Инцидент безопасности Polymarket привел к потере $520K в токенах Polygon

Инцидент безопасности Polymarket привел к выводу более 520 000 долларов США обеспечения из контракта UMA CTF Adapter платформы на сети Polygon 22 мая 2026 года.

Ончейн-расследователь ZachXBT отметил инцидент в оповещении сообщества и указал на скомпрометированный адрес деплоера как на вероятную точку входа для атаки. Вывод средств произошел в короткий промежуток времени около 09:00 UTC.

Официального уведомления от Polymarket или UMA не было опубликовано на момент составления отчета.

Как развивался вывод средств с Polymarket?

Взлом был направлен на Admin Contract Polymarket UMA CTF Adapter по адресу 0x91430C…E5c5, который является обновляемым прокси-контрактом, управляющим основным адаптером, хранящим обеспечение рынков. Блокчейн показывает, что первоначальные события были записаны в Admin Contract примерно в 09:00:30 UTC. Это должно вызвать тревогу об эксплуатации уязвимости паттерна прокси.

За первоначальными событиями быстро последовали события перевода нативной валюты Polygon, POL. В 09:00:49 администратор адаптера получил 5000 POL с адреса Polymarket. Пятью секундами позже он отправил почти 9994 POL на счет, контролируемый злоумышленником. Паттерн повторился в 09:01:19 с еще одним притоком 5000 POL, за которым последовал перевод почти 5000 POL на тот же адрес злоумышленника в 09:01:26.

Двухэтапный перевод вывел более 10 000 POL из адаптера менее чем за минуту. Адреса, выведенные ZachXBT, 0x871D7c0f и 0xf61e39C7, отправили обеспечение в адаптер, которое затем злоумышленник вывел через административный контракт. Основной адрес атакующего получил переводы POL и вскоре начал консолидировать средства.

Скомпрометированный ключ, а не ошибка в смарт-контракте

Таким образом, цепочка инициализирующих вызовов к административному контракту демонстрирует риск кражи ключей и уязвимости инициализации, а не какие-либо проблемы с логикой оптимистичного оракула UMA. Контракт был основан на оракуле UMA, но нарушение произошло на уровне контроля доступа, и хакер получил возможность выполнять вызовы, доступные только администраторам.

Можно предположить, что процесс развертывания был выполнен с использованием ключа, скомпрометированного злоумышленниками, или что для эксплуатации был доступен неинициализированный прокси-контракт. Получив права администратора, хакер мог вывести весь баланс залога без необходимости использования каких-либо специальных эксплойтов.

Взлом Polymarket напоминает аналогичные события, о которых сообщалось ранее в 2026 году. Например, взлом Step Finance на сумму около 27,3 миллиона долларов произошел из-за нарушения работы исполнительного ключа и механизма мультиподписи в начале 2026 года.

Аналогичный случай — взлом Drift Protocol на сумму около 285 миллионов долларов; он произошел в апреле 2026 года в результате социальной инженерии административного ключа, что позволило добавить в белый список бесполезное обеспечение. Уязвимостей программного обеспечения в этих смарт-контрактах не было.

Активность кошелька атакующего и отслеживание

Адрес 0x8F98075d следует считать крайне подозрительным, поскольку он был получателем как переводов залога POL, так и, вероятно, является основным каналом для вывода или ввода украденных средств в сеть Polygon или из нее.

Аналогично, промежуточный адрес, участвующий в инициализирующих вызовах 0x65070BE9, можно считать контролируемым злоумышленниками, и за ним следует вести аналогичное наблюдение.

Основываясь на прошлом опыте, есть вероятность, что следующим шагом будут межсетевые мосты и микширование. В случае Drift украденные средства были частично переведены в Ethereum через межсетевой протокол, принадлежащий Circle, перед отмыванием. На момент составления отчета не было сообщений о крупных исходящих переводах через мосты с подозрительных адресов.