Polymarket sufrió un ataque de hackers debido a una falla en el mecanismo de sincronización de resultados entre las transacciones on-chain y off-chain.

Según ChainCatcher y reportes de la comunidad china de GoPlus, la plataforma de mercados predictivos Polymarket fue atacada por hackers debido a un defecto en el mecanismo de sincronización de resultados de transacciones on-chain y off-chain en su sistema de órdenes.

El atacante manipuló el nonce, permitiendo que las operaciones emparejadas on-chain fueran canceladas o invalidadas antes de confirmarse en la blockchain, mientras que los registros off-chain seguían siendo válidos. Esto provocó reportes erróneos en la API, afectando el comportamiento de bots de trading como Negrisk y generando pérdidas para los usuarios. El análisis del ataque es el siguiente: 1. El atacante envía o empareja grandes operaciones opuestas con el bot market maker en el orderbook off-chain de Polymarket. 2. El atacante construye transacciones con nonces falsos o duplicados, o aprovecha la competencia de nonces en la blockchain, asegurando que la transacción on-chain sea revertida. 3. La API de Polymarket devuelve un “trade exitoso” al bot antes de la confirmación on-chain, haciendo que el bot crea que su posición está cubierta, aunque el estado real en la blockchain no ha cambiado. 4. Luego, el atacante ejecuta una transacción real on-chain para tomar la posición expuesta del bot, obteniendo ganancias “sin riesgo”. 5. Como el revert ocurre a nivel de blockchain, las comisiones de Polymarket no se disparan, manteniendo bajo control el costo del ataque y permitiendo su repetición. GoPlus recomienda a los usuarios pausar el uso de herramientas de trading automatizado, verificar el estado de las transacciones on-chain, reforzar la seguridad de sus wallets y seguir de cerca los anuncios oficiales de Polymarket.