Polymarket Üçüncü Taraf İhlali Sonrası İşlemleri Durdurdu

Uluslararası Platformda İşlemler Durdu

Polymarket, üçüncü taraf bir sağlayıcının ele geçirilmesinin ardından Perşembe günü uluslararası platformundaki tüm işlemleri durdurdu. Kullanıcılar hesaplarının boşaltıldığını bildirmeye başlayınca şirket harekete geçti. Durum sayfasına göre Polymarket.com'u etkileyen sorunun kaynağı belirlendi ve giderildi; ihlale uğrayan sağlayıcı ilgili kolluk kuvvetlerine sevkedildi ve zarar gören kullanıcıların "tam olarak telafi edileceği" belirtildi. Borsa, kaç hesabın etkilendiğini ya da ele geçirilen toplam tutarı açıklamadı. Askıya alma, kullanıcıların varlıklarını kendilerinin sakladığı cüzdanlarla tahmin piyasalarında işlem yaptıkları cüzdan tabanlı uluslararası servisi kapsıyor. ABD Emtia Vadeli İşlem Komisyonu (CFTC) lisansıyla faaliyet gösteren ve ayrı olarak regüle edilen ABD borsası ise etkilenen platformlar arasında anılmıyor. Topluluk tarafından yürütülen bir hesap, durum sayfası güncellemesinin hemen ardından resmi açıklamayla neredeyse aynı ifadeleri X üzerinden paylaştı. Bu haberin yayına girdiği ana kadar işlemlerin tam anlamıyla ne zaman yeniden başlayacağına dair bir takvim verilmiş değil.

@PolymarketTrade · X gönderisi

X üzerinden paylaştı.

X'te görüntüle

18:05 UTC'de Yalnızca İptal Modu

Durum sayfası olayı ilk kez Perşembe günü 18:05 UTC'de işaretledi ve bunu Tahmin İşlem API'sinde, yani tahmin piyasası emirlerini eşleştiren emir defterinde büyük bir kesinti olarak sınıflandırdı. Bu aşamada borsa yalnızca iptal moduna geçti: kullanıcılar mevcut emirlerini iptal edebiliyordu, ancak yeni emir girilemiyor ve işlem gerçekleştirilemiyordu. Kullanıcılar adına zincir üstü işlemleri ileten relayer servisi de duraklatılmış halde bekledi. Buna karşılık hesap erişimi, websocket akışları, pozisyon verileri ve Polygon üzerindeki takas süreci boyunca çalışmaya devam etti. Yaklaşık 32 dakika sonra, 18:37 UTC'de sayfa "araştırılıyor" aşamasından "belirlendi" aşamasına geçti ve arızayı ele geçirilen üçüncü taraf sağlayıcıya bağladı. Eşleştirme motoru kapalıyken izin verilen tek emir türü açık emirlerin iptali oldu; canlı pozisyona sahip yatırımcılar pozisyonlarını kapatamadı.

Kullanıcı Zararları ve 2,68 Milyon Dolarlık İddia

Şirket hiçbir şeyi doğrulamadan çok önce, X üzerinde hesap boşaltma bildirimleri dolaşmaya başlamıştı. Car adını kullanan bir yatırımcı X'teki bir gönderide hesabından 800.000 doların çekildiğini, bir arkadaşının ise 600.000 dolar kaybettiğini ve tüm pozisyonlarının satıldığını yazdı. StarPlatinum adlı ayrı bir hesap, şüpheli alıcı cüzdanı izledi: cüzdan 17:05 UTC'de fon almaya başladı, 17:25'te 412.000 dolara ulaştı, 17:50'de 2,02 milyon dolar seviyesine çıktı ve 18:05'te 2,68 milyon dolarla zirve yaptı. Aynı hesap, alıcının kullanıcı mevduat bakiyelerinden dönüştürülmüş 28,6 milyon POL biriktirdiğini tahmin ediyor. Bu hesap ayrıca bir Deposit Wallet Factory vekilini (proxy) tespit etti ve Relay'in sponsorlu işlem altyapısının olayda rol oynadığı iddiasını öne sürdü. Bu rakamların hiçbiri doğrulanmış değil: şirketin açıklamalarında mağdur sayısı, toplam zarar ya da saldırgan adresi yok ve hiçbir işlem özeti (transaction hash) yayımlanmadı.

@CarOnPolymarket · X gönderisi

X'teki bir gönderide.

X'te görüntüle

Haziran'daki Ön Yüz Saldırısı ve Telafi Emeli

Olay, Haziran'daki bir ihlali andırıyor: o dönemde ele geçirilen bir üçüncü taraf tedarikçi, bazı kullanıcılara gösterilen Polymarket ön yüzüne (frontend) kötü amaçlı bir kod enjekte edilmişti. Zincir üstü ilk analizler kaybı en az 11 cüzdan üzerinden 2,94 milyon dolar olarak hesaplamıştı; sonraki bir tahmin bu rakamı 3,1 milyon dolara taşıdı. Fonlar Polygon üzerinde pUSD olarak alınıyor, Relay üzerinden dönüştürülüyor, Ethereum'a köprüleniyor ve ETH'ye çevriliyordu. Şirket o sırada etkilenen bağımlılığı kaldırdığını ve mağdur müşterilere eksiksiz ödeme yapacağını açıklamıştı. Benzer bir ihlal günler önce rakip bir platformda da yaşanmıştı: Predict.fun, 27 Ekim Salı günü yayımladığı açıklamada yaklaşık 400.000 USDT'lik izinsiz transferi doğruladı, olası kaynağı harici barındırılan bir API dokümantasyon sitesi olarak işaret etti ve tam ödeme ile ayrıntılı bir olay sonrası inceleme sözü verdi. Aralık ayındaki bir olayda da tek tıkla giriş sağlayan bir hizmet aynı zayıf halkaya, yani üçüncü taraf bağımlılıklarına işaret ediyordu.

Tekrarlanan Üçüncü Taraf Deseni

Yaklaşık on ay içinde yaşanan üç olay da zincir üstü sözleşmeler yerine tedarikçi bağımlılıkları üzerinden ilerledi; bu tablo, tahmin piyasası mimarisinde yapısal bir zayıflığa işaret ediyor. Polymarket Polygon ağı üzerinde, yani bir Katman 2 altyapısında çalışıyor ve erken döneminde kullandığı otomatik piyasa yapıcısı (AMM) tasarımından çoktan merkezi bir emir defterine geçmiş durumda. Ancak saldırı yüzeyi, hiçbir sözleşme denetiminin kapsamadığı barındırılan ön yüzlerde, relayer'larda ve mevduat cüzdanı altyapısında duruyor. Her olayda fonlar, kullanıcılar kötü amaçlı istekleri imzaladığı anda el değiştirdi; yani kayıplar onay anında kesinleşti. Şirketin düzelt ve tazmin yaklaşımı tutarlı, ama bu kez de işlem özeti yayımlanmadı, doğrulanmış bir zarar tutarı verilmedi ve üçüncü tarafı anlamanın ötesinde teknik bir kök neden açıklanmadı. Bu ayrıntılar açıklığa kavuşana kadar, aktif kullanıcılar için en pratik savunma boşta duran bakiyeleri bir soğuk cüzdana taşımak ve donanım cüzdanlarının nasıl çalıştığını gözden geçirmek olmaya devam ediyor.