Polymarket подвергся эксплойту на 700 000$: что известно и почему эксперты говорят, что всё могло быть хуже

Polymarket подвергся атаке в пятницу после того, как эксплойт контракта вывел более 600 000$ в крипто. Несмотря на масштаб кражи, несколько аналитиков по безопасности подчеркнули, что средства пользователей и результаты рынков не пострадали. 

Один эксперт даже заявил, что инцидент мог бы быть значительно хуже, если бы в скомпрометированном контракте были использованы дополнительные механизмы управления.

Атака на Polymarket

Согласно данным блокчейн-следователя ZacXBT, он зафиксировал предполагаемый эксплойт, связанный с контрактом UMA CTF Adapter компании Polymarket в сети Polygon (POL). На момент публикации общая сумма, связанная с эксплойтом, выросла почти до 700 000$. 

Подробный анализ механизма работы эксплойта позднее был изложен экспертом по безопасности Ox Abdul. В его объяснении первым ключевым моментом было то, что сумма в USDC — свыше 600 000$ — по всей видимости, представляла собой единовременный вывод средств из конкретного кошелька в сети Polygon, идентифицированного как 0x8F98, администратор UMA CTF Adapter.

Ox Abdul также описал, как система автоматизации Polymarket, по всей видимости, способствовала механике эксплойта. По его словам, система пополнения Polymarket раз в примерно 30 секунд отправляла 5 000 POL для поддержания баланса газового кошелька оракула. 

Вместо того чтобы похитить средства единовременно, злоумышленник ждал каждого пополнения и затем опустошал кошелёк — примерно 120 циклов на протяжении около 70 минут, что, по его оценкам, составило около 600 000 POL. 

Примечательно, что продолжающиеся потери POL были обусловлены тем, насколько быстро Polymarket обнаружил и отреагировал на атаку. Эксплойт был в конечном счёте остановлен после ротации ключей.

Как эксплойт мог бы быть хуже

После опустошения пополнений Ox Abdul сообщил, что злоумышленник вышел через 16 суб-адресов с использованием ChangeNOW. Даже при ограниченном ущербе он предупредил, что ситуация несла в себе потенциальные тревожные сигналы помимо самой кражи. 

По его мнению, скомпрометированный административный кошелёк не только хранил USDC и POL, но и обладал правами «resolveManually» на адаптере UMA. Эти разрешения ручного разрешения, как он пояснил, могли обойти оракул и позволить злоумышленнику принудительно установить любой исход рынка на Polymarket.

Ox Abdul изложил, как «худший сценарий» мог бы выглядеть на практике. По его словам, злоумышленник мог бы занять крупные позиции на конкретных рынках, затем отметить эти рынки для ручного разрешения, выждать примерно часовое защитное окно и наконец использовать resolveManually для разрешения рынков в пользу своих позиций. 

После инцидента ведущий разработчик Polymarket Джош Стивенс предоставил дополнительный контекст через социальные сети. Стивенс объяснил проблему компрометацией 6-летнего приватного ключа, пояснив, что он был включён во внутреннюю конфигурацию пополнения — поэтому средства отправлялись на ключ, пока он оставался активным. 

Он добавил, что ключ был ротирован, все производственные разрешения были отозваны, а компания переходит на ключи под управлением KMS.

Пока разворачивался технический инцидент, Polymarket также столкнулся с регуляторным контролем в пятницу. Как сообщил Bitcoinist, конгрессмен Джеймс Комер, председатель Комитета по надзору и реформе государственного управления Палаты представителей, объявил о формальном расследовании в отношении платформ предсказательных рынков Polymarket и Kalshi. 

Комер заявил, что комитет запрашивает информацию у генеральных директоров обеих компаний относительно их усилий по предотвращению инсайдерской торговли на их платформах. 

В своём письме он запросил документы и подробности о том, как обе платформы внедряют верификацию KYC для отечественных и международных владельцев счетов, обеспечивают географические ограничения и выявляют аномальную торговую активность для предотвращения инсайдерской торговли на своих глобальных платформах. 

В отдельном развитии Bloomberg сообщил, что Polymarket назначил представителя в Японии, готовясь добиваться авторизации предсказательных рынков в стране. По данным источников, упомянутых в отчёте, цель Polymarket — получить одобрение правительства Японии к 2030 году.

Главное изображение создано с помощью OpenArt, график с TradingView.com