Неизвестные эксплойтеры осуществили целевую атаку на инфраструктуру распределения вознаграждений платформы прогнозных рынков Polymarket, функционирующей в экосистеме Polygon. Злоумышленникам удалось вывести цифровые активы на сумму свыше $700 000 в токенах POL. Первым тревожный сигнал зафиксировал анонимный блокчейн-расследователь ZachXBT.
Вектор атаки был направлен на смарт-контракт UMA CTF Adapter в сети Polygon — критический слой интеграции, обеспечивающий связь между рынками прогнозов Polymarket и оракульным сервисом UMA. Механика эксплойта предполагала высокочастотное извлечение средств: приблизительно 5000 токенов выводились каждые 30 секунд, после чего похищенные активы дробно распределялись не менее чем по 15 кошелькам для усложнения трассировки.
Позднее аналитики платформы визуализации ончейн-данных Bubblemaps верифицировали факт утечки и рекомендовали пользователям временно приостановить любую активность в интерфейсе Polymarket. Специалисты по безопасности идентифицировали как минимум два затронутых адреса платформы: 0x871D…9082 и 0xf61e…4805.
Спустя несколько часов после инцидента Шантикиран Чанал, руководитель инженерного направления Polymarket, предоставил официальное пояснение: произошла компрометация приватного ключа внутреннего операционного кошелька. Ключевой нюанс: уязвимость возникла на уровне контроля доступа, а не вследствие дефекта программной инфраструктуры платформы.
По словам Чанала, скомпрометированный кошелёк использовался исключительно для выплат вознаграждений. Данный инцидент не влияет на целостность механизма голосования на прогнозных рынках, не затрагивает пользовательские депозиты в стейблкоине USDC и не нарушает корректность расчёта открытых позиций. Тем не менее, точный масштаб компрометации на текущий момент остаётся предметом расследования.