Polymarket вернёт деньги трейдерам после атаки через скрипт

Скрипт для мониторинга производительности, который загружался на polymarket.com, был 29 октября подменён вредоносным кодом и использовал открытые сессии трейдеров, чтобы продавать позиции и выводить средства из их кошельков. Polymarket заявляет, что вернёт трейдерам 3,9 млн долларов и передал дело правоохранительным органам. Инцидент затронул международную криптобиржу Polymarket. По данным CNBC, американская платформа компании не была скомпрометирована.

Что подтвердил Polymarket

Вице-президент Polymarket по разработке (VP of Engineering) Джош Стивенс описал атаку в посте на X, который основной аккаунт @Polymarket репостнул 30 октября: «Вчера сторонний скрипт для мониторинга производительности на polymarket.com был скомпрометирован атакующим, взломавшим его поставщика, и заменён скриптом, созданным для атаки на наших пользователей. В течение короткого времени он использовал открытые сессии, чтобы продавать позиции и выводить средства. Поставщик публично подтвердил взлом.»

Согласно странице статуса Polymarket, биржа работала 29 октября с 14:05 до 15:05 по восточному времени США (ET), то есть с 21:05 до 22:05 по Москве в режиме cancel-only (только отмена: можно лишь отменять открытые заявки), а действия релейера были приостановлены. Polymarket заявляет, что убрал скомпрометированный скрипт «в течение часа», очистил кэши и сбросил все активные сессии входа.

В разборе инцидента (постмортеме), опубликованном вечером 30 октября, Polymarket пишет: «Всего мы возвращаем трейдерам $3,9 млн: те $2,7 млн плюс $1,2 млн на покрытие убытков, связанных с паузой.» Дополнительные деньги покрывают позиции, которые скрипт принудительно продал, и позиции, потерявшие в цене, пока торги были приостановлены. Ранее в тот же день аккаунт @PolymarketTrade сообщил, что 689 из 726 пострадавших кошельков получили возмещение полностью, а остальные 37 выплачиваются по мере проверки. В постмортеме названа доля 95% пострадавших кошельков. По словам Polymarket, заявления и обращения не нужны, а трейдеров, которые считают сумму неверной, компания отсылает к форме, ссылка на которую есть в постмортеме.

О чём сообщают другие

На 30 октября Polymarket не называет поставщика ни в своих постах, ни в постмортеме. BleepingComputer и компания по безопасности Hudson Rock утверждают, что скрипт пришёл от DebugBear, компании, которая следит за производительностью сайтов, и ссылаются на изменение в коде Polymarket под названием «remove debugbear rum script». CNBC сообщает о той же связи со слов человека, знакомого с ситуацией. Сама DebugBear написала 29 октября, что «затронута продолжающимся инцидентом безопасности», и попросила клиентов своего продукта Real User Monitoring (RUM) удалить её код встраивания. В новом посте рано утром 31 октября (CET) DebugBear сообщила, что её DNS-записи были скомпрометированы через регистратора доменов и что атака, «по результатам нашего первоначального расследования», «была нацелена на сайт конкретного клиента».

Bubblemaps и BleepingComputer опубликовали оценки 29 октября, до того как Polymarket назвал собственные цифры. Bubblemaps насчитал «700+ опустошённых пользователей», аналитические компании, на которые ссылается CNBC, насчитали 710 кошельков, а BleepingComputer проследил около 28,6 млн токенов POL, стоивших примерно 2,57 млн долларов, до кошельков, связанных с атакующим. Собственные цифры Polymarket: 2,7 млн долларов и 726 кошельков.

CNBC также сообщает, что Polymarket сказал пользователям в Discord: тем, кто потерял меньше 10 тысяч долларов, вернут средства к 30 октября, а при больших потерях потребуется подписанный отказ от претензий (release). В посте Polymarket от 30 октября и в постмортеме сказано, что заявления и обращения не нужны, а об отказе от претензий не говорится.

Это не первый подобный случай. В июне 2026 года Polymarket сообщил, что сторонний поставщик был скомпрометирован и внедрил вредоносный скрипт в интерфейс сайта для части пользователей. CoinDesk со ссылкой на блокчейн-аналитиков из AMLBot тогда оценил потери примерно в 3,1 млн долларов по 11 кошелькам.

Наше прочтение

Для всех, кто держит криптоактивы на сайте азартных игр или ставок, важно, где именно прошла атака. По словам Polymarket, вредоносный код работал на самом сайте и использовал сессии, в которых вход уже был выполнен. Это не была поддельная копия сайта, и Polymarket не описывает случившееся как ошибку в своих смарт-контрактах. Такую атаку на цепочку поставок пользователю трудно заметить. Риск снижают выход из сессий, которыми вы не пользуетесь, и отказ от хранения на платформе больше средств, чем нужно. Если вы пострадали, информацию о возмещении ищите только в официальных каналах Polymarket: такие инциденты обычно привлекают поддельные сообщения о «возврате».

О другом крипто-инциденте мы писали в материале взлом горячего кошелька Gamdom, а об американской бирже Polymarket — в материале мошенничество с украденными картами и выводы из одного источника. О регулировании читайте в материалах Мичиган и спортивные контракты Polymarket и уведомления Норвегии о блокировке DNS.

Доступность: Международная платформа Polymarket заблокирована или ограничена в ряде стран; доступность зависит от страны проживания.