Incidente di sicurezza di Polymarket: drenati $520K in token Polygon

Un incidente di sicurezza di Polymarket ha drenato più di 520.000 dollari di garanzie dal contratto UMA CTF Adapter della piattaforma su Polygon il 22 maggio 2026.

L'investigatore on-chain ZachXBT ha segnalato l'incidente in un avviso alla comunità e ha indicato un indirizzo deployer compromesso come probabile punto di ingresso per l'attacco. Il drenaggio si è svolto in una breve finestra intorno alle 09:00 UTC.

Al momento della segnalazione, non era stato pubblicato alcun avviso ufficiale da Polymarket o UMA.

Come si è svolto il drenaggio di Polymarket?

L'hack ha preso di mira il Polymarket UMA CTF Adapter Admin Contract all'indirizzo 0x91430C…E5c5, che è un proxy aggiornabile che gestisce l'adapter principale che detiene le garanzie di mercato. La blockchain rivela gli eventi iniziali registrati sull'Admin Contract intorno alle 09:00:30 UTC. Questo dovrebbe sollevare un allarme su un exploit del pattern proxy.

Gli eventi iniziali sono stati rapidamente seguiti da eventi di trasferimento per la valuta nativa di Polygon, POL. Alle 09:00:49, l'admin dell'adapter ha ricevuto 5.000 POL da un indirizzo Polymarket. Cinque secondi dopo, ha inviato quasi 9.994 POL all'account controllato dall'attaccante. Il pattern si è ripetuto alle 09:01:19 con un altro afflusso di 5.000 POL, seguito da un trasferimento di quasi 5.000 POL allo stesso indirizzo dell'attaccante alle 09:01:26.

Il trasferimento in due fasi ha spostato più di 10.000 POL fuori dall'adapter in meno di un minuto. Gli indirizzi drenati elencati da ZachXBT, 0x871D7c0f e 0xf61e39C7, avevano inviato garanzie nell'adapter che l'attaccante ha poi prelevato attraverso il contratto admin. L'indirizzo dell'attaccante principale ha ricevuto i trasferimenti POL e ha iniziato a consolidare i fondi poco dopo.

Una chiave compromessa, non un bug dello smart contract

In questo modo, la catena di chiamate di inizializzazione al contratto admin mostra il rischio di furto di chiavi e vulnerabilità di inizializzazione piuttosto che qualsiasi problema con la logica dell'oracle ottimistico UMA. Il contratto si basava sull'oracle UMA, ma la violazione è avvenuta a livello di controllo degli accessi, e l'hacker ha ricevuto la capacità di eseguire chiamate solo per l'admin.

Si può assumere che il processo di deployment sia avvenuto con l'aiuto di una chiave compromessa dagli attaccanti o che un proxy di contratto non inizializzato fosse disponibile per lo sfruttamento. Dopo aver ricevuto i poteri di amministratore, l'hacker poteva prelevare l'intero saldo delle garanzie senza bisogno di exploit personalizzati.

L'hack di Polymarket ricorda eventi simili segnalati all'inizio del 2026. Ad esempio, l'hack di Step Finance di circa 27,3 milioni di dollari è avvenuto a causa di una violazione della chiave esecutiva e del meccanismo multi-firma all'inizio del 2026.

Un caso simile è l'hack di Drift Protocol di circa 285 milioni di dollari; è avvenuto nell'aprile 2026 come risultato di una chiave admin socialmente ingegnerizzata, che ha abilitato l'inserimento in whitelist di garanzie senza valore. Non c'erano vulnerabilità software in quegli smart contract.

Attività del wallet dell'attaccante e tracciamento

L'indirizzo 0x8F98075d dovrebbe essere segnalato come altamente sospetto perché era la destinazione per entrambi i trasferimenti di garanzie POL ed è la maggiore opportunità per il movimento del valore rubato fuori o dentro la rete Polygon.

Allo stesso modo, l'indirizzo intermediario coinvolto nelle chiamate di inizializzazione 0x65070BE9 può essere assunto come controllato dagli attaccanti e merita un monitoraggio simile.

Sulla base delle esperienze passate, c'è la possibilità che il prossimo passo coinvolga bridge cross-chain e mixing. Nel caso di Drift, i fondi rubati sono stati parzialmente bridgeati su Ethereum tramite il protocollo cross-chain appartenente a Circle prima del riciclaggio. Non ci sono state segnalazioni al momento della redazione di grandi bridge in uscita dagli indirizzi sospetti.