Polymarket zwraca środki traderom po ataku przez skrypt

Skrypt do monitorowania wydajności ładowany na polymarket.com został 29 października podmieniony na złośliwy kod, który wykorzystał otwarte sesje traderów, by sprzedawać pozycje i wyprowadzać środki z ich portfeli. Polymarket twierdzi, że zwraca traderom 3,9 mln dolarów i przekazał sprawę organom ścigania. Incydent dotknął międzynarodową giełdę kryptowalut Polymarketu. CNBC podaje, że amerykańska platforma spółki nie została naruszona.

Co potwierdził Polymarket

Josh Stevens, VP of Engineering w Polymarkecie, opisał atak we wpisie na X, który główne konto @Polymarket udostępniło ponownie 30 października: „Wczoraj skrypt wydajnościowy podmiotu trzeciego na polymarket.com został przejęty przez atakującego jego dostawcy i podmieniony na skrypt stworzony do atakowania naszych użytkowników. Przez krótki czas wykorzystywał otwarte sesje do sprzedaży pozycji i przenoszenia środków. Dostawca publicznie potwierdził naruszenie.”

Według strony statusu Polymarketu giełda działała 29 października od 14:05 do 15:05 czasu wschodnioamerykańskiego (ET), czyli od 19:05 do 20:05 czasu polskiego w trybie tylko anulowania (cancel-only; można tylko anulować otwarte zlecenia), z wstrzymanymi działaniami relayera. Polymarket twierdzi, że usunął przejęty skrypt „w ciągu godziny”, wyczyścił pamięci podręczne i zresetował wszystkie aktywne sesje logowania.

W raporcie po incydencie (postmortem), opublikowanym wieczorem 30 października, Polymarket pisze: „W sumie zwracamy traderom 3,9 mln dolarów: te 2,7 mln plus 1,2 mln na pokrycie strat związanych z przerwą.” Dodatkowe środki pokrywają pozycje, które skrypt sprzedał przymusowo, oraz pozycje, które straciły na wartości w czasie przerwy w handlu. Wcześniej tego samego dnia konto @PolymarketTrade podało, że 689 z 726 poszkodowanych portfeli otrzymało zwrot w całości, a pozostałe 37 jest wypłacane w miarę weryfikacji. Raport podaje odsetek 95% poszkodowanych portfeli. Polymarket mówi, że nie trzeba składać roszczeń ani zgłoszeń, a traderów, którzy uważają kwotę za błędną, odsyła do formularza podlinkowanego w raporcie.

Co podają inni

Na 30 października Polymarket nie wymienia dostawcy z nazwy, ani we wpisach, ani w raporcie. BleepingComputer i firma zajmująca się bezpieczeństwem Hudson Rock twierdzą, że skrypt pochodził od DebugBear, firmy monitorującej wydajność stron internetowych, i powołują się na zmianę w kodzie Polymarketu zatytułowaną „remove debugbear rum script”. CNBC podaje ten sam związek za osobą zorientowaną w sprawie. Sam DebugBear napisał 29 października, że jest „dotknięty trwającym incydentem bezpieczeństwa”, i poprosił klientów swojego produktu Real User Monitoring (RUM) o usunięcie kodu osadzającego. W kolejnym wpisie we wczesnych godzinach 31 października (CET) DebugBear napisał, że jego rekordy DNS zostały naruszone za pośrednictwem rejestratora domen, a atak, „według naszego wstępnego dochodzenia”, „był wymierzony w stronę internetową konkretnego klienta”.

Bubblemaps i BleepingComputer opublikowały szacunki 29 października, przed podaniem własnych liczb przez Polymarket. Bubblemaps naliczyło „ponad 700 opróżnionych użytkowników”, firmy analityczne, na które powołuje się CNBC, naliczyły 710 portfeli, a BleepingComputer prześledził około 28,6 mln tokenów POL, wartych mniej więcej 2,57 mln dolarów, do portfeli powiązanych z atakującym. Własne liczby Polymarketu to 2,7 mln dolarów i 726 portfeli.

CNBC podaje też, że Polymarket poinformował użytkowników na Discordzie, iż osoby, które straciły mniej niż 10 tys. dolarów, odzyskają środki do 30 października, a przy większych stratach potrzebne będzie podpisane oświadczenie o zwolnieniu z odpowiedzialności (release). Wpis Polymarketu z 30 października i raport mówią, że nie trzeba składać roszczeń ani zgłoszeń, i nie wspominają o takim oświadczeniu.

To nie pierwszy tego typu incydent. W czerwcu 2026 roku Polymarket poinformował, że zewnętrzny dostawca został przejęty i wstrzyknął złośliwy skrypt do interfejsu strony dla części użytkowników. CoinDesk, powołując się na firmę analityczną AMLBot zajmującą się blockchainem, oszacował wtedy straty na około 3,1 mln dolarów z 11 portfeli.

Nasza ocena

Dla każdego, kto trzyma kryptoaktywa na stronie z grami lub zakładami, liczy się to, gdzie atak się odbył. Według Polymarketu złośliwy kod działał na jego własnej stronie i korzystał z sesji, w których użytkownik był już zalogowany. Nie była to fałszywa kopia strony, a Polymarket nie opisuje tego jako błędu w swoich smart kontraktach. Taki atak na łańcuch dostaw jest dla użytkownika trudny do zauważenia. Ryzyko zmniejsza wylogowywanie się z sesji, z których się nie korzysta, i niezostawianie na platformie więcej środków, niż trzeba. Jeśli ktoś został poszkodowany, informacji o zwrotach powinien szukać tylko w oficjalnych kanałach Polymarketu: takie incydenty zwykle przyciągają fałszywe wiadomości o „zwrocie”.

O innym incydencie kryptowalutowym pisaliśmy w tekście włamanie do gorącego portfela Gamdom, a o amerykańskiej giełdzie Polymarketu w tekście oszustwa z użyciem skradzionych kart i wypłaty z tego samego źródła. O regulacjach zobacz Michigan i sportowe kontrakty Polymarketu oraz norweskie powiadomienia o blokadach DNS.

Dostępność: Międzynarodowa platforma Polymarketu jest zablokowana lub ograniczona w wielu krajach; jej dostępność zależy od kraju zamieszkania.