dent с безопасностью на Polymarket привел к утечке токенов Polygon на сумму 520 000 долларов

dent инцидента с безопасностью на платформе Polymarket 22 мая 2026 года было украдено более 520 000 долларов США в качестве залога поtracUMA CTF Adapter на платформе Polygon.

Специалист по анализу блокчейна ZachXBT сообщил вdent оповещении сообщества и указал на скомпрометированный адрес развертывателя как на вероятную точку входа для атаки. Сброс средств происходил в течение короткого промежутка времени около 09:00 UTC.

никаких официальных уведомлений от Polymarket На момент публикации этого сообщения

Как развивались события вокруг оттока покупателей из Polymarket?

Взлом был направлен на административныйtracадаптера Polymarket UMA CTF по адресу 0x91430C…E5c5, который представляет собой обновляемый прокси-сервер, управляющий основным адаптером, хранящим рыночное обеспечение. Блокчейн показывает, что первоначальные события, записанные в административномtrac, произошли примерно в 09:00:30 UTC. Это должно вызвать подозрение в использовании уязвимости прокси-сервера.

За первоначальными событиями быстро последовали переводы в собственной валюте Polygon, POL. В 09:00:49 администратор адаптера получил 5000 POL с адреса Polymarket. Пять секунд спустя он отправил около 9994 POL на контролируемый злоумышленником счет. Схема повторилась в 09:01:19 с еще одним притоком в 5000 POL, за которым последовал перевод около 5000 POL на тот же адрес злоумышленника в 09:01:26.

Двухэтапный перевод вывел из адаптера более 10 000 POL менее чем за минуту. Адреса, указанные ZachXBT (0x871D7c0f и 0xf61e39C7), отправили залоговое обеспечение в адаптер, которое злоумышленник затем вывел через административныйtrac. Основной адрес злоумышленника получил переводы POL и вскоре после этого начал консолидировать средства.

Взлом ключа, а не ошибка в смарт-trac

Таким образом, цепочка инициализирующих вызовов к административномуtracдемонстрирует риск кражи ключей и уязвимость инициализации, а не какие-либо проблемы с логикой оптимистичного оракула UMA.tracбыл основан на оракуле UMA, но взлом произошел на уровне контроля доступа, и хакер получил возможность выполнять вызовы, доступные только администратору.

Можно предположить, что либо процесс развертывания происходил с помощью скомпрометированного злоумышленниками ключа, либо был доступен неинициализированныйtrac-сервер контракта для эксплуатации. Получив права администратора, хакер смог вывести весь залоговый баланс без необходимости использования каких-либо специальных эксплойтов.

Взлом Polymarket напоминает аналогичные события, о которых сообщалось ранее в 2026 году. Например, взлом Step Finance на сумму около 27,3 миллиона долларов произошел из-за взлома исполнительного ключа и механизма мультиподписи в начале 2026 года.

Аналогичный случай — взлом Drift Protocol на сумму около 285 миллионов долларов; он произошел в апреле 2026 года в результате взлома административного ключа с использованием методов социальной инженерии, что позволило внести в белый список ничего не стоящие залоговые активы. В этих смарт-контрактах не было обнаружено никаких программныхtrac.

tracактивности кошелька злоумышленника

Адрес 0x8F98075d следует пометить как крайне подозрительный, поскольку он являлся пунктом назначения для обеих операций по передаче залогового обеспечения POL и представляет собой наибольшую возможность для перемещения украденных средств из сети Polygon или в нее.

Аналогичным образом, промежуточный адрес 0x65070BE9, используемый для инициализации вызовов, предположительно контролируется злоумышленниками и заслуживает аналогичного мониторинга.

Исходя из прошлого опыта, существует вероятность того, что следующим шагом станет использование кроссчейн-мостов и смешивание средств. В случае с Driftукраденные средства были частично переведены в Ethereum через кроссчейн-протокол, принадлежащий Circle, до отмывания денег. На данный момент нет сообщений о крупных исходящих переводах средств с адресов подозреваемых.