Polymarket استحصال: ایک لیک ہوئی کلید، نہ کہ معاہدے کی خرابی
22 مئی 2026 کو، آن چین تفتیشکار ZachXBT نے Polymarket کے ایک والٹ سے رقم نکالے جانے کی نشاندہی کی۔ ابتدائی اندازوں کے مطابق یہ تقریباً 520K ڈالر تھی۔ جب تک ٹیم نے تفصیلات کی تصدیق کی، یہ رقم 660K سے 700K ڈالر تک پہنچ گئی۔ نہ ری اینٹرنسی تھی، نہ اوریکل میں ہیرا پھیری، نہ کوئی پیچیدہ فلیش لون کا کرتب۔ صرف ایک پرائیویٹ کی جو کسی ایسی جگہ پہنچ گئی جہاں اسے نہیں پہنچنا چاہیے تھا۔
Polymarket کے استحصال نے اسٹیک کے اس حصے کو نہیں چھوا جسے دیکھنے کے لیے سب Trail of Bits اور OpenZeppelin کو پیسے دیتے ہیں۔ اس نے ایک اندرونی ٹاپ اپ والٹ کو نشانہ بنایا، ایک آپریشنل اکاؤنٹ جو انعامات کی ادائیگی اور کام کو رواں دواں رکھنے کے لیے استعمال ہوتا تھا۔ اس طرح کا والٹ جو آڈٹ کے دائرے میں کبھی نظر نہیں آتا کیونکہ یہ کوئی کنٹریکٹ نہیں ہے۔ یہ کسی کے انفراسٹرکچر پر پڑی ایک کی ہے۔
یہی تکلیف دہ پہلو ہے۔ ایک ایسے سال کے بعد جب بریج اور DVN کی غلط ترتیب کی سرخیاں چھائی رہیں، دنیا کی سب سے زیادہ فنڈ یافتہ پریڈکشن مارکیٹ کو کتاب میں موجود سب سے بنیادی خامی سے لوٹ لیا گیا۔
Polygon پر اصل میں کیا ہوا
نکالی گئی رقم ایک آپریشنز والٹ میں تھی، نہ کہ پروٹوکول کے مرکزی کنٹریکٹس میں محفوظ صارفین کے فنڈز میں۔ CoinDesk کی رپورٹنگ کے مطابق، ZachXBT نے تقریباً 520K ڈالر کی منتقلی دیکھی، اور Polymarket کی ٹیم نے کہا کہ صارفین کے فنڈز محفوظ ہیں۔ حملہ آور نے Polygon پر والٹ سے POL اور دیگر اثاثے صاف کر دیے، پھر وہی کیا جو حملہ آور ہمیشہ کرتے ہیں، کچھ بھی منجمد ہونے سے پہلے بریج کر کے منتشر کر دیا۔
Decrypt نے رقم کو 700K ڈالر کے قریب بتایا اور اسے خاص طور پر ایک اندرونی ٹاپ اپ والٹ قرار دیا۔ ابتدائی 24 گھنٹوں میں اعداد میں تضاد عام بات ہے؛ طریقہ کار پر کوئی اختلاف نہیں ہے۔ کسی کو کی مل گئی۔
اسے Polygon POL استحصال صرف اس معنی میں کہا جا سکتا ہے کہ والٹ میں POL موجود تھا۔ چین ناکام نہیں ہوئی۔ کنٹریکٹ ناکام نہیں ہوا۔ ایک آپریشنل کی کی تحویل ناکام ہوئی۔
UMA CTF Adapter مسئلہ کیوں نہیں تھا
Polymarket کی مارکیٹ ریزولیوشن UMA کے آپٹیمسٹک اوریکل کے ذریعے UMA CTF Adapter سے گزرتی ہے، وہ کنٹریکٹ جو سوالات پوسٹ کرتا ہے، تنازعات سنبھالتا ہے، اور نتائج طے کرتا ہے۔ یہی وہ حصہ ہے جو کاغذ پر سب سے زیادہ مخالفانہ خطرے کا حامل ہے۔ اس کا آڈٹ ہو چکا ہے۔ یہ ہزاروں مارکیٹوں میں آزمائشوں سے گزر چکا ہے۔
اور اس سب کا اس واقعے سے کوئی تعلق نہیں تھا۔
مجھے لگتا ہے یہ وہ تفصیل ہے جسے لوگ نظرانداز کر دیں گے، حالانکہ نہیں کرنی چاہیے۔ سمارٹ کنٹریکٹ کی پرت قائم رہی۔ اوریکل قائم رہا۔ جو چیز ٹوٹی وہ ایک ایسا والیٹ تھا جسے ایک انسان کنٹرول کرتا ہے، ایک ایسی چابی سے جس تک ایک انسان (یا کوئی CI پائپ لائن، یا کوئی ہاٹ سائننگ سروس) کی رسائی ہے۔ ہم نے بُل مارکیٹ کے دوران ان حصوں کو مضبوط بنانے میں وقت لگایا جن کی باضابطہ تصدیق ہو سکتی ہے، اور ان حصوں کو نظرانداز کر دیا جن کے پاس صرف ایک .env فائل ہے۔
آپریشنل کیز اب اصل حملے کی سطح ہیں
2026 کے واقعات میں ایک نمونہ بار بار نظر آتا ہے۔ Solidity بہتر ہوتی جا رہی ہے۔ آڈیٹر اپنا کام اچھی طرح کرتے ہیں۔ باضابطہ طریقے اب ری اینٹرنسی بگز کو پکڑ لیتے ہیں جو پہلے نو ہندسوں کی رقم نکال لیتے تھے۔ اس لیے حملہ آور آگے بڑھ گئے۔
وہ نرم حصوں کی طرف آ گئے:
- ہاٹ والیٹس جو انعامات، گیس ٹاپ اپس، اور مارکیٹ میکنگ کے لیے استعمال ہوتے ہیں۔
- ڈیپلوئر کیز جو لانچ کے بعد کبھی تبدیل نہیں کی گئیں۔
- ملٹی سگ سائنرز جو سائننگ اور براؤزنگ کے لیے ایک ہی لیپ ٹاپ استعمال کرتے ہیں۔
- CI/CD سیکریٹس جو پروڈکشن میں ٹرانزیکشنز سائن کر سکتے ہیں۔
ان میں سے کوئی بھی آڈٹ رپورٹ میں نہیں آتا۔ جب میں کسی ریگولیٹڈ ایکسچینج میں سکیورٹی کا جائزہ لیتا ہوں تو کنٹریکٹ ریویو شاید ایک تہائی کام ہوتی ہے۔ باقی HSMs، سائنر سیگریگیشن، کی سیریمنی دستاویزات، اور یہ انتہائی غیر دلچسپ سوال ہوتا ہے کہ "رات تین بجے پیسے کون منتقل کر سکتا ہے اور اسے کون روکے گا۔" اسی آخری حصے میں زیادہ تر ٹیمیں کمزور ہوتی ہیں۔
یہ Kelp DAO LayerZero loss والا سبق ہی ہے، $292M کسی کنٹریکٹ بگ سے نہیں گئے بلکہ آپریشنل پرت میں ایک غلط کنفیگریشن سے گئے۔ طریقہ کار مختلف تھا، مگر بنیادی وجہ ایک ہی تھی: وہ بورنگ حصہ جسے کوئی آڈٹ نہیں کرتا۔
$660K کے آپریشنل والیٹ کی شکل کیسی ہونی چاہیے تھی
اگر ایک واحد کلید $660K منتقل کر سکتی ہے، تو یہ ڈیزائن کا فیصلہ ہے، بدقسمتی نہیں۔ معقول رقم رکھنے والے کسی بھی آپریشنل والیٹ کے لیے چند چیزیں بنیادی ضرورت ہونی چاہئیں:
- والیٹ لاجک میں خود خرچ کی حدود۔ ریوارڈز ٹاپ اپ والیٹ کو ایک ہی ٹرانزیکشن میں پورا بیلنس بھیجنے کی اجازت نہیں ہونی چاہیے۔ اسے آن چین ریٹ لمٹ کریں۔
- ایک مقررہ حد سے اوپر ہر چیز کے لیے تھریشولڈ سائننگ۔ چھوٹی خودکار ادائیگیاں ہاٹ رہ سکتی ہیں۔ مثلاً $10K سے اوپر کی ہر رقم کے لیے دوسرے دستخط کنندہ کی ضرورت ہو۔ بڑی منتقلیوں کے لیے کم تھریشولڈ والا Safe ملٹی سگ کوئی مشکل کام نہیں۔
- ایپ ماحول سے کلید کی علیحدگی۔ آپریشنل والیٹ کی سائننگ کلید کو کبھی بھی وہاں نہیں رہنا چاہیے جہاں ایپلیکیشن کوڈ، ڈیپنڈنسیز یا کوئی سمجھوتہ شدہ CI رنر اسے پڑھ سکے۔
- ایسی مانیٹرنگ جو غیر معمولی اخراج پر کسی انسان کو الرٹ کرے۔ ZachXBT نے ٹیم کے اعلان سے پہلے یہ پکڑ لیا۔ میم پول دیکھنے والے کسی تیسرے فریق سے آپ کی اپنی الرٹنگ بہتر ہونی چاہیے۔
یہ سب کوئی نئی باتیں نہیں۔ یہ وہ چیزیں ہیں جو اس وقت پیچھے رہ جاتی ہیں جب ٹیم تیزی سے شپ کر رہی ہو اور والیٹ "بس ریوارڈز کے لیے" ہو۔
آڈٹ اسٹیک کا وہ خلا جس کا کوئی مالک نہیں
اصل مسئلہ اندرونی طور پر دائرہ اختیار کا ہے۔ اسمارٹ کانٹریکٹ سیکیورٹی کا ایک واضح مالک ہے: آڈٹ فرم۔ آپریشنل کلید کی سیکیورٹی کا مالک ہے... جس نے بھی والیٹ سیٹ اپ کیا، عموماً آخری وقت کے دباؤ میں، اور اکثر کبھی دوبارہ نہیں دیکھا گیا۔ میں نے اس خلا کے بارے میں DeFi کے ٹوٹے ہوئے آڈٹ اسٹیک کے تناظر میں لکھا ہے۔ سرٹیفیکیشن کانٹریکٹس کا احاطہ کرتی ہے اور کانٹریکٹ کی حد پر آ کر رک جاتی ہے۔ آپریشنل ہر چیز دائرہ کار سے باہر اور نظروں سے اوجھل ہے۔
جب تک کوئی ریگولیٹر یا انشورر آپریشنل سیکیورٹی کو کسی مالک کے ساتھ ایک مستقل لائن آئٹم بنانے پر مجبور نہ کرے، یہ سلسلہ جاری رہے گا۔ 2026 میں DeFi آپریشنل سیکیورٹی تقریباً وہی ہے جہاں اسمارٹ کانٹریکٹ سیکیورٹی 2019 میں تھی: اہمیت سب کو معلوم، ذمہ داری کسی کی نہیں، فنڈنگ سب سے آخر میں۔
Polymarket ٹھیک رہے گا۔ $660K ان کے سائز کے پلیٹ فارم کے لیے قابلِ برداشت ہے، اور ان کی تعریف کرنی ہوگی کہ انہوں نے تیزی اور صراحت کے ساتھ بات کی۔ لیکن اگلی ٹیم جس کے ساتھ یہ ہو، اسے یہ نقصان جھیلنے کی سکت نہیں ہوگی۔ وہ سمجھوتہ جو انعامی والٹ کے بجائے پورے خزانے کو نگل جائے، آنے والا ہے، اور وہ کوئی Solidity کی خامی نہیں ہوگی۔ وہ کسی لیپ ٹاپ پر پڑی ایک کلید ہوگی۔