Polymarket xakerlar hujumiga uchradi, off-chain va on-chain savdo natijalarini sinxronlashtirish mexanizmidagi nuqsonlar aniqlandi

ChainCatcher xabariga ko‘ra, GoPlus Xitoy hamjamiyati ma’lumotlariga asoslanib, prognoz bozori platformasi Polymarket buyurtma tizimidagi off-chain va on-chain savdo natijalarini sinxronlashtirish mexanizmidagi dizayn kamchiligi tufayli xakerlar hujumiga uchradi.

Hujumchi nonce manipulyatsiyasi orqali on-chain mos keluvchi savdolarni amalga oshirishdan oldin bekor qilinishiga yoki haqiqiy emasligiga erishgan, biroq off-chain yozuvlar hali ham amal qilgan, bu esa API noto‘g‘ri xabar berishiga olib kelgan va Negrisk kabi savdo botlarining harakatlariga ta’sir ko‘rsatgan, natijada foydalanuvchilar zarar ko‘rgan. Hujum jarayoni quyidagicha tahlil qilinadi: 1. Hujumchi Polymarket off-chain orderbook’da market maker bot bilan katta hajmdagi qarama-qarshi savdo buyurtmasini yuboradi/yakunlaydi. 2. Hujumchi soxta/takroriy nonce bilan tranzaksiyalar tuzadi yoki on-chain nonce raqobatidan foydalanadi, natijada on-chain tranzaksiya albatta revert bo‘ladi. 3. Polymarket API on-chain tasdiqlanishidan oldin botga “savdo muvaffaqiyatli” deb javob qaytaradi, bu esa bot pozitsiyani hedj qildi deb o‘ylashiga olib keladi, aslida esa on-chain holat hali o‘zgarmagan bo‘ladi. 4. Hujumchi keyin haqiqiy on-chain tranzaksiya orqali bot ochiq qoldirgan yo‘nalishni egallaydi va “xavfsiz” foyda oladi. 5. Revert zanjir darajasida sodir bo‘lgani uchun, Polymarket to‘lovlari oshib ketmaydi, hujum narxi nazorat ostida bo‘ladi va doimiy amalga oshirilishi mumkin. GoPlus foydalanuvchilarga avtomatlashtirilgan savdo vositalarini vaqtincha to‘xtatishni, on-chain tranzaksiya holatini tekshirishni, hamyon xavfsizligini kuchaytirishni va Polymarket rasmiy e’lonlarini diqqat bilan kuzatishni tavsiya qiladi.