Хакеры похитили у пользователей Polymarket $2,7 млн
Злоумышленники вывели не менее $2,73 млн с 737 счетов пользователей Polymarket, подсчитали аналитики Bitquery. Атака произошла 29 октября через взломанного стороннего поставщика программного обеспечения, подтвердили представители площадки.
We’ve identified & fixed an issue impacting our international platform, Polymarket.com. One of our 3rd party providers was compromised, and we have referred this to relevant law enforcement. Anyone who has been impacted will be made whole. Out of an abundance of caution, we have temporarily halted trading & are working to bring the platform back online.
— Polymarket Traders (@PolymarketTrade) October 29, 2026
Согласно расследованию Bitquery, взлом занял примерно час. С 17:10 до 18:10 UTC хакеры провели 985 операций по выводу средств через штатную инфраструктуру Polymarket. Для каждого вывода они использовали действительное разрешение, поэтому смарт-контракты принимали операции за обычные действия пользователей.
Наибольший ущерб пришелся на четыре счета — 43% от общей суммы. Крупнейшее отдельное списание составило $358 369. При этом 276 аккаунтов потеряли менее $100.
У 33 пользователей злоумышленники также забрали доли в рынках прогнозов. Bitquery не стала оценивать их в долларах, поэтому реальный ущерб может оказаться выше.
Как произошла атака
Агентство Reuters со ссылкой на источник сообщило, что скомпрометированным подрядчиком стала британская компания DebugBear. Она предоставляет инструменты мониторинга работы сайтов.
Специалисты Hudson Rock обнаружили вредоносный JavaScript-код, который распространялся через инфраструктуру поставщика. Вместо сбора данных о производительности страниц он пытался получить доступ к активным торговым сессиям Polymarket.
Программа проверяла баланс и открытые позиции пользователя, а затем находила в приложении инструменты для размещения ордеров и подписания транзакций. В зависимости от типа кошелька она пыталась продать доли в рынках либо сразу перевести токены на подконтрольный злоумышленнику адрес.
Для подтверждения операций код использовал предусмотренные платформой механизмы подписания EIP-712 и службу отправки транзакций Relayer.
В изученном образце кода исследователи не нашли отдельного механизма похищения приватных ключей или сид-фраз. Главная опасность заключалась в использовании полномочий уже авторизованного пользователя. При этом специалисты пока не установили, как именно киберпреступники изначально проникли в инфраструктуру DebugBear.
Polymarket пообещала компенсировать потери
В 18:05 UTC платформа перевела биржу в режим отмены заявок и приостановила отправку транзакций. Спустя 28 минут представители Polymarket объявили, что обнаружили и устранили проблему. К 19:05 UTC они возобновили торги.
Компания пообещала полностью компенсировать потери пострадавшим и передала информацию правоохранительным органам. По данным источников СМИ, речь идет о британских ведомствах.
Однако Bitquery выявила еще одно подозрительное списание на $10,99 в 19:11 UTC. Операция затронула ранее пострадавший счет и использовала новое разрешение на вывод средств.
По словам специалистов, это не значит, что атака продолжилась, но показывает, что ее последствия могли устранить не до конца.
Похищенные активы злоумышленник преимущественно обменивал на POL, а затем распределил их между тремя новыми кошельками. Часть средств он перевел из Polygon в Ethereum через Relay, deBridge и штатный мост Polygon.
Напомним, в июне Polymarket уже подверглась похожей атаке через стороннего подрядчика. Тогда злоумышленники внедрили вредоносный код в пользовательский интерфейс и похитили около $3 млн менее чем с 15 счетов. Платформа также пообещала возместить ущерб.