Polymarket запускає програму винагород за виявлення помилок на Cantina з нагородами до 5 мільйонів доларів

Коротко

Polymarket запускає програму пошуку помилок, організовану Cantina, з нагородами до 5 мільйонів доларів, спрямовану на вразливості у смарт-контрактах, веб-системах, оракулах та інфраструктурі забезпечення на своїй платформі на базі Polygon.

Платформа для прогнозних ринків Polymarket запровадила програму пошуку помилок у партнерстві з платформою безпеки Web3 Cantina, пропонуючи нагороди до $5 мільйонів доларів. Ініціатива спрямована на виявлення вразливостей у всій інфраструктурі платформи, включаючи смарт-контракти, системи забезпечення, інтеграції з оракулами та її веб-застосунок.

Платформа, відома тим, що дозволяє користувачам робити ставки реальними грошима на події, такі як вибори, рішення центральних банків і великі спортивні результати, обробила мільярди доларів торгового обсягу, особливо під час виборчого циклу в США 2024 року. Її контракти працюють на мережі Polygon Proof-of-Stake і включають кілька шляхів розрахунку, кілька методів перевірки підписів і систему, яка з’єднує стабількоіни з внутрішнім токеном.

Програма поділена на дві основні області. Перша зосереджена на інфраструктурі обміну та розрахунків, яка включає набір із 18 смарт-контрактів, відповідальних за виконання торгів, обробку комісій, управління заставами, рішення на основі оракула та розгортання гаманців. Також охоплює інтеграції з фреймворком Gnosis Conditional Tokens, хоча основні проблеми в цьому фреймворку виключені. Друга область стосується вразливостей у веб-платформі, включаючи критичні ризики, такі як віддалене виконання коду, витоки даних, захоплення піддоменів із взаємодією з гаманцями та зловмисне вставлення транзакцій.

Структура заохочень і класифікація серйозності

Нагороди структуровані за рівнями серйозності. За вразливості у смарт-контрактах критичні знахідки можуть отримати від 50 000 доларів до $5 мільйонів, тоді як проблеми високої серйозності — до 500 000 доларів. Вразливості, пов’язані з веб-інтерфейсом, мають нижчі максимальні виплати, з критичними проблемами до 250 000 доларів. Рівні серйозності визначаються за стандартною системою, яка враховує вплив і ймовірність.

Деякі технічні особливості мають привернути увагу дослідників безпеки. Нові контракти обміну платформи використовують низькорівневі оптимізації на асемблері для таких процесів, як хешування та обробка подій, що може створювати ризики, характерні для низькорівневого коду. Система перевірки підписів підтримує кілька типів валідації, кожен із яких взаємодіє з механізмом nonce, створеним для запобігання повторним атакам, що може спричинити крайні випадки.

Система застав додає додаткову складність, перетворюючи стабількоіни, внесені користувачами, у внутрішній токен через оновлюваний контракт, який потім взаємодіє з фреймворком умовних токенів для управління позиціями. Додаткові адаптери використовуються для ринків із кількома результатами, що збільшує кількість потенційних точок вразливості. Функціональність оракула реалізована через Optimistic Oracle від UMA, а також включає контракти адаптерів, що зв’язують результати оракула з розрахунками ринку.

Щоб претендувати на нагороди вищого рівня, подання повинні містити детальні демонстрації proof-of-concept. Звіти про смарт-контракти вимагають відтворюваних тестів у локальному середовищі Polygon, тоді як уразливості веб-інтерфейсу мають включати чіткі кроки відтворення та підтверджуючі докази. Всі звіти подаються через Cantina, заохочується швидке розкриття інформації.

Програма підкреслює складну архітектуру Polymarket і значну фінансову активність, позиціонуючи її як ціль високої цінності для досліджень безпеки.