Incidente de seguridad de Polymarket drena $520K en tokens de Polygon
- Un contrato de Polymarket en Polygon fue vaciado por más de $520,000 el 22 de mayo.
- El investigador on-chain ZachXBT identificó una dirección de implementación comprometida como la causa probable.
- El atacante re-inicializó el contrato administrador del adaptador antes de retirar las garantías.
Un incidente de seguridad de Polymarket drenó más de $520,000 en colateral del contrato UMA CTF Adapter de la plataforma en Polygon el 22 de mayo de 2026.
El investigador on-chain ZachXBT señaló el incidente en una alerta comunitaria y señaló una dirección de despliegue comprometida como el punto de entrada probable del ataque. El drenaje se desarrolló en una ventana corta alrededor de las 09:00 UTC.
No se había publicado ningún aviso oficial de Polymarket o UMA en el momento del informe.
¿Cómo se desarrolló el drenaje de Polymarket?
El hackeo apuntó al Contrato de Administrador del Adaptador UMA CTF de Polymarket en la dirección 0x91430C…E5c5, que es un proxy actualizable que gestiona el adaptador principal que contiene el colateral del mercado. La cadena de bloques revela los eventos iniciales registrados en el Contrato de Administrador alrededor de las 09:00:30 UTC. Esto debería generar una alarma sobre una explotación del patrón de proxy.
Los eventos iniciales fueron rápidamente seguidos por eventos de transferencia de la moneda nativa de Polygon, POL. A las 09:00:49, el administrador del adaptador recibió 5,000 POL de una dirección de Polymarket. Cinco segundos después, envió cerca de 9,994 POL a la cuenta controlada por el atacante. El patrón se repitió a las 09:01:19 con otro flujo entrante de 5,000 POL, seguido de una transferencia de cerca de 5,000 POL a la misma dirección del atacante a las 09:01:26.
La transferencia de dos pasos movió más de 10,000 POL fuera del adaptador en menos de un minuto. Las direcciones drenadas listadas por ZachXBT, 0x871D7c0f y 0xf61e39C7, habían enviado colateral al adaptador que el atacante luego retiró a través del contrato de administrador. La dirección del atacante principal recibió las transferencias de POL y comenzó a consolidar los fondos poco después.
Una clave comprometida, no un error en el contrato inteligente
De esta manera, la cadena de llamadas de inicialización al contrato de administrador muestra el riesgo de robo de claves y vulnerabilidad de inicialización en lugar de cualquier problema con la lógica del oráculo optimista de UMA. El contrato se basaba en el oráculo UMA, pero la brecha ocurrió en el nivel de control de acceso, y el hacker recibió la capacidad de realizar llamadas solo de administrador.
Se puede asumir que ya sea el proceso de despliegue ocurrió con la ayuda de una clave comprometida por los atacantes o que había un proxy de contrato no inicializado disponible para la explotación. Después de recibir poderes de administrador, el hacker podría retirar todo el saldo de colateral sin necesidad de exploits personalizados.
El hackeo de Polymarket se asemeja a eventos similares reportados a principios de 2026. Por ejemplo, el hackeo de Step Finance de aproximadamente $27.3 millones ocurrió debido a una brecha de la clave ejecutiva y el mecanismo multi-sig a principios de 2026.
Un caso similar es el hackeo de Drift Protocol de aproximadamente $285 millones; ocurrió en abril de 2026 como resultado de una clave de administrador obtenida mediante ingeniería social, lo que permitió la inclusión en la lista blanca de colaterales sin valor. No hubo vulnerabilidades de software en esos contratos inteligentes.
Actividad y rastreo de la billetera del atacante
La dirección 0x8F98075d debería ser señalada como altamente sospechosa porque fue el destino de ambas transferencias de colateral POL y es la mayor oportunidad para el movimiento de valor robado fuera o dentro de la red Polygon.
De manera similar, la dirección intermediaria involucrada en las llamadas de inicialización 0x65070BE9 puede asumirse controlada por los atacantes y merece un monitoreo similar.
Basándose en experiencias pasadas, existe la posibilidad de que el siguiente paso involucre puentes cross-chain y mezcladores. En el caso de Drift, los fondos robados fueron parcialmente transferidos a Ethereum a través del protocolo cross-chain perteneciente a Circle antes del lavado. No hubo informes de puentes salientes grandes desde las direcciones sospechosas en el momento del informe.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Vignesh Karunanidhi
Vignesh es escritor de contenido cripto, periodista cripto, editor de contenido y gestor de redes sociales. Ha trabajado con Watcher.guru, BeInCrypto, CoinGape, Milkroad y Airdrops durante más de 6 años. Sus habilidades para cubrir noticias de tecnología, robótica, negocios e inteligencia artificial se perfeccionaron gracias a una maestría en Comercio.
