Криптовалютная платформа Polymarket 29 октября столкнулась с хакерской атакой, из-за которой пользователи начали терять деньги. Компания подтвердила взлом стороннего поставщика, временно остановила торги и пообещала возместить ущерб. Предполагаемые потери уже исчисляются миллионами долларов.
Проблема затронула международную площадку Polymarket, где пользователи торгуют контрактами на исходы политических, спортивных и других событий. После сообщений о несанкционированном выводе средств компания разрешила только отменять существующие заявки, запретила новые сделки и приостановила операции через посреднические сервисы. Позднее Polymarket объявила, что устранила проблему и возобновила торги.
Предварительное расследование указывает на компрометацию DebugBear, сервиса для мониторинга производительности сайтов. Его инструмент Real User Monitoring собирает сведения о скорости загрузки страниц и работе веб-приложений в браузерах посетителей. DebugBear признала наличие инцидента безопасности и рекомендовала клиентам удалить встроенный код мониторинга со своих сайтов до выяснения обстоятельств.
Специалисты Hudson Rock изучили скрипт, загружавшийся с инфраструктуры DebugBear, и обнаружили внутри функции, не имеющие отношения к измерению производительности. Вместо обычного сбора статистики программа искала активную торговую сессию пользователя Polymarket, изучала содержимое портфеля и пыталась получить доступ к механизмам размещения ордеров и подписи операций.
В зависимости от типа учётной записи вредоносный код мог попытаться напрямую перевести токены на указанный злоумышленниками адрес либо сначала продать открытые позиции, а затем вывести полученные средства. Для проведения операций программа формировала запросы цифровой подписи по стандарту EIP-712 в сети Polygon и пыталась передать подписанные команды через инфраструктуру Polymarket.
Особую опасность представлял сам способ атаки. Вредоносная программа загружалась как часть настоящего сайта, поэтому пользователю необязательно было переходить на поддельную страницу. На экране мог появиться запрос подписи, внешне связанный с обычной работой кошелька. Подтверждение такой операции способно разрешить перевод активов постороннему получателю. При этом исследователи не установили, что все попытки подписания и вывода средств завершились успешно.
По сведениям блокчейн-аналитиков, на подозрительном кошельке находились активы POL стоимостью около $2,65 млн. Наблюдатели зафиксировали многочисленные обмены USDC.e на POL через сервис Relay и последующее перемещение средств между адресами. Однако весь обнаруженный баланс пока нельзя считать доказанной суммой похищенного. Polymarket не раскрыла официальные размеры ущерба и количество пострадавших.
Отдельные пользователи сообщают о крупных потерях. Трейдер под псевдонимом Car заявил, что с его счёта исчезли $800 000, а все открытые позиции оказались проданы. По словам пострадавшего, знакомый трейдер потерял ещё $600 000. Независимого подтверждения обеих сумм пока нет, хотя описанные действия согласуются с возможностями обнаруженного вредоносного кода.
Технический анализ показал, что подозрительный JavaScript-файл размером 15 187 байт оставался доступен на сервере DebugBear вечером 29 октября. Исследователи дважды загрузили одинаковую копию программы. Одновременно в опубликованной сборке Polymarket обнаружилась запись об удалении интеграции DebugBear, датированная 17:59:20 UTC. Проверка главной страницы позднее уже не выявила подключения опасного скрипта, но безопасность ранее открытых вкладок и сохранённых браузером копий кода отдельно не подтверждалась.
Polymarket заявила, что компенсирует потери всем пострадавшим пользователям и передала сведения об инциденте правоохранительным органам Великобритании. Компания пока не объяснила, каким именно способом атакующие получили контроль над сторонним компонентом, сколько времени вредоносный код находился на сайте и какие категории пользователей подверглись наибольшему риску.
Владельцам криптокошельков рекомендуют не подтверждать неожиданные запросы подписи, проверить историю операций, открытые позиции и ранее выданные разрешения на распоряжение токенами. Если кошелёк взаимодействовал с подозрительным кодом, простого отключения от сайта недостаточно для отзыва разрешений, записанных в блокчейне. Подобные инструменты для вывода цифровых активов называют криптодрейнерами. Пользователям также следует остерегаться мошенников, предлагающих якобы вернуть похищенные средства.
Для Polymarket нынешний инцидент стал уже вторым крупным случаем компрометации стороннего компонента за несколько месяцев. 25 июня 2026 года злоумышленники также внедрили вредоносный JavaScript в сайт платформы после взлома подрядчика. Тогда аналитическая компания AMLBot оценила потери примерно в $3,1 млн, пострадали не менее 11 кошельков. Polymarket удалила опасную зависимость и пообещала полностью возместить ущерб.
Повторение похожего сценария показывает, насколько опасным может оказаться сторонний JavaScript на финансовых платформах. Даже обычный инструмент измерения скорости сайта получает возможность выполнять код в браузере посетителя. Если злоумышленники подменяют такой компонент, под угрозой оказываются не только данные пользователя, но и финансовые операции, которые веб-приложение позволяет выполнять через подключённый кошелёк.