Компрометація Polymarket через стороннього постачальника: впроваджений скрипт вивів близько 2,7 млн доларів з гаманців користувачів
Polymarket — криптоплатформа прогнозів — тимчасово зупинила торгівлю після того, як шкідливий скрипт, впроваджений через скомпрометованого стороннього постачальника, почав виводити кошти з гаманців користувачів. За даними ончейн-моніторингу Bubblemaps, втрати становлять близько 2,7 млн доларів приблизно у 700 користувачів; компанія ці цифри не підтверджувала. Торгівлю вже відновлено, і Polymarket повідомляє, що постраждалі користувачі отримають відшкодування.
Довірений фронтенд, що став ворожим
За публікаціями з посиланням на джерела Wall Street Journal та дослідників блокчейн-безпеки, скрипт, який розповсюджував постачальник послуг моніторингу продуктивності сайтів, було змінено так, щоб виявляти відвідувачів з активною авторизованою торговою сесією. Дослідники Hudson Rock повідомили, що код був розрахований на ліквідацію активів і перерахування виручки на вбудовану у скрипт адресу, контрольовану зловмисниками. Посадовець, якого процитував Journal, назвав DebugBear — британську компанію у сфері моніторингу продуктивності сайтів тим самим постачальником; сама фірма повідомила, що постраждала від тривалого інциденту безпеки, і закликала клієнтів видалити її вбудований код. Ця атрибуція залишається оприлюдненою підозрою, а не підтвердженим висновком, хоча Polymarket заявила, що її власний сайт не було зламано. Саме виведення коштів відстежила Bubblemaps: за оцінкою її аналітиків, близько 2,7 млн доларів було виведено приблизно з 712 депозитних гаманців, перш ніж потік зупинили. Викрадені кошти конвертували в POL — нативний токен Polygon — і розподілили по ланцюжку адрес. Polymarket дані моніторингу не підтвердила, і та сама ончейн-робота показала, що широко розійшлася заява про особисту втрату у 800 тисяч доларів не витримала перевірки: схема виводів у цього гаманця відрізнялася від інших жертв.«Ми все виправимо та повністю відшкодуємо кошти всім постраждалим трейдерам».Ця обіцянка прозвучала, поки біржа проходила інцидент поетапно: спершу режим «лише скасування», коли відкриті ордери можна було відкликати, але нові розмістити не можна, потім призупинення сервісу надсилання транзакцій і зрештою повне відновлення торгівлі. Polymarket передала справу правоохоронцям Великої Британії, де базується постачальник, і заявила, що Polymarket US — окремо регульована американська платформа — не постраждала.
Друга компрометація через постачальника за рік
Для Polymarket це друга компрометація 2026 року, що виходить від постачальника, а не від власної інфраструктури. У червні компанія повідомляла, що сторонній постачальник був скомпрометований і впровадив шкідливий скрипт у фронтенд — для частини користувачів. Викрадений PUSD, розрахунковий токен Polymarket, переправили мостом з Polygon на Ethereum та обміняли приблизно на 1 893 ETH — здобич оцінювалася у 2,94 млн доларів. Тоді постраждала значно менша група, від одинадцяти до п'ятнадцяти акаунтів, але логіка була тією ж: код, що надходить довіреним каналом і виконується всередині сторінок сайту, у якому користувачі не мали підстав сумніватися. Травневий інцидент, коли близько 700 тисяч доларів вивели з внутрішнього гаманця поповнення через скомпрометований приватний ключ, до цієї постачальницької схеми не вписується. Але вказує в той самий бік: безпека коштів користувачів на торговій платформі сягає далеко за межі її власного периметра.Чому атаки на ланцюжок постачання фронтенда такі ефективні
Легітимний домен з багаторічною історією може годинами роздавати ворожий код, перш ніж хтось помітить, і жодна антифішингова тривога не спрацює, бо на сторінці немає нічого підробного. Замочок, закладка, безпомилкове написання адреси досі кажуть «довірся мені». Обидва інциденти Polymarket використали саме цю довіру як поверхню атаки — цим такий клас атак відрізняється від звичайного фішингу, і тому він складніше розпізнається в моменті.- Тримайте в браузерних гарячих гаманцях лише невеликі суми і вважайте їх кишеньковими грошима, а не заощадженнями.
- Надавайте перевагу апаратним гаманцям або захисним механізмам гаманців, які імітують транзакції та позначають неочікувані дозволи до їх підписання.
- Періодично перевіряйте видані токен-дозволи і відкликайте ті, що більше не потрібні.
- Якщо платформа повідомляє про компрометацію фронтенда чи постачальника, вийдіть з акаунта, завершіть інші сесії і перепровіряйте все, що було підписано у вікно інциденту.