GoPlus：Polymarket تعرضت لهجوم من قبل قراصنة، وآلية مزامنة نتائج التداولات خارج السلسلة وداخل السلسلة تحتوي على عيوب

معلومات تقنية من Deep Tide TechFlow، بتاريخ 20 فبراير، وفقًا لمجتمع GoPlus الصيني، تعرض منصة السوق التنبئية Polymarket لهجوم من قبل قراصنة بسبب عيب في تصميم آلية تزامن نتائج المعاملات بين العمليات خارج السلسلة وداخل السلسلة في نظام الطلبات الخاص بها. قام المهاجمون باستخدام تلاعب nonce لإلغاء أو فشل المعاملات المطابقة على السلسلة قبل تنفيذها، بينما لا تزال السجلات خارج السلسلة صحيحة، مما أدى إلى تقارير خاطئة من واجهة برمجة التطبيقات وتأثير على سلوك معاملات روبوتات التداول مثل Negrisk، مما تسبب في خسائر للمستخدمين.

تحليل عملية الهجوم كالتالي:

1. قام المهاجمون بتقديم أو مطابقة معاملات معاكسة كبيرة مع روبوت السوق في دفتر الطلبات خارج السلسلة الخاص بـ Polymarket.

2. قام المهاجمون بإنشاء معاملات مزورة أو مكررة باستخدام nonce مزور أو التنافس على nonce داخل السلسلة، مما يجعل المعاملات على السلسلة حتمًا ت revert.

3. تعيد واجهة برمجة التطبيقات الخاصة بـ Polymarket رسالة “تمت الصفقة بنجاح” إلى الروبوت قبل تأكيد المعاملة على السلسلة، مما يجعل الروبوت يعتقد أن المركز قد تم تغطيته، بينما الحالة على السلسلة لم تتغير بعد.

4. بعد ذلك، يستهلك المهاجمون المعاملة الحقيقية على السلسلة التي تكشف الاتجاه الذي استهدفه الروبوت، محققين أرباحًا “خالية من المخاطر”.

5. نظرًا لأن عملية الت revert تحدث على مستوى السلسلة، فإن تكاليف Polymarket لن تتضاعف، ويظل تكلفة الهجوم قابلة للتحكم ويمكن تنفيذه بشكل مستمر.

توصي GoPlus المستخدمين بإيقاف أدوات التداول الآلي، والتحقق من حالة المعاملات على السلسلة، وتعزيز أمان المحافظ، ومتابعة الإعلانات الرسمية لـ Polymarket عن كثب.