Polymarket добавила новую настройку, которая позволяет трейдерам отправлять средства при выводе только на предварительно одобренные кошельки.
Эта функция появилась примерно через две недели после того, как взломанный скрипт вывел около 2,7 млн долларов со счетов пользователей.
Как работает новая блокировка вывода средств на Polymarket?
В понедельник Джош Стивенс, вице-президент Polymarket по инженерным вопросам, объявил, что Polymarket добавит новую функцию, которая позволит трейдерам отправлять средства при выводе только на предварительно одобренные кошельки. Об этом он сообщил в публикации в X с аккаунта @devjoshstevens.
Добавление нового адреса кошелька в аккаунт пользователя занимает всего два шага. Трейдер должен подтвердить запрос по электронной почте, а затем подождать 48 часов. Если трейдер не отправлял запрос, он может отменить его прямо из этого письма.
Благодаря этой мере злоумышленники больше не смогут отправлять деньги на новый кошелёк, не пройдя проверку по электронной почте и не выждав положенные два дня. По словам Стивенса, цель — не допустить, чтобы злоумышленники отправляли деньги на адреса, которыми пользователь не управляет.
Однако блокировка не устраняет первопричину взлома Polymarket, произошедшего всего две недели назад. В результате атаки со счетов пользователей вывели около 2,7 млн долларов. Злоумышленники воспользовались сторонним скриптом, работавшим на сайте Polymarket и имевшим доступ к активным пользовательским сессиям.
По сообщениям Cryptopolitan, Polymarket столкнулась с подобной проблемой ещё в июне этого года: атака через скрипт поставщика привела к выводу около 3 млн долларов как минимум из 11 кошельков. В декабре 2025 года взлом у поставщика услуг аутентификации также затронул аккаунты пользователей.
Во всех этих случаях были задействованы внешние поставщики услуг, но ничто не связывает их с одним и тем же злоумышленником.
Как произошёл взлом Polymarket и что будет дальше?
29 октября Polymarket приостановила торги на своей международной платформе после того, как злоумышленники подменили скрипт компании DebugBear из Великобритании, отслеживающей скорость работы сайтов. Вместо него был установлен код, предназначенный для вывода средств из кошельков.
Исследователи Hudson Rock выяснили, что код проверял, вошёл ли посетитель в Polymarket. Затем он считывал балансы и открытые позиции пользователя. Наконец, код использовал встроенные инструменты сайта для торговли, чтобы продать позиции и отправить деньги на кошелёк злоумышленника.
Hudson Rock также выяснила, что код сайта Polymarket зафиксировал удаление скрипта. Polymarket сообщила, что передала дело правоохранительным органам.
По данным Bitquery, примерно за один час — с 17:10 до 18:10 UTC — злоумышленники вывели 2,73 млн долларов со счетов 737 пользователей. Они совершили 985 выводов, каждый из которых был подтверждён действительным разрешением. Поэтому смарт-контракты сочли их настоящими действиями пользователей.
С одного счёта за один вывод украли 358 369 долларов, а со счетов 276 пользователей — менее 100 долларов с каждого. Кроме того, у ещё 33 пользователей забрали доли на рынке прогнозов.
Polymarket заявила, что полностью возместит потери всем пользователям, но сначала деньги вернут тем, кто потерял меньше 10 000 долларов.
Binance и Polymarket также попросили валидаторов Polygon одобрить хардфорк. Хардфорк — это изменение программного обеспечения сети, которое должны принять все валидаторы. В результате предлагается вывести около 70,49 млн замороженных токенов POL стоимостью примерно 6,5 млн долларов из кошельков злоумышленников. Предложение опубликовали 4 ноября и представили на звонке по вопросам управления Polygon 5 ноября. Голосование и дата пока не назначены.
Другие компании тоже ужесточают меры безопасности. Как сообщалось во вторник, после взлома Binance на 6,3 млрд долларов компания CertiK, занимающаяся кибербезопасностью, заявила, что биржам следует устанавливать строгие лимиты в долларах на сумму средств в горячих кошельках, а не полагаться только на соотношение средств в холодном хранилище.
Если вы читаете эту статью, вы уже на шаг впереди. Оставайтесь впереди с нашей рассылкой.