BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Полимаркет в очередной раз столкнулся с серьёзным инцидентом безопасности. 29 октября платформа приостановила торги и перевела биржу в режим "только отмена заявок" после того, как пользователи начали массово жаловаться на несанкционированный вывод средств со своих счетов. По предварительным данным, за считанные минуты злоумышленник вывел более $2,65 млн, а причиной происшествия оказался взломанный сторонний провайдер.
Что случилось на Полимаркете 29 октября
Первые тревожные сигналы появились в дискорде платформы и соцсетях. Пользователи сообщали, что активы списываются с их аккаунтов без разрешения, а Polymarket как площадка для прогнозов на исходы событий внезапно перестала обрабатывать новые ордера. Трейдер под ником CarOnPolymarket написал в X о случившемся прямо и эмоционально.
"I just got drained $800,000... Other accounts are also affected"
По его словам, у знакомого трейдера таким же образом пропало ещё около $600 тысяч. Пользователи Полимаркета сообщали, что фронтенд платформы мог быть скомпрометирован, а активы списывались со счетов без разрешения, после чего статус-страница показала масштабный сбой торгового API и перевод биржи в режим отмены заявок, то есть трейдеры могли только снимать существующие ордера, но не выставлять новые. Действия релеера, который отправляет подписанные пользователями транзакции в блокчейн, тоже были приостановлены.
Один из аналитических аккаунтов, StarPlatinum, попытался восстановить хронологию движения средств. По его оценке, подозрительный кошелёк начал получать средства в 17:05 по UTC, к 17:25 на нём уже было $412 тысяч, к 17:50 сумма выросла до $2,02 млн, а к 18:05 достигла пика в $2,68 млн. Официально Полимаркет эти цифры не подтверждал, уточняя лишь, что ведётся расследование.
Куда ушли деньги: кошелёк на $2,65 млн в POL
Данные аналитической платформы Arkham дали более предметную зацепку. Кошелёк, предположительно принадлежащий атакующему, с адресом 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, держит около $2,65 млн в POL, нативном токене Polygon, получив несколько недавних свопов из USDC.e, обёрнутой версии стейблкоина USDC, в POL через кросс-чейн сервис Relay. Судя по данным, первые транзакции начались примерно за час до публикации новостей, а активность с кошелька прекратилась за последние пять минут до момента фиксации наблюдателями.
Позже злоумышленник перевёл средства на другие адреса, что типично для попыток замести следы после крупного эксплойта. Для пострадавших пользователей Полимаркета это означает, что быстрый возврат похищенных токенов маловероятен без вмешательства правоохранителей или централизованных бирж, которые могут заморозить подозрительные активы.
Вредоносный скрипт прятался в сервисе мониторинга производительности
Самую подробную техническую картину дали исследователи из Hudson Rock. По их данным, вредоносный код был встроен не в сам Полимаркет, а в стороннюю библиотеку от сервиса DebugBear, который обычно используется для измерения скорости загрузки страниц. Скрипт, загружаемый с DebugBear, веб-сервиса мониторинга производительности, содержал код, который искал торговую сессию авторизованного пользователя и пытался продать его позиции и перевести активы.
Самое неприятное совпадение в этой истории в том, что адрес получателя средств в коде скрипта совпал с тем самым кошельком на $2,65 млн, который отследили через Arkham. В Hudson Rock отметили, что тот же адрес кошелька жёстко прописан в скрипте как резервный получатель, а производственный код сайта Полимаркета фиксирует последующее удаление этого скрипта. Иными словами, безобидный на вид инструмент для аналитики загрузки страниц превратился в канал для кражи пользовательских средств.
Исследователи честно признают, что многие детали остаются неподтверждёнными. Количество пострадавших аккаунтов, точный механизм первоначального взлома и полная сумма ущерба пока не установлены независимо. То, что подтверждено - сам факт наличия вредоносного кода в скрипте и его последующее удаление из продакшена Полимаркета.
Официальная реакция платформы
Полимаркет довольно быстро признал проблему, хотя первое время ограничивался общими фразами о расследовании. Статус-страница платформы сообщала пользователям примерно следующее.
"Polymarket.com: We're still looking into this. The exchange is in cancel-only mode. You can cancel orders, but no new orders or trades are processing. Relayer actions are paused while we investigate."
Позже появилось более конкретное заявление уже с признанием причины произошедшего.
"One of our third party providers was compromised, and we have referred this to relevant law enforcement... Anyone who has been impacted will be made whole."
То есть Полимаркет официально подтвердил компрометацию стороннего провайдера, передал дело правоохранительным органам и пообещал компенсировать пострадавшим все потери. Правда, конкретных сроков выплат или точной суммы ущерба платформа пока не назвала.
Это уже не первый раз: история инцидентов Полимаркета в 2026 году
Для платформы такого масштаба подобная ситуация, к сожалению, не разовая случайность, а уже третий заметный инцидент безопасности за год. В мае компрометация приватного ключа привела к потере порядка $700 тысяч с внутреннего кошелька пополнения, а месяц спустя взломанный сторонний поставщик позволил злоумышленникам внедрить вредоносный код во фронтенд и похитить около $3 млн менее чем с 15 аккаунтов, после чего Полимаркет пообещал полностью возместить пользователям ущерб.
Июньский инцидент разбирали подробно и аналитики Halborn. Тогда злоумышленники нацелились на одного из сторонних поставщиков проекта и внедрили вредоносный код в одну из зависимостей, используемых веб-фронтендом. Когда эта зависимость загружалась сайтом и отдавалась пользователям, вредоносный код использовал предоставленный доступ и доверие к легитимному сайту Полимаркета, чтобы вывести средства из кошельков. Схема октябрьского инцидента выглядит почти зеркальной - снова не смарт-контракты, а внешняя зависимость фронтенда.
Любопытно, что после июньской атаки Полимаркет заявлял об усилении мониторинга сторонних скриптов и дополнительных мерах безопасности. Судя по повторению истории с DebugBear, этих мер оказалось недостаточно, что ставит под вопрос эффективность внутренних процессов платформы в части аудита подключаемых внешних библиотек.
Что это значит для пользователей прогнозных рынков
История с Полимаркетом в очередной раз подсвечивает старую проблему всего Web3-сегмента. Смарт-контракты можно сколько угодно аудировать, но если интерфейс, через который пользователь подписывает транзакции, зависит от стороннего кода - аналитики, мониторинга производительности, авторизационных виджетов - вся эта защита обесценивается одним скомпрометированным скриптом. Пользователь видит привычный сайт и привычный запрос на подпись, а по факту одобряет перевод своих активов злоумышленнику.
Рынки предсказаний вроде Полимаркета и его конкурента Kalshi в последнее время вообще оказались под повышенным вниманием - и не только из-за взломов. Параллельно идут разбирательства вокруг легальности самой модели прогнозных рынков, которые подробно разбирались в материале про уголовные обвинения против Kalshi в Юте. А про то, как вообще устроены токены исходов на подобных платформах и почему с ними нужно быть аккуратнее, можно почитать в разборе про интеграцию Kalshi в Phantom.
Практический вывод для тех, кто держит позиции на Полимаркете, простой и скучный, но рабочий. Не стоит торопиться подписывать любые транзакции во время подобных инцидентов, стоит внимательно проверять данные в окне подписи кошелька и не держать на горячих кошельках больше средств, чем нужно для текущей торговли. Пока Полимаркет восстанавливает нормальную работу биржи и разбирается с правоохранителями, лучшая стратегия для пользователей - просто подождать официального подтверждения о возобновлении торгов, а не пытаться успеть вывести позиции через потенциально скомпрометированный интерфейс.
