Polymarket đã ghi nhận một sự cố bảo mật khiến hơn 520.000 USD tài sản thế chấp bị rút khỏi hợp đồng UMA CTF Adapter trên Polygon vào ngày 22/5/2026.
Diễn biến ban đầu cho thấy đây nhiều khả năng là vấn đề ở quyền quản trị hoặc khóa triển khai, không phải lỗi trong logic oracle của UMA. Tại thời điểm được nhắc đến, Polymarket và UMA chưa đưa ra thông báo chính thức.
- Hơn 520.000 USD collateral bị rút khỏi UMA CTF Adapter trên Polygon.
- On-chain cho thấy dòng tiền đi qua các lệnh admin trong khoảng 09:00 UTC.
- Dấu hiệu hiện tại nghiêng về lộ khóa hoặc lỗi khởi tạo proxy, không phải bug của oracle.
Sự cố xảy ra trên hợp đồng admin của Polymarket
Hợp đồng bị nhắm tới là UMA CTF Adapter Admin Contract tại địa chỉ 0x91430C…E5c5, một proxy có thể nâng cấp và quản lý adapter chính đang giữ tài sản thế chấp của thị trường. Các sự kiện on-chain đầu tiên được ghi nhận vào khoảng 09:00:30 UTC.
Sau đó, dòng tiền POL bắt đầu dịch chuyển nhanh. Lúc 09:00:49, hợp đồng admin nhận 5.000 POL từ một địa chỉ Polymarket, rồi chỉ 5 giây sau chuyển gần 9.994 POL tới địa chỉ do kẻ tấn công kiểm soát. Đến 09:01:19, một khoản 5.000 POL khác đi vào hợp đồng, trước khi gần 5.000 POL tiếp tục được chuyển ra ngoài lúc 09:01:26.
Trong chưa đầy một phút, hơn 10.000 POL đã bị rút khỏi adapter theo cùng một khuôn mẫu. Hai địa chỉ collateral được nêu là 0x871D7c0f và 0xf61e39C7 đã gửi tài sản vào hợp đồng, rồi số tiền này được rút ra qua quyền admin.
Dấu hiệu nghiêng về lộ khóa hoặc lỗi khởi tạo proxy
Chuỗi giao dịch cho thấy vấn đề nằm ở lớp kiểm soát truy cập hơn là ở cơ chế UMA optimistic oracle. Nói cách khác, kẻ tấn công dường như đã có quyền thực hiện các lệnh chỉ dành cho admin.
Hiện chưa rõ nguyên nhân chính xác là khóa triển khai bị lộ trong quá trình thiết lập hay một proxy chưa được khởi tạo đúng cách. Dù theo hướng nào, một khi giành được quyền quản trị, kẻ tấn công có thể rút toàn bộ số collateral mà không cần khai thác logic hợp đồng theo cách phức tạp.
Địa chỉ ví và khả năng lần theo dòng tiền
Địa chỉ 0x8F98075d được xem là đáng chú ý vì đây là điểm đến của cả hai đợt chuyển POL collateral. Địa chỉ trung gian 0x65070BE9 cũng được xem là có liên quan đến các lệnh khởi tạo và cần được theo dõi thêm.
Tại thời điểm được ghi nhận, chưa có dấu hiệu rõ ràng về các đợt bridge lớn ra ngoài từ những địa chỉ bị nghi vấn. Tuy vậy, các vụ việc tương tự trước đây thường có thể đi tiếp sang bridge đa chuỗi hoặc công cụ trộn tiền.
So sánh với các vụ tấn công hạ tầng quản trị trước đó
Sự cố này gợi nhớ đến một số vụ việc xảy ra trong năm 2026, khi điểm yếu nằm ở khóa quản trị hoặc cơ chế đa chữ ký thay vì lỗi phần mềm cốt lõi. Step Finance từng bị thiệt hại khoảng 27,3 triệu USD do vi phạm khóa điều hành và multi-sig.
Drift Protocol cũng từng bị tấn công với thiệt hại khoảng 285 triệu USD vào tháng 4/2026, sau khi một khóa admin bị khai thác qua kỹ thuật xã hội, cho phép whitelist tài sản thế chấp vô giá trị. Các trường hợp này cho thấy rủi ro vận hành có thể gây thiệt hại lớn không kém lỗi hợp đồng thông minh.
Tổng kết
Sự cố tại Polymarket hiện nghiêng về một vấn đề quyền quản trị hoặc khởi tạo hợp đồng hơn là lỗ hổng trong oracle của UMA. Điểm cần theo dõi tiếp theo là xác nhận chính thức từ các bên liên quan và khả năng truy vết, cô lập dòng tiền đã bị rút ra.
