la capacidad de realizar llamadas exclusivas para administradores.

Se puede suponer que el proceso de despliegue se realizó con la ayuda de una clave comprometida por los atacantes o que existía un proxy detracno inicializado que pudo ser explotado. Tras obtener privilegios de administrador, el hacker pudo retirar la totalidad del saldo de la garantía sin necesidad de exploits personalizados.

El ataque informático a Polymarket se asemeja a otros sucesos similares ocurridos a principios de 2026. Por ejemplo, el ataque a Step Finance, que supuso un desembolso de aproximadamente 27,3 millones de dólares, se produjo debido a una brecha en la clave ejecutiva y el mecanismo de multifirma a principios de 2026.

Un caso similar es el hackeo del Protocolo Drift, que costó alrededor de 285 millones de dólares; ocurrió en abril de 2026 como resultado de una clave de administrador obtenida mediante ingeniería social, que permitió incluir en la lista blanca garantías sin valor. No existían vulnerabilidades de software en esos contratostrac.

Actividad y tracde la billetera del atacante

La dirección 0x8F98075d debe considerarse altamente sospechosa porque fue el destino de ambas transferencias de garantías de POL y representa la mayor oportunidad para el movimiento de valor robado desde o hacia la red Polygon.

De igual modo, se puede suponer que la dirección intermedia involucrada en la inicialización de las llamadas 0x65070BE9 está controlada por atacantes y merece una vigilancia similar.

Basándonos en experiencias pasadas, es posible que el siguiente paso implique puentes entre cadenas y mezcla de criptomonedas. En el caso de Drift, los fondos robados se transfirieron parcialmente a Ethereum mediante el protocolo entre cadenas de Circle antes del blanqueo. Hasta la fecha, no se han reportado grandes transferencias salientes desde las direcciones sospechosas.