Los fantasmas de Polymarket: Cuando las coincidencias fuera de la cadena se encuentran con reversiones en la cadena

Resumen

Polymarket ha surgido como una plataforma destacada de mercado de predicción y una de las aplicaciones de más rápido crecimiento en DeFi. Para lograr un comercio de baja latencia, adopta una arquitectura híbrida que empareja órdenes fuera de la cadena, pero las liquida en la cadena para su ejecución final. Este diseño crea una brecha de consistencia que denominamos *Ghost Fills*: una orden que se empareja exitosamente fuera de la cadena puede fallar posteriormente durante la liquidación en la cadena. Para comprender las implicaciones de seguridad de esta brecha, investigamos dichos fallos de liquidación construyendo GHOSTHUNTER, que los reconstruye a partir de trazas en la cadena y los atribuye a patrones de ataque concretos. En 1.952.440 transacciones de emparejamiento de órdenes revertidas, encontramos que los atacantes explotan la brecha temporal entre el emparejamiento y la liquidación para invalidar órdenes ya emparejadas antes de que se finalicen en la cadena. Luego identificamos cuatro vectores de ataque a partir de estos incidentes: *bump* de nonce, drenaje de saldo, revocación de permiso y trampa de *proxy*, materializados a través de 35 variantes en evolución. Estos vectores permiten a los atacantes revertir selectivamente 980.133 órdenes llenadas, posibilitando predicciones sin riesgo, caza de *bots* de arbitraje y manipulación de recompensas de liquidez, generando al menos 1,49 millones de dólares en ganancias, lo que pone en riesgo 1.780 millones de dólares y 2,17 millones de POL (aproximadamente 212 mil dólares) pagados por el operador. Durante las horas punta, más del 24,3% de todas las órdenes llenadas se revirtieron, causando ataques DoS de facto. También encontramos que el código derivado del contrato defectuoso aún aparece en 167 contratos independientes en 10 cadenas que contienen al menos 23 millones de dólares en fondos de usuarios, extendiendo el impacto más allá de Polymarket. Hemos divulgado nuestras pruebas a las partes afectadas, y el problema ha sido mitigado parcialmente.

English

Polymarket has emerged as a prominent prediction market platform and one of the fastest-growing applications in DeFi. To achieve low-latency trading, it adopts a hybrid architecture that matches orders off-chain but settles them on-chain for final execution. This design creates a consistency gap we call Ghost Fills: an order that is successfully matched off-chain may later fail during on-chain settlement. To understand the security implications of this gap, we investigate such failed settlements by building GHOSTHUNTER, which reconstructs them from on-chain traces and attributes to concrete attack patterns. Across 1,952,440 reverted match-order transactions, we find that attackers exploit the time gap between matching and settlement to invalidate already matched orders before they are finalized on-chain. We then identify four attack vectors from these incidents: nonce bump, balance drain, allowance revoke, and proxy trap, realized via 35 evolving variants. These vectors allow attackers to selectively revert 980,133 filled orders, enabling risk-free prediction, arbitrage-bot hunting, and liquidity reward manipulation, realizing at least \1.49M in profit, which places 1.78 B USD at risk and 2.17 M POL (about \212 K) paid by operator. During peak hours, more than 24.3% of all filled orders reverted, causing de facto DoS attacks. We also find that code derived from the flawed contract still appears in 167 independent contracts across 10 chains holding at least 23 M in user funds, extending the impact beyond Polymarket. We have disclosed our evidence to affected parties, and the issue has been partially mitigated.