Polymarket Saldırısı: Sözleşme Hatası Değil, Sızdırılan Anahtar
22 Mayıs 2026'da zincir üstü araştırmacı ZachXBT, Polymarket'ın cüzdanlarından birinde yaşanan bir sızmayı işaret etti. İlk tahminler 520.000 dolar civarındaydı. Ekip ayrıntıları doğrulayana kadar rakam 660.000-700.000 dolara yaklaştı. Yeniden giriş açığı yoktu. Kâhin manipülasyonu yoktu. Akıllıca kurgulanmış bir flaş kredi koreografisi de yoktu. Sadece olmaması gereken bir yere düşmüş bir özel anahtar vardı.
Polymarket saldırısı, herkesin Trail of Bits ve OpenZeppelin'e izletmek için para ödediği yığının o kısmına dokunmadı. Dahili bir üst yükleme cüzdanına, ödülleri fonlamak ve işleri yürütmek için kullanılan operasyonel bir hesaba çarptı. Bir akıllı sözleşme olmadığı için denetim kapsamında hiç yer almayan türden bir cüzdan. Birinin altyapısında duran bir anahtar.
İşte bu rahatsız edici kısım. Manşetlerin köprü saldırıları ve DVN yanlış yapılandırmalarıyla geçtiği bir yılın ardından, dünyanın en fazla yatırım almış tahmin piyasası kitabın en temel başarısızlık biçimiyle soyuldu.
Polygon'da gerçekte ne oldu
Ele geçirilen hesap, protokolün çekirdek sözleşmelerinde tutulan kullanıcı fonları değil, operasyonel bir cüzdandı. CoinDesk'in haberine göre ZachXBT yaklaşık 520.000 doların hareket ettiğini fark etti; Polymarket ekibi ise müşteri fonlarının güvende olduğunu açıkladı. Saldırgan Polygon'daki cüzdandan POL ve diğer varlıkları süpürdü, ardından saldırganların her zaman yaptığını yaptı: kimse bir şeyleri donduramadan önce köprüledi ve dağıttı.
Decrypt rakamı 700.000 dolara daha yakın koydu ve bunu özellikle dahili bir üst yükleme cüzdanı olarak tanımladı. Rakamlardaki tutarsızlık ilk 24 saatte normaldir; mekanizma ise tartışma konusu değil. Biri anahtarı ele geçirdi.
Bu bir Polygon POL saldırısıdır; yalnızca cüzdanda POL varlığı bulunduğu için. Zincir başarısız olmadı. Sözleşme başarısız olmadı. Tek bir operasyonel anahtarın gözetimi başarısız oldu.
UMA CTF Adapter'ın neden sorunla ilgisi yoktu
Polymarket'ın piyasa çözümü, soruları yayınlayan, anlaşmazlıkları yöneten ve sonuçları kesinleştiren sözleşme olan UMA CTF Adapter aracılığıyla UMA'nın iyimser oracle'ından geçiyor. Bu, kağıt üzerinde en fazla düşman riski taşıyan parça. Denetlendi. Binlerce piyasada savaş testinden geçti.
Ve bunun bu olayla hiçbir ilgisi yoktu.
Bence insanların atlayacağı ama atlamama gereken ayrıntı bu. Akıllı sözleşme katmanı tuttu. Oracle tuttu. Çöken şey, bir insanın kontrol ettiği, bir insanın (ya da bir CI pipeline'ının ya da sıcak bir imzalama servisinin) anahtarına erişebildiği bir cüzdandı. Boğa piyasasını, resmi doğrulaması olan parçaları sertleştirerek geçirdik ve .env dosyası olan parçaları görmezden geldik.
Operasyonel anahtarlar artık gerçek saldırı yüzeyi
2026 olaylarındaki örüntü bu. Solidity giderek daha iyi hale geliyor. Denetçiler işlerini iyi yapıyor. Biçimsel yöntemler, eskiden dokuz haneli rakamları boşaltan yeniden giriş hatalarını yakalıyor. Yani saldırganlar yer değiştirdi.
Yumuşak dokuya geçtiler:
- Ödüller, gaz ikmali ve piyasa yapımı için kullanılan sıcak cüzdanlar.
- Lansmandan sonra hiç değiştirilmemiş deployer anahtarları.
- İmzalama ve gezinme için aynı dizüstü bilgisayarı kullanan multisig imzacılar.
- Üretimde işlem imzalayabilen CI/CD sırları.
Bunların hiçbiri denetim raporunda yer almıyor. Düzenlenmiş bir borsada güvenlik değerlendirmesi yaptığımda, sözleşme incelemesi işin belki üçte biri. Geri kalanı HSM'ler, imzacı ayrımı, anahtar tören belgeleri ve "sabah 3'te parayı kim hareket ettirebilir ve onu ne durdurur" sorusunun derinden sıkıcı tarafı. İşte çoğu ekibin açık kaldığı yer orası.
Bu, Kelp DAO LayerZero kaybıyla aynı ders: bir sözleşme hatasından değil, operasyonel katmandaki bir yanlış yapılandırmadan uçup giden 292 milyon dolar. Farklı mekanizma, aynı temel neden: kimsenin denetlemediği sıkıcı kısım.
660 bin dolarlık bir ops cüzdanı nasıl görünmeliydi
Tek bir anahtarın 660.000 dolar hareket ettirebilmesi, şanssızlık değil, tasarım tercihidir. Anlamlı değer tutan herhangi bir operasyonel cüzdan için standart olması gereken birkaç şey:
- Cüzdan mantığının içinde harcama limitleri. Ödül yükleme cüzdanının tek bir işlemde tüm bakiyesini gönderebilmesi için hiçbir neden yoktur. Bunu zincir üzerinde hız sınırlayın.
- Belirli bir eşiğin üzerindeki her şey için çoklu imza. Küçük otomatik ödemeler sıcak tutulabilir. Ancak yaklaşık 10.000 doların üzerindeki her şey için ikinci bir imzalayan gerekmelidir. Büyük transferler için düşük eşikli Safe multisig kurmak zor değildir.
- Anahtar izolasyonu, uygulama ortamından ayrı. Bir operasyonel cüzdanın imzalama anahtarı; uygulama kodunun, bağımlılıkların ya da güvenliği ihlal edilmiş bir CI çalıştırıcısının okuyabileceği bir yerde asla bulunmamalıdır.
- Anormal çıkışta bir insanı uyaran izleme sistemi. ZachXBT bunu ekip duyurmadan önce yakaladı. Kendi uyarı sisteminiz, mempool'u izleyen üçüncü bir tarafı geçmelidir.
Bunların hiçbiri yeni değil. Ekip hızlı geliştirme yaparken ve cüzdan "sadece ödüller için" denilirken ertelenen şeylerdir.
Kimsenin sahiplenmediği denetim yığını açığı
Asıl sorun, içeride yetki alanıyla ilgilidir. Akıllı sözleşme güvenliğinin net bir sahibi vardır: denetim firması. Operasyonel anahtar güvenliğinin sahibi ise... cüzdanı genellikle son dakika baskısıyla kuran ve çoğu zaman bir daha uğramayan kişidir. Bu açığı DeFi'nin kırık denetim yığını bağlamında yazmıştım: sertifikasyon, sözleşmeleri kapsar ve sözleşme sınırında durur. Operasyonel olan her şey kapsam dışıdır ve akıllardan çıkmıştır.
Bir düzenleyici ya da sigortacı, operasyonel güvenliği sahibi olan bir kalem haline getirmeye zorlamadığı sürece bu durum tekrarlamaya devam edecektir. 2026'da DeFi operasyonel güvenliği, akıllı sözleşme güvenliğinin 2019'daki haline benziyor: önemli olduğu biliniyor, kimsenin sahiplenmediği, en son fonlanan konu.
Polymarket'in toparlanacağından eminim. 660.000 dolar, bu büyüklükteki bir platform için kaldırılabilir bir kayıp; üstelik ekibe hakkını teslim etmek gerekir, durumu hızlı ve net bir şekilde ilettiler. Ama bir dahaki bu olayı yaşayan ekip, bu zararı kaldıracak finansal güce sahip olmayabilir. Hazineyi bir ödül cüzdanı yerine tamamen boşaltacak kritik anahtar ihlali kapıda ve bu bir Solidity hatası olmayacak. Bir dizüstü bilgisayardaki bir özel anahtar olacak.