Призраки Polymarket: когда внецепочечные совпадения сталкиваются с ончейн-ревертами

Аннотация

Polymarket стал заметной платформой рынка прогнозов и одним из наиболее быстрорастущих приложений в DeFi. Для достижения низкой задержки при торговле он применяет гибридную архитектуру: сопоставление заявок происходит вне сети, а расчёты — в сети для окончательного исполнения. Такая конструкция создаёт разрыв консистентности, который мы называем Ghost Fills: заявка, успешно сопоставленная вне сети, может впоследствии не пройти этап ончейн-расчётов. Для понимания последствий этого разрыва для безопасности мы исследуем такие неудачные расчёты, создав GHOSTHUNTER, который восстанавливает их по ончейн-следам и относит к конкретным шаблонам атак. На 1 952 440 транзакциях с отменёнными сопоставлениями заявок мы обнаруживаем, что злоумышленники используют временной интервал между сопоставлением и расчётами для аннулирования уже сопоставленных заявок до их финализации в сети. Далее мы выявляем четыре вектора атаки: увеличение nonce, истощение баланса, отзыв разрешения и ловушка прокси, реализованные в 35 эволюционирующих вариантах. Эти векторы позволяют атакующим выборочно отменять 980 133 исполненные заявки, что даёт возможность осуществлять безрисковые прогнозы, охоту за арбитражными ботами и манипуляции с вознаграждениями за ликвидность, принося не менее 1,49 миллиона долларов прибыли. При этом под угрозой оказываются 1,78 миллиарда долларов, а оператор выплачивает 2,17 миллиона POL (около 212 тысяч долларов). В часы пик отменяется более 24,3% всех исполненных заявок, что вызывает фактическую DoS-атаку. Мы также обнаружили, что код, производный от уязвимого контракта, присутствует в 167 независимых контрактах на 10 блокчейнах, содержащих не менее 23 миллионов долларов пользовательских средств, что расширяет влияние проблемы за пределы Polymarket. Мы уведомили о своих находках затронутые стороны, и проблема частично устранена.

English

Polymarket has emerged as a prominent prediction market platform and one of the fastest-growing applications in DeFi. To achieve low-latency trading, it adopts a hybrid architecture that matches orders off-chain but settles them on-chain for final execution. This design creates a consistency gap we call Ghost Fills: an order that is successfully matched off-chain may later fail during on-chain settlement. To understand the security implications of this gap, we investigate such failed settlements by building GHOSTHUNTER, which reconstructs them from on-chain traces and attributes to concrete attack patterns. Across 1,952,440 reverted match-order transactions, we find that attackers exploit the time gap between matching and settlement to invalidate already matched orders before they are finalized on-chain. We then identify four attack vectors from these incidents: nonce bump, balance drain, allowance revoke, and proxy trap, realized via 35 evolving variants. These vectors allow attackers to selectively revert 980,133 filled orders, enabling risk-free prediction, arbitrage-bot hunting, and liquidity reward manipulation, realizing at least \1.49M in profit, which places 1.78 B USD at risk and 2.17 M POL (about \212 K) paid by operator. During peak hours, more than 24.3% of all filled orders reverted, causing de facto DoS attacks. We also find that code derived from the flawed contract still appears in 167 independent contracts across 10 chains holding at least 23 M in user funds, extending the impact beyond Polymarket. We have disclosed our evidence to affected parties, and the issue has been partially mitigated.