• На странице состояния инцидент был зарегистрирован в 18:05 UTC как крупный сбой API для торговли на рынке прогнозов.

• Трейдер по имени Кар сообщил об убытке в $800 000 и заявил, что все его позиции были проданы.

• По неподтвержденным оценкам, баланс кошелька предполагаемого получателя достиг пика в $2,68 млн к 18:05 UTC.

Торги на международной площадке приостановлены

В четверг Polymarket приостановила все торги на своей международной площадке после компрометации стороннего поставщика и сообщений пользователей о том, что средства с их аккаунтов были выведены. Согласно странице состояния компании, проблема, затронувшая Polymarket.com, выявлена и устранена, информация о скомпрометированном поставщике передана соответствующим правоохранительным органам, а пострадавшим пользователям «возместят ущерб». Биржа не раскрыла, сколько аккаунтов пострадало и какова общая сумма похищенного. Приостановка затронула международный сервис на базе кошельков, где пользователи торгуют на рынках прогнозов со счетов с самостоятельным хранением средств; отдельно регулируемая американская биржа, работающая по лицензии Комиссии по торговле товарными фьючерсами (CFTC), не упоминается среди пострадавших площадок. Вскоре после обновления страницы состояния аккаунт сообщества опубликовал в X почти идентичное заявление, повторяющее официальную формулировку. На момент публикации срок возобновления торгов в полном объеме не был назван.

Обновление (29 окт., 19:11 UTC): тот же адрес, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, зашит в скрипт как резервный адрес получателя, а данные блокчейна показывают, что на кошельке предполагаемого злоумышленника находится около $2,65 млн в POL после нескольких обменов USDC.e на POL через Relay.

Режим только отмены с 18:05 UTC

Страница статуса впервые сообщила об инциденте в четверг в 18:05 UTC, классифицировав его как крупный сбой API для торговли прогнозами — книги ордеров, которая сопоставляет сделки на рынках прогнозов. На этом этапе биржа перешла в режим только отмены: пользователи могли отменять существующие ордера, но новые ордера не размещались и сделки не исполнялись, а действия релейера — сервиса, который отправляет ончейн-транзакции от имени пользователей, — оставались приостановленными. Доступ к аккаунтам, потоки данных через веб-сокеты, данные о позициях и расчёты в сети Polygon работали всё это время. Примерно 32 минуты спустя, в 18:37 UTC, статус на странице изменился с «расследуется» на «причина установлена», а сбой связали со скомпрометированным сторонним поставщиком услуг. Единственным разрешённым типом ордеров была отмена открытых ордеров; движок сопоставления оставался отключённым, и трейдеры с открытыми позициями не могли их закрыть.

Потери пользователей и заявление о $2,68 млн

Сообщения о выводе средств начали распространяться в X ещё до того, как компания что-либо подтвердила. Трейдер под именем Car написал в X, что с его аккаунта вывели $800 000, а его друг потерял $600 000, добавив, что все его позиции были проданы. Другой аккаунт, StarPlatinum, отследил кошелёк предполагаемого получателя: он начал получать средства в 17:05 UTC, к 17:25 на нём было $412 000, к 17:50 сумма достигла $2,02 млн, а в 18:05 — пика в $2,68 млн. По оценке автора аккаунта, получатель накопил 28,6 млн POL, конвертированных из пользовательских депозитных балансов. Этот аккаунт также обнаружил прокси Deposit Wallet Factory и заявил, что была задействована инфраструктура Relay для спонсируемых транзакций. Ни одна из этих цифр не подтверждена: в заявлениях компании не указаны ни число пострадавших, ни общая сумма потерь, ни адрес злоумышленника, а хеш транзакции не опубликован.

Июньская атака на фронтенд и прецедент возмещения ущерба

Этот инцидент напоминает о происшествии в июне, когда взлом стороннего поставщика позволил внедрить вредоносный скрипт во фронтенд Polymarket для некоторых пользователей. Первоначальный ончейн-анализ оценил потери в $2,94 млн как минимум с 11 кошельков; позднее оценка достигла $3,1 млн. Средства были похищены в pUSD в сети Polygon, конвертированы через Relay, переведены в Ethereum и обменяны на ETH. Тогда компания заявила, что удалила затронутую зависимость и полностью возместит ущерб пострадавшим клиентам. За несколько дней до этого аналогичную утечку пережила конкурирующая платформа: 27 окт. Predict.fun подтвердила в заявлении несанкционированные переводы примерно на 400 000 USDT, предположительно связанные со взломом внешнего сайта с документацией API, и пообещала полное возмещение ущерба и подробный разбор инцидента. Инцидент в декабре, связанный с сервисом входа в один клик, также указывал на то же слабое звено — сторонние зависимости.

Специалисты по безопасности из Hudson Rock определили вероятный механизм доставки вредоносного кода: скрипт, загруженный с DebugBear — сервиса мониторинга веб-производительности, — содержал код, который ищет торговую сессию вошедшего в систему пользователя и пытается продать его позиции и перевести активы. Тот же адрес, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, зашит в скрипт как резервный адрес получателя, а данные блокчейна показывают, что на кошельке предполагаемого злоумышленника находится около $2,65 млн в POL после нескольких обменов USDC.e на POL через Relay. В Hudson Rock сообщили, что в коде рабочего сайта Polymarket зафиксировано удаление скрипта, однако компания не установила, как начался взлом и сколько пользователей пострадало. Polymarket пока не назвала причину.

Повторяющаяся проблема со сторонними поставщиками

Три инцидента примерно за десять месяцев, все связанные со сторонними зависимостями, а не с ончейн-контрактами, указывают на системную уязвимость инфраструктуры рынков прогнозов. Polymarket работает в сети Polygon — сети второго уровня — и давно отказалась от первоначальной модели автоматического маркет-мейкера в пользу централизованной книги ордеров. Однако поверхность атаки охватывает размещённые на сторонних ресурсах фронтенды, релейеры и инфраструктуру депозитных кошельков, которые не проверяются аудитом контрактов. Во всех случаях средства уходили сразу после того, как пользователи подписывали вредоносные запросы, поэтому после подтверждения транзакции потери становились необратимыми. Компания последовательно устраняет уязвимости и компенсирует ущерб, но вновь не опубликовала хеши транзакций, подтверждённую сумму потерь или техническую первопричину, назвав лишь стороннюю организацию. Пока эти подробности не появятся, активным пользователям стоит перевести неиспользуемые средства на холодный кошелёк и разобраться в работе аппаратных кошельков — это остаётся практической мерой защиты.