По сообщениям рынка, в ходе инцидента безопасности, связанного с веб-интерфейсом Polymarket, предполагаемые злоумышленники обменяли полученные активы примерно на 2,65 млн долларов в POL, а затем вывели в общей сложности около 28,64 млн токенов POL. Если эта цепочка движения средств соответствует действительности, непосредственная проблема для POL заключается не в том, пострадал ли его собственный смарт-контракт, а в том, куда направятся токены, связанные с инцидентом, попадут ли они на торговые площадки и будут ли проданы.
Вся доступная на данный момент информация поступает из обсуждений одного и того же типа; независимых данных об отслеживании транзакций в блокчейне, официального отчёта платформы об инциденте или торговых данных для перекрёстной проверки нет. Масштаб атаки, количество переведённых токенов, ход их обработки и дальнейшее движение средств следует считать неподтверждёнными рыночными сообщениями. Особенно важно различать «обменяли на POL», «POL вывели» и «POL уже продали»: это не одно и то же.
От сбоя на сайте до POL: как сложился этот нарратив
Согласно публичным обсуждениям, сбой произошёл во фронтенде сайта Polymarket. В распространяемых версиях указывается на сторонний скрипт мониторинга производительности, подключённый к сайту: предположительно, его изменили, из-за чего могли пострадать действия с аккаунтами или запросы на подпись авторизованных пользователей. По некоторым сообщениям, позиции на затронутых аккаунтах были проданы, а активы впоследствии переведены; также утверждается, что пользователи видели на обычной странице сайта запросы на подпись вывода средств, которые они не инициировали. Все эти описания указывают на риск, связанный с цепочкой поставок фронтенда, а не на подтверждённую уязвимость контракта POL.
В обсуждениях масштабов инцидента неоднократно фигурировали два числа: «около 995 аккаунтов» и «примерно 2,65 млн долларов». Также назывались другие оценки: «не менее 2,7 млн долларов» и «около 710 кошельков». Число аккаунтов, число кошельков и сумма убытков могут рассчитываться по-разному; имеющихся материалов недостаточно, чтобы объяснить расхождения. Кроме того, в сообщениях рынка говорилось, что на какое-то время сервис перешёл в режим, когда можно было только отменять ордера, а затем возобновил торговлю и предложил компенсировать убытки пострадавшим пользователям. Однако независимых подтверждений масштаба возобновления работы, фактического числа пострадавших и выплаты компенсаций пока нет.
POL оказался в рыночном нарративе вокруг этого инцидента, поскольку в нескольких обсуждениях упоминалось, что активы, предположительно полученные злоумышленниками, были обменяны на POL, после чего в общей сложности около 28,64 млн токенов POL перевели несколькими транзакциями. Повторение этой версии говорит о том, что она привлекла внимание, но не заменяет проверку хешей транзакций, принадлежности адресов и маршрута переводов. Упоминаемые в обсуждениях 2,65 млн долларов также нельзя напрямую считать точной суммой, вырученной от продажи этих токенов: временные точки и охват двух наборов цифр пока неясны.
Разночтения в движении средств: перевод не равен продаже
Если обмен и маршрут переводов в итоге подтвердятся, краткосрочное наблюдение за POL будет сосредоточено на том, куда направились средства. Обмен активов на более ликвидные токены мог быть нужен лишь для перевода, дробления или последующего распоряжения ими. Возникло ли реальное давление со стороны продавцов, зависит от характера адресов-получателей, а также от наличия проверяемых данных о последующем поступлении токенов на торговые площадки, дальнейших обменах или их систематической продаже. Имеющиеся свидетельства содержат лишь утверждение о «предполагаемом переводе» и не подтверждают эти последующие этапы.
Именно этот шаг рынок часто упускает: увидев крупный перевод токенов, его описывают как уже состоявшуюся распродажу. Перевод на новый адрес под собственным контролем, через кроссчейн-маршрут или на торговую площадку имеет разное значение для цены. Даже если токены в итоге поступили на торговую площадку, одно лишь зачисление не доказывает, что они были проданы. И наоборот, если последующие данные покажут, что токены постоянно обменивали, влияние инцидента на POL перейдёт из области ожиданий в наблюдаемое увеличение предложения.
В имеющихся материалах нет данных о цене POL, объёме торгов и глубине стакана в соответствующий период, а также проверяемых сведений об изменении балансов связанных с инцидентом адресов. Поэтому нельзя оценить размер этой партии токенов относительно рыночной ликвидности и тем более приписать инциденту какие-либо колебания цены. Некоторые связывают его с более широким падением рынка, но предоставленных свидетельств недостаточно и для установления причинно-следственной связи.
Последствия инцидента для безопасности и риски самого POL нужно рассматривать отдельно
Если инцидент произошёл так, как описывают распространённые версии, в первую очередь под ударом оказались фронтенд, сторонние скрипты и границы разрешений аккаунтов, от которых зависит взаимодействие пользователей с сайтом. Использование сайтом настоящего домена не означает, что безопасен каждый фрагмент внешнего кода, загружаемый страницей. В то же время утверждение о «предполагаемой подмене скрипта фронтенда» не означает, что была взломана базовая блокчейн-сеть или контракт POL. Смешение этих двух типов рисков ведёт к неверной оценке масштаба инцидента.
Для POL более прямым возможным последствием стали ожидания относительно дальнейшего движения средств после того, как POL, предположительно, использовали как промежуточный актив. Осторожные наблюдатели опасаются, что если количество около 28,64 млн токенов подтвердится, держатели заранее начнут оценивать вероятность их последующей продажи. Другая точка зрения состоит в том, что инцидент был вызван сторонним компонентом веб-страницы, а POL оказался лишь одним из звеньев маршрута движения средств; пока нет проверяемых данных о систематической продаже, не следует напрямую считать происшествие изменением фундаментальных факторов POL. Разница между этими оценками определяется не интенсивностью обсуждений инцидента, а тем, куда в итоге переместятся средства.
За ходом компенсаций также стоит следить отдельно. Согласно публичным обсуждениям, связанные с инцидентом стороны заявляли о намерении полностью компенсировать убытки пострадавшим пользователям. Если будут подтверждены круг получателей компенсации, сроки выплат и фактическое поступление средств, ситуация с возмещением ущерба станет яснее. Однако само обещание компенсации не доказывает, что связанные с инцидентом токены POL перестали перемещаться, и не заменяет технический разбор происшествия. В материалах также приводятся разные сведения о том, происходили ли подобные инциденты ранее, в какие месяцы и на какие суммы. Поскольку они не подтверждены независимо, по ним нельзя судить о частоте или тенденции таких происшествий.
Что нужно проверить дальше и что может опровергнуть текущую оценку
В первую очередь необходимо проверяемое описание инцидента: какой именно скрипт был изменён, какие действия пользователей затронуты, как долго продолжался сбой и когда соответствующий сервис ввёл ограничения и восстановил работу. От этого зависит, подтвердится ли нынешняя версия о «атаке на цепочку поставок фронтенда». Если технический разбор покажет, что причиной был не сторонний скрипт, анализ, основанный на этом механизме атаки, следует пересмотреть.
Во-вторых, необходима полная картина движения средств, включая предполагаемые адреса злоумышленников, записи об обменах, переводы примерно 28,64 млн POL отдельными транзакциями и сведения о последующей принадлежности адресов. Если эти переводы нельзя связать с одними и теми же средствами, либо независимые данные опровергнут указанное количество или сумму, основания для опасений по поводу потенциального давления со стороны продавцов POL заметно ослабнут. Если подтвердится, что токены по-прежнему находятся на адресах, с которых их не продавали, утверждение о том, что «токены уже обрушили рынок», также не выдерживает проверки. Если же подтвердятся систематические обмены или продажи, фактическое влияние инцидента на рынок следует оценить заново.
Наконец, нужно сверить данные об убытках и компенсациях: число пострадавших аккаунтов, методику подсчёта ущерба, статус возобновления торговли и записи о поступлении компенсаций следует проверять по отдельности, а не сводить весь ход событий к одному обещанию. Пока на эти вопросы нет ответов, осторожнее всего сформулировать вывод так: POL оказался вовлечён в ещё не подтверждённую историю о движении средств, а сообщения о переводах вызвали опасения по поводу их дальнейшего использования, однако фактическая продажа токенов и её влияние на рынок пока не доказаны.