Incidente de segurança da Polymarket drena $520K em tokens Polygon

Um incidente de segurança da Polymarket drenou mais de US$ 520.000 em colateral do contrato UMA CTF Adapter da plataforma na Polygon em 22 de maio de 2026.

O investigador on-chain ZachXBT sinalizou o incidente em um alerta comunitário e apontou para um endereço de deployer comprometido como o provável ponto de entrada do ataque. O drenagem ocorreu em uma janela curta por volta das 09:00 UTC.

Nenhum aviso oficial da Polymarket ou da UMA havia sido publicado no momento do relatório.

Como ocorreu a drenagem da Polymarket?

O hack visou o Contrato Admin do Polymarket UMA CTF Adapter no endereço 0x91430C…E5c5, que é um proxy atualizável que gerencia o adaptador principal que detém o colateral do mercado. A blockchain revela os eventos iniciais registrados no Contrato Admin por volta das 09:00:30 UTC. Isso deve levantar um alerta sobre uma exploração de padrão de proxy.

Os eventos iniciais foram rapidamente seguidos por eventos de transferência para a moeda nativa da Polygon, POL. Às 09:00:49, o administrador do adaptador recebeu 5.000 POL de um endereço da Polymarket. Cinco segundos depois, enviou quase 9.994 POL para a conta controlada pelo atacante. O padrão se repetiu às 09:01:19 com outro influxo de 5.000 POL, seguido por uma transferência de quase 5.000 POL para o mesmo endereço do atacante às 09:01:26.

A transferência em duas etapas moveu mais de 10.000 POL para fora do adaptador em menos de um minuto. Os endereços drenados listados por ZachXBT, 0x871D7c0f e 0xf61e39C7, haviam enviado colateral para o adaptador que o atacante então retirou através do contrato admin. O endereço do atacante principal recebeu as transferências de POL e começou a consolidar os fundos logo em seguida.

Uma chave comprometida, não um bug de contrato inteligente

Dessa forma, a cadeia de chamadas de inicialização para o contrato admin mostra o risco de roubo de chave e vulnerabilidade de inicialização, em vez de qualquer problema com a lógica do oracle otimista da UMA. O contrato era baseado no oracle da UMA, mas a violação ocorreu no nível de controle de acesso, e o hacker recebeu a capacidade de realizar chamadas apenas de administrador.

Pode-se assumir que o processo de implantação ocorreu com a ajuda de uma chave comprometida pelos atacantes ou que um proxy de contrato não inicializado estava disponível para exploração. Após receber poderes de administrador, o hacker poderia retirar todo o saldo de colateral sem necessidade de exploits personalizados.

O hack da Polymarket se assemelha a eventos semelhantes relatados no início de 2026. Por exemplo, o hack da Step Finance de cerca de US$ 27,3 milhões ocorreu devido a uma violação da chave executiva e do mecanismo multi-sig no início de 2026.

Um caso semelhante é o hack do Drift Protocol de cerca de US$ 285 milhões; ocorreu em abril de 2026 como resultado de uma chave de administrador socialmente engenhada, que permitiu a listagem de colateral sem valor. Não havia vulnerabilidades de software nesses contratos inteligentes.

Atividade da carteira do atacante e rastreamento

O endereço 0x8F98075d deve ser sinalizado como altamente suspeito, pois foi o destino para ambas as transferências de colateral POL e é a maior oportunidade para o movimento de valor roubado para fora ou para dentro da rede Polygon.

Da mesma forma, o endereço intermediário envolvido nas chamadas de inicialização 0x65070BE9 pode ser assumido como controlado pelos atacantes e merece monitoramento semelhante.

Com base em experiências passadas, há uma possibilidade de que o próximo passo envolva pontes cross-chain e misturadores. No caso do Drift, os fundos roubados foram parcialmente transferidos para a Ethereum através do protocolo cross-chain pertencente à Circle antes da lavagem. Não houve relatos, até o momento do relatório, de grandes pontes de saída dos endereços suspeitos.