Polymarket mengalami serangan hacker, mekanisme sinkronisasi hasil transaksi on-chain dan off-chain memiliki kelemahan

Berita ChainCatcher, menurut laporan dari komunitas GoPlus Tiongkok, platform pasar prediksi Polymarket mengalami serangan hacker karena cacat desain pada mekanisme sinkronisasi hasil transaksi on-chain dan off-chain dalam sistem order mereka.

Penyerang memanipulasi nonce sehingga transaksi yang dicocokkan di on-chain dibatalkan atau menjadi tidak valid sebelum finalisasi, namun catatan off-chain tetap berlaku, menyebabkan API memberikan laporan yang salah dan memengaruhi perilaku trading bot seperti Negrisk, sehingga menyebabkan kerugian bagi pengguna. Analisis proses serangan adalah sebagai berikut: 1. Penyerang mengajukan/mencocokkan transaksi besar berlawanan arah dengan market making bot di orderbook off-chain Polymarket. 2. Penyerang membuat transaksi dengan nonce palsu/duplikat atau memanfaatkan kompetisi nonce di on-chain sehingga transaksi di on-chain pasti revert. 3. API Polymarket mengembalikan status "berhasil" kepada bot sebelum konfirmasi di on-chain, sehingga bot mengira posisi sudah dihedging, padahal status di on-chain belum berubah. 4. Penyerang kemudian menggunakan transaksi nyata di on-chain untuk mengambil posisi yang terekspos oleh bot, sehingga mendapatkan keuntungan "tanpa risiko". 5. Karena revert terjadi di layer chain, biaya Polymarket tidak membengkak, biaya serangan dapat dikendalikan dan dapat dilakukan secara berkelanjutan. GoPlus menyarankan pengguna untuk menghentikan penggunaan alat trading otomatis, memverifikasi status transaksi on-chain, memperkuat keamanan wallet, dan memantau pengumuman resmi dari Polymarket dengan seksama.