GoPlus：Polymarket تعرضت لهجوم من قبل قراصنة، وآلية مزامنة نتائج التداولات خارج السلسلة وداخل السلسلة تحتوي على عيوب

معلومات تقنية من Deep Tide TechFlow، بتاريخ 20 فبراير، وفقًا لمجتمع GoPlus الصيني، تعرض منصة السوق التنبئية Polymarket لهجوم من قبل قراصنة بسبب عيب في تصميم آلية مزامنة نتائج المعاملات بين العمليات خارج السلسلة وداخل السلسلة في نظام الطلبات الخاص بها. قام المهاجمون بالتلاعب برقم nonce، مما أدى إلى إلغاء أو فشل المعاملات المطابقة على السلسلة قبل تنفيذها، بينما لا تزال السجلات خارج السلسلة صالحة، مما تسبب في تقارير خاطئة من واجهة برمجة التطبيقات وتأثير على سلوكيات روبوتات التداول مثل Negrisk، مما أدى إلى خسائر للمستخدمين.

تحليل عملية الهجوم كالتالي:

1. قام المهاجم بتقديم أو مطابقة معاملات معاكسة كبيرة مع روبوت السوق في دفتر الطلبات خارج السلسلة الخاص بـ Polymarket.

2. قام المهاجم بإنشاء معاملات مزورة أو مكررة باستخدام nonce مزور أو التنافس على nonce داخل السلسلة، مما يجعل المعاملات على السلسلة حتمًا ت revert.

3. تعيد واجهة برمجة التطبيقات الخاصة بـ Polymarket رسالة “تمت الصفقة بنجاح” قبل تأكيد المعاملة على السلسلة، مما يجعل الروبوت يعتقد أن المركز قد تم تغطيته، بينما الحالة على السلسلة لم تتغير بعد.

4. بعد ذلك، يستهلك المهاجم المعاملة الحقيقية على السلسلة التي تكشف الاتجاه الذي استهدفه الروبوت، محققًا أرباحًا “بدون مخاطر”.

5. نظرًا لأن عملية ال revert تحدث على مستوى السلسلة، فإن تكاليف Polymarket لن تتضاعف، ويظل تكلفة الهجوم قابلة للتحكم ويمكن تنفيذه بشكل مستمر.

توصي GoPlus المستخدمين بإيقاف أدوات التداول الآلي، والتحقق من حالة المعاملات على السلسلة، وتعزيز أمان المحافظ، ومتابعة الإعلانات الرسمية لـ Polymarket عن كثب.