Polymarket đã bổ sung một tùy chọn cài đặt mới, chỉ cho phép nhà giao dịch gửi tiền rút về các ví được phê duyệt trước.
Tính năng này ra mắt khoảng hai tuần sau khi một tập lệnh bị tin tặc khai thác, rút khoảng 2,7 triệu USD từ tài khoản người dùng.
Tính năng khóa rút tiền mới của Polymarket hoạt động như thế nào?
Josh Stevens, phó chủ tịch phụ trách kỹ thuật của Polymarket, thông báo hôm thứ Hai rằng Polymarket sẽ bổ sung tính năng mới, chỉ cho phép nhà giao dịch gửi tiền rút về các ví đã được phê duyệt trước đó. Thông báo được đăng trên X từ tài khoản @devjoshstevens.
Việc thêm một địa chỉ ví mới vào tài khoản người dùng chỉ gồm hai bước. Nhà giao dịch phải xác nhận yêu cầu qua email, sau đó chờ 48 giờ. Nếu không phải nhà giao dịch khởi tạo yêu cầu, họ có thể hủy yêu cầu ngay trong email đó.
Với biện pháp này, kẻ tấn công sẽ không thể gửi tiền đến ví mới nếu chưa qua bước xác minh email và chờ đủ hai ngày. Stevens cho biết mục tiêu là đảm bảo kẻ tấn công không thể gửi tiền đến bất kỳ địa chỉ nào mà người dùng không kiểm soát.
Tuy nhiên, biện pháp khóa này không khắc phục được nguyên nhân gốc rễ của vụ xâm nhập mà Polymarket gặp phải chỉ hai tuần trước. Vụ tấn công khiến khoảng 2,7 triệu USD bị rút khỏi tài khoản người dùng. Kẻ tấn công thực hiện việc này thông qua một tập lệnh của bên thứ ba chạy bên trong trang Polymarket và có quyền truy cập vào các phiên đang hoạt động.
Theo các bản tin trước đây của Cryptopolitan, Polymarket từng gặp sự cố tương tự vào tháng 6 năm nay, khi một cuộc tấn công thông qua tập lệnh của nhà cung cấp khiến khoảng 3 triệu USD bị rút khỏi ít nhất 11 ví. Một vụ xâm nhập tại nhà cung cấp dịch vụ xác thực vào tháng 12 năm 2025 cũng ảnh hưởng đến tài khoản người dùng.
Mỗi vụ việc này đều liên quan đến một nhà cung cấp bên ngoài, nhưng không có bằng chứng nào cho thấy chúng có liên quan đến cùng một kẻ tấn công.
Vụ tấn công Polymarket đã xảy ra như thế nào và điều gì sẽ diễn ra tiếp theo?
Ngày 29 tháng 10, Polymarket tạm dừng giao dịch trên nền tảng quốc tế sau khi kẻ tấn công chiếm quyền kiểm soát một tập lệnh của DebugBear, công ty Anh chuyên theo dõi tốc độ trang web. Tập lệnh này bị thay bằng mã được thiết kế để rút tiền khỏi ví.
Các nhà nghiên cứu tại Hudson Rock phát hiện đoạn mã kiểm tra xem khách truy cập đã đăng nhập vào Polymarket hay chưa. Sau đó, mã đọc số dư và các vị thế đang mở của họ. Cuối cùng, mã sử dụng chính các công cụ giao dịch của trang web để bán các vị thế và gửi tiền đến ví của kẻ tấn công.
Hudson Rock cũng phát hiện mã trang web của Polymarket ghi lại việc tập lệnh bị gỡ bỏ. Polymarket cho biết đã chuyển vụ việc cho cơ quan thực thi pháp luật.
Bitquery đưa tin rằng kẻ tấn công đã lấy 2,73 triệu USD từ 737 tài khoản trong khoảng một giờ, từ 17:10 đến 18:10 UTC. Chúng thực hiện 985 giao dịch rút tiền và mỗi giao dịch đều có phê duyệt hợp lệ. Vì vậy, các hợp đồng thông minh ghi nhận những giao dịch này là hành động thực sự của người dùng.
Một tài khoản mất 358.369 USD chỉ trong một lần rút tiền, trong khi 276 tài khoản mỗi tài khoản mất dưới 100 USD. Ngoài ra, 33 người dùng khác cũng bị lấy mất cổ phần trên thị trường dự đoán.
Polymarket cho biết sẽ bồi hoàn đầy đủ cho tất cả người dùng, nhưng những người mất dưới 10.000 USD sẽ được hoàn tiền trước.
Binance và Polymarket cũng đã đề nghị các trình xác thực Polygon phê duyệt một đợt hard fork. Hard fork là một thay đổi phần mềm mạng mà tất cả trình xác thực phải áp dụng. Đợt này sẽ chuyển khoảng 70,49 triệu token POL bị đóng băng, trị giá khoảng 6,5 triệu USD, ra khỏi các ví của kẻ tấn công. Đề xuất được đăng ngày 4 tháng 11 và trình bày trong cuộc họp quản trị Polygon ngày 5 tháng 11. Cuộc bỏ phiếu và ngày thực hiện vẫn chưa được ấn định.
Các công ty khác cũng đang tăng cường bảo mật. Hôm thứ Ba, công ty bảo mật CertiK được cho là đã tuyên bố rằng sau vụ tấn công Binance trị giá 6,3 tỷ USD, các sàn giao dịch nên đặt giới hạn cụ thể bằng USD cho số tiền giữ trong ví nóng, thay vì chỉ dựa vào tỷ lệ lưu trữ lạnh.
Nếu bạn đang đọc bài này, bạn đã đi trước một bước. Hãy tiếp tục dẫn đầu cùng bản tin của chúng tôi.