Polymarket, jedna z topowych platform predykcyjnych w świecie kryptowalut, zaliczył poważny incydent bezpieczeństwa. Z portfela wykorzystywanego do wewnętrznych operacji miały zniknąć środki warte nawet ok. 700 tys. dolarów, choć sama platforma zapewnia, że pieniądze użytkowników i mechanizm rozstrzygania zakładów nie zostały naruszone.
- Analityk on-chain ZachXBT wskazał na podejrzany odpływ środków powiązany z infrastrukturą Polymarket na blockchainie Polygon.
- Początkowo mówiło się o ponad 520 tys. dolarów, a późniejsze szacunki Bubblemaps podbiły tę kwotę do ok. 700 tys. dolarów.
- Polymarket potwierdził, że problem dotyczył prywatnego klucza portfela używanego do wewnętrznych doładowań/nagród, a nie głównych kontraktów czy infrastruktury rynków.
- Według platformy środki użytkowników i rozliczenia zakładów są bezpieczne.
Polymarket stracił środki z wewnętrznego portfela
Polymarket doświadczył ataku hakerskiego, aczkolwiek nie w klasycznej formie, w której hakerzy opróżniają depozyty użytkowników.
Z ostatnich aktualizacji wynika, że incydent dotyczył portfela operacyjnego, który był wykorzystywany do wewnętrznych doładowań oraz wypłat nagród.
To kluczowa różnica, bo taki portfel może być częścią zaplecza platformy, ale nie musi oznaczać bezpośredniego zagrożenia dla wszystkich środków trzymanych przez użytkowników.
Sprawę jako jeden z pierwszych nagłośnił ZachXBT, znany analityk śledzący podejrzane przepływy środków on-chain.
Wskazał on na podejrzany odpływ z adresów powiązanych z infrastrukturą Polymarket na blockchainie Polygon.
Początkowo mowa była o ponad 520 tys. dolarów, a następnie badacze z Bubblemaps oszacowali, że skala strat mogła wynieść ok. 700 tys. dolarów.
Wyprowadzone środki miały zostać rozdzielone pomiędzy 16 adresów i skierowane dalej m.in. przez scentralizowane giełdy oraz inne tego typu platformy.
Najważniejsze jest jednak to, co przekazał sam zespół Polymarket.
Deweloperzy platformy poinformowali, że według wstępnych ustaleń doszło do kompromitacji prywatnego klucza portfela używanego do wewnętrznych operacji top-up, czyli doładowaniach operacyjnych.
Jednocześnie podkreślili, że nie chodzi o błąd w głównych kontraktach, podstawowej infrastrukturze ani systemie rozstrzygania rynków.
Problem miał dotyczyć bezpieczeństwa operacyjnego, a nie samej logiki działania platformy.
To o tyle dobra wiadomość, że gdyby naruszone zostały kontrakty odpowiadające za zakłady albo mechanizm ustalania wyników, zaufanie do Polymarket mogłoby zostać wystawione na naprawdę poważną próbę.
Na ten moment platforma zapewnia, że rynki działają normalnie, a środki użytkowników są bezpieczne.
Mimo to incydent pokazuje, że nawet projekty o dużej rozpoznawalności mogą mieć słabe punkty poza samymi smart kontraktami.
Decentralizacja, głupcze!
Eksperci ds. bezpieczeństwa od dawna zwracają uwagę, że w krypto coraz częściej nie zawodzi sam błąd smartu kontrakty, tylko elementy, które miały być „techniczne” i niewidoczne dla użytkownika: portfele administracyjne, prywatne klucze, uprawnienia operatorów, proces podpisywania transakcji czy wewnętrzne kontrole dostępu.
To pokazuje niewygodną prawdę o wielu projektach Web3.
Na froncie mogą wyglądać jak zdecentralizowane aplikacje, ale w praktyce część krytycznych decyzji i środków nadal zależy od kilku osób, kilku kluczy albo jednego portfela operacyjnego.
Właśnie dlatego incydent w Polymarket warto interpretować szerzej niż tylko jako kradzież ok. 700 tys. dolarów.
Jeżeli ktoś przejmuje klucz do portfela wykorzystywanego przez zespół, nie musi łamać całego protokołu ani szukać błędu w mechanizmie rozstrzygania zakładów.
Wystarczy dostęp do scentralizowanego punktu kontroli. A takich przypadków w branży jest coraz więcej.
W tym tygodniu pisaliśmy o ataku na Echo Protocol, gdzie napastnik miał wykorzystać przejęty klucz administratora do wybicia fałszywych tokenów eBTC i wyprowadzenia środków z protokołu.
Według doniesień branżowych wartość nieautoryzowanych wybitych eBTC sięgała ok. 77 milionów dolarów, choć część analiz wskazywała, że realna strata mogła być niższa z powodu ograniczonej płynności.
Incydent z Polymarket wydarzył się akurat w momencie, gdy wokół platformy robi się coraz głośniej w społeczności traderów.
W tym tygodniu informowaliśmy między innymi o tym, że Polymarket rozszerza ofertę o rynki związane z prywatnymi spółkami i wycenami pre-IPO.
To kolejny krok w stronę przenoszenia mechanizmów znanych z Wall Street na blockchain.
Im większa skala działania, tym większe znaczenie ma jednak pytanie, gdzie kończy się decentralizacja, a zaczyna zwykłe zaufanie do operatora.
Śledź CrypS. w Google News. Czytaj najważniejsze wiadomości bezpośrednio w Google! Obserwuj ->
Zajrzyj na nasz telegram i dołącz do Crypto. Society. Dołącz ->
