Os Fantasmas do Polymarket: Quando Correspondências Off-Chain Encontram Reversões On-Chain

Resumo

Polymarket emergiu como uma proeminente plataforma de mercado de previsão e uma das aplicações de crescimento mais rápido em DeFi. Para alcançar negociações de baixa latência, adota uma arquitetura híbrida que combina ordens fora da cadeia, mas as liquida na cadeia para execução final. Esse design cria uma lacuna de consistência que chamamos de Ghost Fills: uma ordem que é combinada com sucesso fora da cadeia pode posteriormente falhar durante a liquidação na cadeia. Para entender as implicações de segurança dessa lacuna, investigamos tais liquidações fracassadas construindo o GHOSTHUNTER, que as reconstrói a partir de rastros na cadeia e as atribui a padrões de ataque concretos. Em 1.952.440 transações revertidas de ordens combinadas, descobrimos que atacantes exploram o intervalo de tempo entre a combinação e a liquidação para invalidar ordens já combinadas antes que sejam finalizadas na cadeia. Em seguida, identificamos quatro vetores de ataque a partir desses incidentes: nonce bump, drenagem de saldo, revogação de permissão e armadilha de proxy, realizados por meio de 35 variantes em evolução. Esses vetores permitem que atacantes revertam seletivamente 980.133 ordens preenchidas, possibilitando previsão sem risco, caça a bots de arbitragem e manipulação de recompensas de liquidez, gerando pelo menos 1,49 milhões de dólares em lucro, o que coloca 1,78 bilhões de dólares em risco e 2,17 milhões de POL (cerca de 212 mil dólares) pagos pelo operador. Durante horários de pico, mais de 24,3% de todas as ordens preenchidas foram revertidas, causando ataques de DoS de facto. Também descobrimos que o código derivado do contrato defeituoso ainda aparece em 167 contratos independentes em 10 cadeias, mantendo pelo menos 23 milhões de dólares em fundos de usuários, estendendo o impacto além da Polymarket. Divulgamos nossas evidências às partes afetadas, e o problema foi parcialmente mitigado.

English

Polymarket has emerged as a prominent prediction market platform and one of the fastest-growing applications in DeFi. To achieve low-latency trading, it adopts a hybrid architecture that matches orders off-chain but settles them on-chain for final execution. This design creates a consistency gap we call Ghost Fills: an order that is successfully matched off-chain may later fail during on-chain settlement. To understand the security implications of this gap, we investigate such failed settlements by building GHOSTHUNTER, which reconstructs them from on-chain traces and attributes to concrete attack patterns. Across 1,952,440 reverted match-order transactions, we find that attackers exploit the time gap between matching and settlement to invalidate already matched orders before they are finalized on-chain. We then identify four attack vectors from these incidents: nonce bump, balance drain, allowance revoke, and proxy trap, realized via 35 evolving variants. These vectors allow attackers to selectively revert 980,133 filled orders, enabling risk-free prediction, arbitrage-bot hunting, and liquidity reward manipulation, realizing at least \1.49M in profit, which places 1.78 B USD at risk and 2.17 M POL (about \212 K) paid by operator. During peak hours, more than 24.3% of all filled orders reverted, causing de facto DoS attacks. We also find that code derived from the flawed contract still appears in 167 independent contracts across 10 chains holding at least 23 M in user funds, extending the impact beyond Polymarket. We have disclosed our evidence to affected parties, and the issue has been partially mitigated.