A Polymarket lança uma oferta de bounty de bugs hospedada pela Cantina, com até 5 milhões de dólares, visando vulnerabilidades em contratos inteligentes, sistemas web, oráculos e infraestrutura de garantia em sua plataforma baseada em Polygon.

A plataforma de mercado de previsão Polymarket introduziu um programa de bounty de bugs em parceria com a plataforma de segurança Web3 Cantina, oferecendo recompensas de até $5 milhões. A iniciativa visa vulnerabilidades em toda a infraestrutura da plataforma, incluindo contratos inteligentes, sistemas de garantia, integrações de oráculos e seu aplicativo web.

A plataforma, conhecida por permitir que usuários façam apostas com dinheiro real em eventos como eleições, decisões de bancos centrais e resultados esportivos importantes, processou bilhões de dólares em volume de negociação, especialmente durante o ciclo eleitoral dos Estados Unidos de 2024. Seus contratos operam na rede Proof-of-Stake do Polygon e incorporam múltiplos caminhos de liquidação, vários métodos de verificação de assinatura e um sistema que conecta stablecoins a um token interno.

O programa está dividido em duas áreas principais. A primeira foca na infraestrutura de troca e liquidação, que inclui um conjunto de 18 contratos inteligentes responsáveis pela execução de negociações, gerenciamento de taxas, controle de garantias, resolução baseada em oráculos e implantação de carteiras. Também cobre integrações com o estrutura de Tokens Condicionais do Gnosis, embora questões centrais dentro dessa estrutura sejam excluídas. A segunda área aborda vulnerabilidades na plataforma web, incluindo riscos críticos como execução remota de código, vazamento de dados, tomada de controle de subdomínios envolvendo interação com carteiras e injeção maliciosa de transações.

Estrutura de Incentivos e Classificação de Severidade

As recompensas são estruturadas por severidade. Para vulnerabilidades em contratos inteligentes, descobertas críticas podem receber entre $50.000 e $5 milhões, enquanto problemas de alta severidade podem ganhar até $500.000. Vulnerabilidades relacionadas à web oferecem pagamentos máximos menores, com problemas críticos chegando até $250.000. Os níveis de severidade são determinados com base em uma estrutura padronizada que considera impacto e probabilidade.

Várias características técnicas devem atrair pesquisadores de segurança. Os contratos de troca mais recentes da plataforma usam otimizações de baixo nível em assembly para processos como hashing e manipulação de eventos, o que pode introduzir riscos que normalmente não estão presentes em códigos de nível superior. O sistema de verificação de assinatura suporta múltiplos tipos de validação, cada um interagindo com um mecanismo de nonce projetado para evitar ataques de repetição, criando possíveis casos extremos.

O sistema de garantia adiciona mais complexidade ao converter stablecoins depositados pelos usuários em um token interno por meio de um contrato atualizável, que então interage com uma estrutura de tokens condicionais para gerenciar posições. Camadas adicionais de adaptadores são usadas para mercados de múltiplos resultados, aumentando o número de pontos potenciais de vulnerabilidade. A funcionalidade de oráculo é gerenciada pelo Oracle Otimista da UMA, com contratos de adaptador vinculando resultados de oráculos à liquidação do mercado também incluídos no escopo.

Para se qualificarem para recompensas de nível superior, as submissões devem incluir demonstrações detalhadas de prova de conceito. Relatórios de contratos inteligentes exigem testes reproduzíveis em um ambiente local do Polygon, enquanto vulnerabilidades web devem incluir passos claros de replicação e evidências de suporte. Todos os relatórios são enviados via Cantina, com incentivo à divulgação rápida.

O programa destaca a arquitetura complexa da Polymarket e sua atividade financeira significativa, posicionando-a como um alvo de alto valor para pesquisa de segurança.

GNO1,02%

UMA3,45%

Ver original

Esta página pode conter conteúdo de terceiros, que é fornecido apenas para fins informativos (não para representações/garantias) e não deve ser considerada como um endosso de suas opiniões pela Gate nem como aconselhamento financeiro ou profissional. Consulte a Isenção de responsabilidade para obter detalhes.