Polymarket приостановила торги примерно на час 29 октября 2026 года после того, как злоумышленники воспользовались скомпрометированным сторонним скриптом, чтобы без разрешения продавать позиции пользователей и переводить их средства, сообщает Cointribune. Убытки оцениваются как минимум в 2,6 млн долларов и затронули более 700 аккаунтов.

Трейдеры сообщали о несанкционированной продаже активов и опустошении счетов: один пользователь заявил, что потерял 800 000 долларов, а со счёта другого пропали 600 000 долларов. Polymarket пообещала возместить потери всем пострадавшим и сообщила, что передала дело британским властям.

Ключевые факты

• Инцидент начался 29 октября на международной площадке Polymarket.com; торги перевели в режим «только отмена», после чего все сервисы восстановили работу.

• Cointribune сообщило, что пострадали более 700 аккаунтов, а ущерб составил не менее 2,6 млн долларов; CoinCentral со ссылкой на данные DeFi Llama оценило потери примерно в 2,7 млн долларов. Издания не приводят единую согласованную сумму, а Polymarket не публиковала окончательные данные.

• Согласно приведённому Cointribune анализу блокчейна, 28,6 млн токенов POL стоимостью около 2,57 млн долларов были распределены между несколькими кошельками.

• Блокчейн Polygon и основные смарт-контракты Polymarket не были взломаны; атака прошла через скрипт мониторинга, предоставленный британской компанией DebugBear, которая признала наличие «продолжающегося инцидента безопасности».

• Cointribune сообщило о предыдущей утечке в июне: тогда взломали другого стороннего поставщика, и у менее чем пятнадцати аккаунтов похитили около 3 млн долларов. По данным CoinCentral, сумма июньских потерь превысила 2,9 млн долларов.

Скрипт отслеживания, а не взлом блокчейна

По данным Cointribune, первые анализы блокчейна указывают на DebugBear — британскую компанию, чей сервис Real User Monitoring использует встроенный в страницы клиентов скрипт для измерения времени загрузки. После взлома этой инфраструктуры скрипт, предположительно, заменили или изменили, добавив вредоносный код. Он проверял, вошёл ли посетитель в Polymarket, а затем использовал активную сессию, чтобы продавать позиции и переводить активы. DebugBear попросила клиентов удалить встроенный код.

Это различие важно для понимания инцидента. Злоумышленники не подделывали транзакции в блокчейне и не взламывали логику контрактов рынка прогнозов; они захватили веб-уровень, на котором подготавливаются и подтверждаются операции. Исследователи Hudson Rock обнаружили в вредоносном коде адрес, на который поступали средства.

Два взлома, одно слабое место

CoinCentral сообщило, что Polymarket заявила о взломе одного из сторонних поставщиков и «серьёзном сбое» в работе API для торговли прогнозами, но не назвала поставщика. CoinCentral также отметило, что по состоянию на 19:05 UTC в четверг на странице статуса платформы все системы значились как работающие штатно; издание также назвало Шейна Коплана основателем и генеральным директором компании.

Оба инцидента развивались по одной схеме: точкой входа стали сторонние поставщики, а не собственные системы Polymarket. По оценке Cointribune, совокупные потери в результате обоих происшествий за несколько месяцев составили почти 5,6 млн долларов.

Почему это важно

Возмещение ограничивает прямые финансовые потери трейдеров, но не возвращает позицию, закрытую во время волатильности рынка, в прежнее состояние. Пользователи, пострадавшие от взлома, хранят средства на некастодиальной платформе, однако действующей сессии и одного скомпрометированного скрипта оказалось достаточно, чтобы перевести их деньги, — владение кошельком само по себе не устраняет этот риск. Повторный инцидент заставляет обратить внимание не на ошибку одного поставщика, а на то, как Polymarket контролирует скрипты, запускаемые на своём сайте.

За чем следить

Polymarket не сообщила окончательную сумму потерь или условия возмещения, а Cointribune отмечает, что точное число пострадавших ещё предстоит установить. Следующий важный вопрос — как платформа рассчитает компенсацию: возместит только переведённые средства или также стоимость позиций, проданных без согласия пользователей.

Впервые опубликовано на CoinPulseHQ: https://coinpulsehq.com/polymarket-hack-700-accounts-2-6-million/