#PolymarketDeniesDataBreach
Polymarket đã chính thức phủ nhận các cáo buộc về việc bị rò rỉ dữ liệu sau khi có báo cáo rằng một hacker tên là "xorcat" đã công bố hơn **300,000 hồ sơ** trên một diễn đàn tội phạm mạng vào ngày 27 tháng 4 năm 2026.
Theo Polymarket, thông tin được chia sẻ bởi hacker là **dữ liệu công khai** được thu thập từ các API mở và blockchain của họ, thay vì bị đánh cắp thông qua việc xâm phạm các máy chủ riêng tư.
### Chi tiết chính của sự cố
* **Cáo buộc:** Tác nhân đe dọa tuyên bố đã khai thác một số lỗ hổng, bao gồm:
* **CVE-2025-62718:** Một lỗ hổng bỏ qua NO_PROXY của Axios (CVSS 9.9).
* **CVE-2024-51479:** Một lỗ hổng bỏ qua xác thực middleware của Next.js.
* **CORS Misconfigurations:** Cho phép các yêu cầu không được ủy quyền tới API CLOB (Central Limit Order Book) của họ.
* **Dữ liệu bị rò rỉ:** Bản dump được báo cáo chứa 2.24 GB dữ liệu, bao gồm:
* **10,000 hồ sơ người dùng** (tên, tiểu sử và địa chỉ ví).
* **Dữ liệu metadata thị trường** và dữ liệu đồ thị xã hội (danh sách người theo dõi).
* **Hồ sơ giao dịch CLOB** và địa chỉ của các nhà tạo lập thị trường.
* **Quan điểm của Polymarket:** Nền tảng này khẳng định rằng không có hệ thống nội bộ nhạy cảm nào bị truy cập và không có thông tin người dùng riêng tư (như mật khẩu hoặc địa chỉ email không công khai) bị xâm phạm. Các nhà phân tích bảo mật thường đồng ý rằng dữ liệu này có vẻ như là một cuộc "scrape" quy mô lớn của thông tin vốn đã nằm trên chuỗi hoặc có thể nhìn thấy qua các điểm cuối công khai.
### Bối cảnh: Một tháng khó khăn cho Polymarket
Cáo buộc "rò rỉ" này diễn ra trong một thời gian bị giám sát cao cho nền tảng:
* **Cáo buộc giao dịch nội bộ:** Chỉ vài ngày trước, một binh sĩ quân đội Mỹ đã bị buộc tội sử dụng thông tin tình báo mật liên quan đến một cuộc đột kích ở Venezuela để thắng được **$400,000** trên Polymarket.
* **Áp lực từ quy định:** Có các cuộc chiến pháp lý đang diễn ra khi chính phủ Mỹ và một số tiểu bang cố gắng điều chỉnh hoặc cấm các thị trường dự đoán, trong khi định giá của nền tảng đã tăng vọt lên **$15 tỷ** do khối lượng giao dịch cao về các sự kiện địa chính trị.
Polymarket đã chính thức phủ nhận các cáo buộc về việc bị rò rỉ dữ liệu sau khi có báo cáo rằng một hacker tên là "xorcat" đã công bố hơn **300,000 hồ sơ** trên một diễn đàn tội phạm mạng vào ngày 27 tháng 4 năm 2026.
Theo Polymarket, thông tin được chia sẻ bởi hacker là **dữ liệu công khai** được thu thập từ các API mở và blockchain của họ, thay vì bị đánh cắp thông qua việc xâm phạm các máy chủ riêng tư.
### Chi tiết chính của sự cố
* **Cáo buộc:** Tác nhân đe dọa tuyên bố đã khai thác một số lỗ hổng, bao gồm:
* **CVE-2025-62718:** Một lỗ hổng bỏ qua NO_PROXY của Axios (CVSS 9.9).
* **CVE-2024-51479:** Một lỗ hổng bỏ qua xác thực middleware của Next.js.
* **CORS Misconfigurations:** Cho phép các yêu cầu không được ủy quyền tới API CLOB (Central Limit Order Book) của họ.
* **Dữ liệu bị rò rỉ:** Bản dump được báo cáo chứa 2.24 GB dữ liệu, bao gồm:
* **10,000 hồ sơ người dùng** (tên, tiểu sử và địa chỉ ví).
* **Dữ liệu metadata thị trường** và dữ liệu đồ thị xã hội (danh sách người theo dõi).
* **Hồ sơ giao dịch CLOB** và địa chỉ của các nhà tạo lập thị trường.
* **Quan điểm của Polymarket:** Nền tảng này khẳng định rằng không có hệ thống nội bộ nhạy cảm nào bị truy cập và không có thông tin người dùng riêng tư (như mật khẩu hoặc địa chỉ email không công khai) bị xâm phạm. Các nhà phân tích bảo mật thường đồng ý rằng dữ liệu này có vẻ như là một cuộc "scrape" quy mô lớn của thông tin vốn đã nằm trên chuỗi hoặc có thể nhìn thấy qua các điểm cuối công khai.
### Bối cảnh: Một tháng khó khăn cho Polymarket
Cáo buộc "rò rỉ" này diễn ra trong một thời gian bị giám sát cao cho nền tảng:
* **Cáo buộc giao dịch nội bộ:** Chỉ vài ngày trước, một binh sĩ quân đội Mỹ đã bị buộc tội sử dụng thông tin tình báo mật liên quan đến một cuộc đột kích ở Venezuela để thắng được **$400,000** trên Polymarket.
* **Áp lực từ quy định:** Có các cuộc chiến pháp lý đang diễn ra khi chính phủ Mỹ và một số tiểu bang cố gắng điều chỉnh hoặc cấm các thị trường dự đoán, trong khi định giá của nền tảng đã tăng vọt lên **$15 tỷ** do khối lượng giao dịch cao về các sự kiện địa chính trị.