Компрометация Polymarket через стороннего поставщика: внедрённый скрипт вывел около 2,7 млн долларов из кошельков пользователей
Polymarket — криптоплатформа прогнозов — на время остановил торговлю после того, как вредоносный скрипт, внедрённый через скомпрометированного стороннего поставщика, начал выводить средства из кошельков пользователей. По данным ончейн-мониторинга Bubblemaps, потери составляют около 2,7 млн долларов примерно у 700 пользователей; компания эти цифры не подтверждала. Торговля уже возобновлена, и Polymarket заявляет, что пострадавшие пользователи получат компенсацию.
Когда доверенный фронтенд стал враждебным
Согласно публикациям со ссылкой на источники Wall Street Journal и исследователей блокчейн-безопасности, скрипт, который раздавал поставщик услуг мониторинга производительности сайтов, был изменён так, чтобы выявлять посетителей с активной авторизованной торговой сессией. Исследователи Hudson Rock заявили, что код был рассчитан на ликвидацию активов и перевод выручки на встроенный в скрипт адрес, контролируемый атакующими. Официальное лицо, процитированное Journal, назвало DebugBear — британскую компанию в области мониторинга производительности сайтов — тем самым поставщиком; сама фирма сообщила, что пострадала от продолжающегося инцидента безопасности, и призвала клиентов удалить её встраиваемый код. Эта атрибуция остаётся сообщаемым подозрением, а не подтверждённым выводом, хотя Polymarket заявила, что её собственный сайт не был взломан. Сам вывод средств отследила Bubblemaps: по оценке её аналитиков, около 2,7 млн долларов были выведены примерно из 712 депозитных кошельков, прежде чем поток остановили. Украденные средства конвертировали в POL — нативный токен Polygon — и распределили по цепочке адресов. Polymarket данные мониторинга не подтвердила, и та же ончейн-работа показала, что широко разошедшееся заявление о личной потере в 800 тысяч долларов не выдержало проверки: схема выводов у этого кошелька отличалась от остальных жертв.«Мы всё исправим и полностью возместим средства всем пострадавшим трейдерам».Это обещание прозвучало, пока биржа проходила инцидент по этапам: сначала режим «только отмена», когда открытые ордера можно было отозвать, но новые разместить нельзя, затем приостановка сервиса отправки транзакций и, наконец, полное возобновление торговли. Polymarket передала дело полиции Великобритании, где базируется поставщик, и заявила, что Polymarket US — отдельно регулируемая американская платформа — не затронута.
Вторая компрометация через поставщика за год
Для Polymarket это вторая компрометация 2026 года, которая исходит от поставщика, а не от собственной инфраструктуры. В июне компания сообщала, что сторонний поставщик был скомпрометирован и внедрил вредоносный скрипт во фронтенд — для части пользователей. Украденный PUSD, расчётный токен Polymarket, переправили мостом с Polygon на Ethereum и обменяли примерно на 1 893 ETH — добыча оценивалась в 2,94 млн долларов. Тогда пострадала куда меньшая группа, от одиннадцати до пятнадцати аккаунтов, но логика была той же: код, приходящий по доверенному каналу и исполняемый внутри страниц сайта, в котором у пользователей не было причин сомневаться. Майский инцидент, когда около 700 тысяч долларов вывели с внутреннего кошелька пополнения через скомпрометированный приватный ключ, в эту поставщицкую схему не вписывается. Однако указывает в ту же сторону: безопасность средств пользователей на торговой платформе простирается далеко за пределы её собственного периметра.Почему атаки на цепочку поставок фронтенда так эффективны
Легитимный домен с многолетней историей может часами раздавать враждебный код, прежде чем кто-то заметит, и никакая антифишинговая тревога не сработает, потому что на странице нет ничего поддельного. Замок, закладка, безошибочное написание адреса по-прежнему говорят «доверься мне». Оба инцидента Polymarket использовали именно это доверие как поверхность атаки — этим такой класс атак и отличается от обычного фишинга, и потому он сложнее распознаётся в моменте.- Держите в браузерных горячих кошельках только небольшие суммы и считайте их карманными деньгами, а не сбережениями.
- Предпочитайте аппаратные кошельки или защитные механизмы кошельков, которые имитируют транзакции и помечают неожиданные разрешения до их подписания.
- Периодически проверяйте выданные токен-разрешения и отзывайте те, что больше не нужны.
- Если платформа сообщает о компрометации фронтенда или поставщика, выйдите из аккаунта, завершите другие сессии и перепроверяйте всё, что было подписано в окно инцидента.