أضافت Polymarket إعدادًا جديدًا لا يسمح للمتداولين بإرسال عمليات السحب إلا إلى محافظ تمت الموافقة عليها مسبقًا.

تأتي هذه الميزة بعد نحو أسبوعين من استنزاف نص برمجي مخترق نحو 2.7 مليون دولار من حسابات المستخدمين.

ما وظيفة قفل السحب الجديد في Polymarket؟

أعلن جوش ستيفنز، نائب رئيس الهندسة في Polymarket، يوم الاثنين أن المنصة ستضيف ميزة جديدة لن تسمح للمتداولين بإرسال عمليات السحب إلا إلى محافظ تمت الموافقة عليها مسبقًا. ونُشر الإعلان في منشور على X من حساب @devjoshstevens.

لا تستغرق إضافة عنوان محفظة جديد إلى حساب مستخدم سوى خطوتين. على المتداول تأكيد الطلب عبر البريد الإلكتروني، ثم الانتظار 48 ساعة. وإذا لم يكن المتداول هو من بدأ الطلب، فيمكنه إلغاءه مباشرةً من رسالة البريد الإلكتروني تلك.

بوجود هذا الإجراء، لن يعود بإمكان المهاجمين إرسال الأموال إلى محفظة جديدة من دون اجتياز التحقق عبر البريد الإلكتروني وانتظار اليومين المطلوبين. وقال ستيفنز إن الهدف هو ضمان عدم تمكن المهاجمين من إرسال الأموال إلى أي عنوان لا يتحكم فيه المستخدم.

لكن هذا القفل لا يعالج السبب الجذري للاختراق الذي تعرضت له بولي ماركت قبل أسبوعين فقط. وقد أدى ذلك الاختراق إلى سحب نحو 2.7 مليون دولار من حسابات المستخدمين. ونُفذ الهجوم عبر برنامج نصي تابع لجهة خارجية كان يعمل داخل موقع بولي ماركت، مع إمكانية الوصول إلى الجلسات النشطة.

واجهت بولي ماركت هذا النوع من المشكلات في وقت سابق من هذا العام، في يونيو، حين تعرضت لهجوم عبر برنامج نصي لأحد المورّدين، ما أدى إلى سحب نحو 3 ملايين دولار من 11 محفظة على الأقل، وفقًا لتقارير سابقة لموقع كريبتوبوليتان. كما طال اختراقٌ وقع في ديسمبر 2025 لدى مزوّد للمصادقة حسابات المستخدمين.

تضمنت كل واحدة من هذه الحالات مزوّدًا خارجيًا، لكن لا يوجد ما يربطها بمهاجم واحد.

كيف وقع اختراق بولي ماركت، وما الذي سيحدث بعد ذلك؟

في 29 أكتوبر، أوقفت بولي ماركت التداول على منصتها الدولية بعدما استولى مهاجمون على برنامج نصي تابع لشركة ديبغ بير، وهي شركة بريطانية تراقب سرعة المواقع الإلكترونية. واستُبدل البرنامج النصي بشيفرة صُممت لاستنزاف المحافظ.

اكتشف باحثون في هدسون روك أن الشيفرة تحققت مما إذا كان زائر الموقع قد سجّل الدخول إلى بولي ماركت. ثم قرأت أرصدتهم ومراكزهم المفتوحة. وأخيرًا، استخدمت أدوات التداول الخاصة بالموقع لبيع المراكز وإرسال الأموال إلى محفظة يملكها أحد المهاجمين.

كما اكتشفت هدسون روك أن شيفرة موقع بولي ماركت سجّلت إزالة البرنامج النصي. وقالت بولي ماركت إنها أحالت القضية إلى جهات إنفاذ القانون.

أفادت بيتكويري بأن المهاجمين سرقوا 2.73 مليون دولار من 737 حسابًا خلال نحو ساعة، بين الساعة 17:10 و18:10 بالتوقيت العالمي المنسق. ونفذوا 985 عملية سحب، وكانت كل عملية تحمل موافقة صالحة. لذلك تعاملت العقود الذكية معها على أنها معاملات حقيقية أجراها المستخدمون.

خسر أحد الحسابات 358,369 دولارًا في عملية سحب واحدة، بينما خسر 276 حسابًا أقل من 100 دولار لكل منها. كما سُرقت حصص التنبؤ بالسوق من 33 مستخدمًا آخر.

قالت بولي ماركت إنها ستعوّض جميع مستخدميها، لكن ستُردّ الأموال أولًا إلى من خسروا أقل من 10,000 دولار.

طلبت باينانس وبولي ماركت أيضًا من مدققي بوليغون الموافقة على انقسام جذري. والانقسام الجذري هو تغيير في برمجيات الشبكة يجب على جميع المدققين اعتماده. ومن شأن هذا الانقسام نقل نحو 70.49 مليون رمز POL مجمّد، تبلغ قيمتها نحو 6.5 ملايين دولار، من محافظ المهاجمين. ونُشر المقترح في 4 نوفمبر، وعُرض في اجتماع حوكمة بوليغون في 5 نوفمبر. ولا يزال التصويت وتحديد الموعد معلقين.

وتعمل شركات أخرى أيضًا على تعزيز إجراءاتها الأمنية. وذكرت تقارير أن شركة الأمن سيرتيك قالت يوم الثلاثاء، عقب اختراق باينانس الذي بلغت خسائره 6.3 مليارات دولار، إن على منصات التداول وضع حدود مالية ثابتة لمقدار ما تحتفظ به في المحافظ الساخنة، بدلًا من الاعتماد على نسب التخزين البارد وحدها.

إذا كنت تقرأ هذا، فأنت متقدم بالفعل. وحافظ على تقدمك مع نشرتنا الإخبارية.