Lebih daripada $520,000 dicuri daripada dompet yang berkaitan dengan operasi Polymarket di rangkaian Polygon selepas platform pasaran ramalan mengesahkan bahawa kunci peribadi telah disusupi. Bukan eksploitasi kontrak pintar, bukan kerentanan protokol. Hanya seseorang yang mendapat akses kepada kunci yang sepatutnya tidak dimiliki.
Penyelidik blok rantai ZachXBT pertama kali menandakan aliran mencurigakan pada 22 Mei, mengenal pasti dua alamat yang dikaitkan dengan kontrak CTF Adapter Polymarket’s UMA Conditional Token Framework. Pasukan pembangun Polymarket bertindak pantas untuk mengklarifikasi situasi tersebut: dompet yang diserang adalah dompet dalaman yang digunakan untuk pembayaran ganjaran, dan dana pengguna tidak terjejas.
Apa yang berlaku dan apa yang tidak
Berikut perkara mengenai insiden keselamatan kripto. Perbezaan antara “seseorang mencuri kunci” dan “seseorang memecah kotak simpanan” sangat penting. Dalam kes ini, sebanyak 5,000 token POL dan jumlah USDC yang tidak diumumkan telah disedut daripada dompet operasi dalaman yang digambarkan oleh Polymarket.
Anggap ia seperti seseorang mencuri kunci laci wang kecil syarikat berbanding memecahkan peti besi bank yang sebenarnya. Wang masih hilang, tetapi integriti struktur sistem tidak dipertikaikan.
Polymarket jelas mengenai perkara ini: penyelesaian pasaran, operasi platform, dan infrastruktur kontrak pintar semuanya kekal utuh sepanjang insiden tersebut. Pasukan telah memulakan prosedur penukaran kunci dan mengesahkan bahawa penyiasatan masih berterusan.
ZachXBT, yang telah membina reputasi sebagai akauntan forensik tidak rasmi kripto, mengesan transaksi aneh yang mengalir melalui kontrak CTF Adapter. Awasannya memberikan komuniti luas pandangan pertama terhadap insiden tersebut sebelum Polymarket mengeluarkan penyataan sendiri. Dalam bahasa Inggeris: alamat-alamat yang memindahkan dana berkaitan dengan infrastruktur penyelesaian pasaran ramalan Polymarket, yang pada awalnya membuat aliran keluar kelihatan jauh lebih mengkhawatirkan daripada yang sebenarnya.
Soalan keselamatan yang tidak boleh diabaikan oleh Polymarket
Kompromi kunci peribadi adalah, dalam banyak segi, satu kegagalan keselamatan yang lebih tidak selesa berbanding ralat kontrak pintar. Eksploitasi kontrak pintar adalah masalah teknikal dengan penyelesaian teknikal. Anda membaiki kod, anda audit semula, dan anda teruskan. Kompromi kunci menunjukkan kegagalan keselamatan operasi, lapisan manusia dalam infrastruktur kripto yang tidak dapat diperbaiki oleh seberapa elegan pun kod Solidity.
Soalan semula jadi menjadi: bagaimana kunci tersebut terjejas pada mulanya? Polymarket belum menerangkan secara awam vektor serangan tersebut. Adakah ia phishing? Peranti yang terjejas? Ancaman dalaman? Setiap senario membawa implikasi berbeza terhadap postur keselamatan platform ke depan.
Sebagai konteks, Polymarket telah berkembang menjadi salah satu pasaran ramalan paling terkemuka dalam kripto, menarik perhatian besar semasa acara politik dan global terkini. Platform ini memproses volum perdagangan yang besar, menjadikan keselamatan operasinya sebagai perkara yang menjadi perhatian pasaran luas, bukan sekadar isu sempit.
Pengurusan kunci peribadi berada di asas setiap operasi kripto. Amalan terbaik industri biasanya melibatkan modul keselamatan peranti keras, dompet tanda tangan berganda, dan kawalan akses bertingkat untuk fungsi operasi yang berbeza. Samada Polymarket mempunyai langkah-langkah perlindungan ini untuk dompet yang diserang, dan jika ya, bagaimana ia dilanggar, akan menjadi soalan penting yang perlu dijawab oleh penyiasatan.
Angka $520,000, walaupun tidak bencana mengikut piawaian eksploit kripto, cukup signifikan untuk memerlukan pemeriksaan serius. Bandingkan dengan eksploit jambatan dan serangan DeFi bernilai ratusan juta dolar yang telah mengganggu industri ini, ia kelihatan相对 terkawal. Tetapi sifat pelanggaran tersebut, bukan saiznya, adalah yang penting di sini.
Apa yang bermaksud ini kepada pelabur
Pengesahan pantas Polymarket bahawa dana pengguna selamat adalah butiran paling penting bagi sesiapa yang secara aktif berdagang di platform ini. Jika anda mempunyai kedudukan terbuka, wang dan hasil pasaran anda dilaporkan tidak terjejas.
Tetapi lihat, jaminan selepas insiden keselamatan adalah keperluan asas. Setiap protokol yang diserang mengatakan dana pengguna selamat segera selepas kejadian. Apa yang membezakan platform yang mengekalkan kepercayaan daripada yang kehilangannya ialah apa yang berlaku dalam minggu dan bulan selepas kebocoran.
Pelabur harus memperhatikan beberapa isyarat tertentu. Pertama, sama ada Polymarket menerbitkan laporan pasca-kejadian yang terperinci yang menjelaskan bagaimana kunci tersebut telah disusupi dan langkah-langkah pembaikan apa yang telah diambil. Kedua, sama ada platform tersebut menjalani audit keselamatan bebas terhadap amalan operasionalnya, bukan hanya kontrak pintarnya. Ketiga, sama ada dana yang dicuri telah dipulihkan atau dilacak kepada entiti yang boleh dikenalpasti.
Pasaran DeFi yang lebih luas telah menjadi semakin peka terhadap kegagalan keselamatan operasi. Platform yang mengalami pelanggaran, walaupun agak kecil, sering melihat penurunan volum dagangan dalam jangka pendek apabila pengguna berpindah kepada pesaing yang dianggap lebih selamat. Polymarket beroperasi dalam ceruk yang agak unik sebagai pasaran ramalan berbanding protokol DeFi tradisional, yang bermakna keunggulan kompetitifnya sangat bergantung kepada likuiditi dan keyakinan pengguna, bukan mekanisme imbalan.
Bagi ekosistem kripto yang lebih luas, insiden ini adalah titik data lain dalam hujah yang semakin membesar bahawa keselamatan operasi layak menerima tahap perhatian dan pelaburan yang sama seperti keselamatan kontrak pintar. Industri ini telah mengalirkan sumber yang sangat besar ke arah audit kod dan pengesahan formal selama beberapa tahun terakhir. Lapisan manusia dan operasi, pengurusan kunci, kawalan akses, dan protokol keselamatan dalaman tidak selalu menerima ketelitian yang sama. Sehingga perubahan ini berlaku, kompromi kunci peribadi akan terus menjadi salah satu vektor serangan yang paling biasa dan boleh dicegah dalam kripto.