Cointribune đưa tin, Polymarket đã tạm ngừng giao dịch khoảng một giờ vào ngày 29 tháng 10 năm 2026, sau khi một tập lệnh bên thứ ba bị xâm phạm cho phép kẻ tấn công bán các vị thế của người dùng và chuyển tiền của họ mà không được phép. Thiệt hại ước tính ít nhất 2,6 triệu USD trên hơn 700 tài khoản.

Các nhà giao dịch cho biết tài sản bị bán trái phép và số dư bị rút cạn; trong đó, một người dùng nói rằng họ mất 800.000 USD, còn tài khoản của một người khác bị rút sạch 600.000 USD. Polymarket cam kết hoàn trả cho tất cả những người bị ảnh hưởng và cho biết đã chuyển vụ việc cho giới chức Anh.

Thông tin chính

• Sự cố bắt đầu vào ngày 29 tháng 10 trên nền tảng quốc tế Polymarket.com; giao dịch được chuyển sang chế độ "chỉ hủy" trước khi toàn bộ dịch vụ được khôi phục.

• Cointribune đưa tin có hơn 700 tài khoản bị ảnh hưởng, với thiệt hại ít nhất 2,6 triệu USD, trong khi CoinCentral dẫn dữ liệu theo dõi của DeFi Llama cho thấy khoản lỗ khoảng 2,7 triệu USD — các trang tin không thống nhất về một con số tổng duy nhất, và Polymarket chưa công bố số liệu cuối cùng.

• Phân tích trên chuỗi được Cointribune dẫn lại cho thấy 28,6 triệu token POL, trị giá khoảng 2,57 triệu USD, đã được phân tán qua nhiều ví.

• Blockchain Polygon và các hợp đồng thông minh cốt lõi của Polymarket không bị xâm phạm; cuộc tấn công diễn ra thông qua một tập lệnh giám sát do công ty DebugBear của Anh cung cấp. Công ty này đã thừa nhận đang xảy ra một "sự cố bảo mật."

• Cointribune đưa tin về một vụ xâm nhập trước đó vào tháng 6, khi một nhà cung cấp bên thứ ba khác bị xâm phạm và khoảng 3 triệu USD bị đánh cắp từ chưa đến 15 tài khoản; CoinCentral đưa tổng thiệt hại tháng 6 là hơn 2,9 triệu USD.

Tập lệnh theo dõi, không phải blockchain bị lỗi

Theo Cointribune, các phân tích trên chuỗi ban đầu hướng đến DebugBear, một công ty Anh có dịch vụ Giám sát người dùng thực sử dụng tập lệnh nhúng trong trang của khách hàng để đo thời gian tải. Sau khi hạ tầng đó bị xâm phạm, tập lệnh được cho là đã bị thay thế hoặc chỉnh sửa để mang mã độc. Mã này kiểm tra xem khách truy cập có đăng nhập vào Polymarket hay không, sau đó dùng phiên đang hoạt động để bán các vị thế và chuyển tài sản. DebugBear đã yêu cầu khách hàng gỡ mã được nhúng của mình.

Sự phân biệt này rất quan trọng để hiểu đúng về sự cố. Kẻ tấn công không giả mạo giao dịch trên chuỗi hay phá vỡ logic hợp đồng của thị trường dự đoán; chúng chiếm quyền kiểm soát lớp web dùng để chuẩn bị và cho phép thực hiện giao dịch. Các nhà nghiên cứu tại Hudson Rock đã xác định được một địa chỉ trong mã độc, đóng vai trò là nơi nhận tiền.

Hai vụ xâm nhập, cùng một điểm yếu

CoinCentral đưa tin Polymarket cho biết một trong những nhà cung cấp bên thứ ba của họ đã bị xâm phạm và API Giao dịch Dự đoán gặp "sự cố ngừng hoạt động nghiêm trọng", nhưng tuyên bố không nêu tên nhà cung cấp. CoinCentral cũng lưu ý rằng tính đến 7:05 tối UTC thứ Năm, trang trạng thái của nền tảng cho thấy tất cả hệ thống đều hoạt động bình thường, đồng thời xác định Shayne Coplan là nhà sáng lập kiêm CEO.

Hai sự cố có cùng một mô hình: điểm xâm nhập là các nhà cung cấp bên ngoài, chứ không phải hệ thống của chính Polymarket. Cointribune ước tính tổng thiệt hại từ cả hai vụ gần 5,6 triệu USD chỉ trong vài tháng.

Vì sao sự việc đáng chú ý

Việc hoàn tiền giúp hạn chế thiệt hại tài chính trực tiếp cho nhà giao dịch, nhưng không thể khôi phục một vị thế bị đóng trong lúc thị trường biến động về trạng thái ban đầu. Người dùng bị ảnh hưởng vẫn giữ tiền trên một nền tảng phi lưu ký, nhưng chỉ cần một phiên hợp lệ và một tập lệnh bị xâm phạm là đủ để chuyển tiền của họ — một lỗ hổng mà việc tự sở hữu ví không thể tự khắc phục. Sự cố tái diễn khiến dư luận không chỉ xem xét một nhà cung cấp yếu kém riêng lẻ, mà còn chú ý đến cách Polymarket kiểm soát những tập lệnh chạy trên trang web của mình.

Điều cần theo dõi

Polymarket chưa công bố con số thiệt hại cuối cùng hay các điều khoản hoàn tiền, và Cointribune đưa tin rằng số nạn nhân chính xác vẫn cần được xác định. Nền tảng sẽ tính mức bồi thường như thế nào — chỉ dựa trên số tiền bị chuyển đi, hay tính cả giá trị các vị thế bị bán khi chưa được cho phép — là thông tin cụ thể tiếp theo cần theo dõi.

Đăng lần đầu trên CoinPulseHQ: https://coinpulsehq.com/polymarket-hack-700-accounts-2-6-million/