Čo sa stalo?
Platforma pre predikčné trhy Polymarket podľa servera CryptoSlate zažila počas štyroch mesiacov druhý bezpečnostný incident s viacmiliónovým dopadom. Podľa toho istého zdroja ide o dva oddelené prípady: v júni bola nahlásená krádež, v októbri bol potom prostriedok následne spätne získaný ("recovered code"). CryptoSlate z toho vyvodzuje, že ide o opakovanú zraniteľnosť vnútri obchodného rozhrania platformy.
Napadnutie Polymarketu spomenuli ako bleskovú správu aj Kryptonovinky.cz a Kryptonovinky.sk, ktoré udalosť zaradili do širšieho prehľadu diania na trhu.
Dôležité upozornenie: presná výška škody, technický popis zraniteľnosti ani identita útočníka nie sú v dostupných zdrojoch uvedené. Tieto detaily zatiaľ zostávajú neznáme.
Ide o systémový problém, alebo dve nesúvisiace udalosti?
Tu je potrebné oddeliť fakty od interpretácie. Faktom je, že CryptoSlate hlási dva incidenty vo štvormesačnom okne. Interpretáciou, ktorú CryptoSlate ponúka, je, že obe udalosti poukazujú na "opakovanú expozíciu" v rámci obchodného rozhrania.
To, či spolu oba prípady technicky súvisia (rovnaký vektor útoku, rovnaká chyba), z dostupných zdrojov nevyplýva. Takisto nie je potvrdené, aké konkrétne bezpečnostné úpravy Polymarket po júnovom incidente vykonal. CryptoSlate výslovne uvádza, že širšie bezpečnostné zmeny zostávajú nejasné.
Čo platforma medzitým spúšťa?
V rovnakom období Polymarket rozširuje ponuku produktov. Podľa servera The Defiant pridala platforma pätnásťminútové stávky na zlato a striebro postavené na cenových dátach od siete Chainlink.
The Defiant popisuje mechaniku takto:
| Parameter | Detail (podľa The Defiant) |
|---|---|
| Typ kontraktu | 15-minútové stávky na zlato a striebro |
| Zdroj cien | Chainlink (start-and-end spot price) |
| Náklad pre US takera | cca 1,74 USD na 100 kontraktov obchodovaných na 50 centoch |
| Poznámka | pred rebatmi |
Termín "taker" označuje stranu, ktorá prijíma existujúcu ponuku v knihe príkazov (na rozdiel od "makera", ktorý likviditu poskytuje). "Spot price" je aktuálna trhová cena podkladového aktíva.
Súvislosť medzi spúšťaním nových produktov a bezpečnostnými incidentmi žiadny zo zdrojov netvrdí. Uvádzame oboje oddelene.
Aký bol v tom čase stav trhu?
Kryptonovinky.cz a Kryptonovinky.sk zasadili správu o Polymarkete do kontextu širšieho trhového dňa. Podľa údajov z CoinGecko, ktoré oba servery citujú, sa v piatok ráno obchodoval:
| Aktívum | Cena | Denná zmena | Týždenná zmena |
|---|---|---|---|
| Bitcoin | 78 186 USD | -2,07 % | -4,63 % |
| Ether | 2 238 USD | -3,11 % | -7,46 % |
Oba servery ďalej odkazovali na dáta o amerických spotových bitcoinových ETF od Farside Investors za štvrtok 29. (presný mesiac nie je v dostupnom výňatku uvedený). Tieto trhové údaje spolu s incidentom na Polymarkete priamo nesúvisia, slúžia iba na časové zasadenie.
Čo pri tomto type udalostí sledovať?
Nejde o radu, čo robiť s peniazmi, ale o to, aké informácie dávajú obraz úplnejším:
- Oficiálne vyjadrenie platformy. Či Polymarket zverejní post-mortem s technickým popisom a konkrétnymi nápravnými krokmi.
- Rozsah škody. Potvrdená suma a to, či boli zasiahnutí koncoví používatelia, alebo prostriedky platformy.
- Či išlo o rovnaký vektor. Potvrdenie alebo vyvrátenie toho, že júnový a októbrový prípad zdieľajú príčinu.
- On-chain stopa. Pri incidentoch tohto typu bývajú pohyby prostriedkov dohľadateľné na blockchaine, čo umožňuje nezávislé overenie.
Až budú tieto informácie k dispozícii, charliedesk sa k prípadu vráti a porovná ich s tým, čo je známe dnes.