Polymarket Dibobol Akibat Kekurangan Segera Antara Luar Rantai dan Dalam Rantai

Menurut komunitas GoPlus bahasa Cina, platform pasaran ramalan Polymarket mengalami serangan siber akibat kelemahan reka bentuk mekanisme penyegerakan antara hasil transaksi luar rantai dan dalam rantai dalam sistem pesanan. Penyerang memanfaatkan manipulasi nonce untuk membatalkan atau membuat transaksi yang disesuaikan dalam rantai menjadi tidak berkesan sebelum dilaksanakan, tetapi rekod luar rantai masih sah, menyebabkan API melaporkan maklumat yang salah dan mempengaruhi tindakan robot dagang seperti Negrisk, yang menyebabkan kerugian pengguna. Analisis proses serangan seperti berikut: 1. Penyerang menghantar/menyepadankan pesanan besar berlawanan arah dengan bot pembuat pasaran di buku pesanan off-chain Polymarket. 2. Penyerang membina transaksi dengan nonce palsu/berulang atau memanfaatkan persaingan nonce dalam rantai, memastikan transaksi dalam rantai pasti gagal (revert). 3. API Polymarket mengembalikan “transaksi berjaya” kepada bot sebelum pengesahan dalam rantai, menyebabkan bot menganggap posisi telah dilindungi, tetapi status dalam rantai sebenarnya belum berubah. 4. Penyerang kemudian membeli arah yang terdedah oleh bot melalui transaksi dalam rantai yang sah, mendapat keuntungan “tanpa risiko”. 5. Kerana revert berlaku pada lapisan rantai, caj Polymarket tidak meledak, kos serangan boleh dikawal dan boleh dilaksanakan secara berterusan. GoPlus menyarankan pengguna untuk menghentikan alat dagang automatik, mengesahkan status transaksi dalam rantai, memperkuat keselamatan dompet, serta memantau pengumuman rasmi Polymarket dengan teliti.