Хакеры вывели $2,7 млн со счетов пользователей Polymarket, но последствия атаки обошлись платформе ещё дороже. Компания решила вернуть трейдерам $3,9 млн, включая компенсации тем, кто потерял деньги из-за вынужденной остановки торгов.
Инцидент произошёл 29 октября 2026 года на международной платформе Polymarket, где пользователи торгуют контрактами на исходы различных событий. Злоумышленники подменили сторонний JavaScript, предназначенный для измерения скорости работы сайта. Вредоносный код запускался прямо в браузерах посетителей и получал доступ к возможностям уже открытых торговых сессий.
Под удар попал инструмент Real User Monitoring компании DebugBear. Исследование показало, что атакующие изменили DNS-записи сервиса через регистратора домена, перенаправив загрузку скрипта на другой сервер. Предварительные результаты расследования DebugBear не выявили проникновения во внутреннюю инфраструктуру компании. По имеющимся сведениям, злоумышленники целенаправленно атаковали одного клиента.
Вредоносный скрипт проверял, авторизован ли посетитель Polymarket, изучал его активы и использовал штатные механизмы торговли. В зависимости от типа учётной записи программа могла перевести позиции на подконтрольный адрес либо сначала продать контракты, а затем вывести средства. При этом исследователи не обнаружили признаков прямой кражи закрытых ключей или паролей.
О взломе Polymarket стало известно ещё 29 октября. Тогда платформа временно запретила новые сделки, оставив возможность отменять заявки, и приостановила операции через сервис передачи транзакций. После удаления опасного компонента компания очистила кеши, завершила активные сеансы пользователей и возобновила торги.
Масштаб происшествия оказался значительным. По результатам анализа блокчейна исследователи обнаружили около 28,6 млн токенов POL, поступивших на связанный с атакой кошелёк. Их стоимость оценили примерно в $2,64 млн. К 30 октября Polymarket полностью компенсировала потери владельцам 95% затронутых кошельков, а оставшиеся выплаты продолжала проверять.
Компания решила возместить не только выведенные средства, но и стоимость принудительно проданных позиций с учётом потерь от невыгодной цены исполнения. Дополнительно Polymarket покрывает убытки пользователей, чьи контракты потеряли стоимость во время остановки торгов либо сразу после возобновления операций. На такие компенсации выделили ещё $1,2 млн.
В отчёте об атаке Polymarket оценила общий объём возвратов в $3,9 млн. Пользователям не нужно подавать заявления, поскольку компания определила пострадавшие кошельки по истории блокчейн-транзакций и торгов. Для тех, кто не согласен с расчётом или не получил выплату, предусмотрена отдельная форма обращения.
После инцидента Polymarket усиливает контроль сторонних скриптов, включая более строгую политику Content Security Policy, закрепление версий и изоляцию кода. Компания также передала сведения правоохранительным органам. Атака показала, что даже обычный инструмент мониторинга производительности способен поставить под угрозу средства пользователей финансового сервиса.
