Polymarket претърпя инцидент със сигурността на 29 октомври 2026 г., след като компрометиран външен доставчик изложи потребителите на международната платформа на кражба от портфейли.

Търговците съобщиха за липсващи средства, неочаквани тегления и затваряне на позиции без разрешение. Компанията временно спря търговията, заяви, че е отстранила проблема, и обеща да обезщети засегнатите потребители. По-късно търговията беше възобновена.

В своето публично изявление Polymarket посочи, че външен доставчик е бил компрометиран и че случаят е предаден на правоохранителните органи. Въпреки че ранните описания сочеха към доставчик за удостоверяване, настоящите данни свързват този инцидент с DebugBear – услуга за наблюдение на производителността на уебсайтове. В собственото си изявление Polymarket не назова доставчика.

Зловреден скрипт е атакувал активни търговски сесии

Техническото разследване на Hudson Rock откри зловреден JavaScript код, доставян чрез адрес на DebugBear, свързан с Polymarket. Вместо просто да измерва производителността на страницата, кодът е търсил активна търговска сесия, проверявал е информацията за акаунта и се е опитвал да използва съществуващите инструменти за търговия на платформата, за да прехвърля активи. Изследователите са изтеглили файла два пъти и са получили идентични копия.

Скриптът е четял хранилището на браузъра, съдържащо данни за акаунта, адрес на портфейла и API идентификационни данни за търговия. След това е търсил в React компонентите на приложението активен клиент за търговия и неговия инструмент за подписване (signer), използван за оторизиране на действия с портфейла. Този подход се е опитвал да използва повторно достъпа, който вече е наличен в рамките на активна потребителска сесия, вместо да разчита само на открадната парола.

Поведението му е варирало според типа на акаунта. Един от методите се е опитвал да прехвърли токени за позиции директно, докато друг се е опитвал да продаде позициите, преди да премести наличните средства. Изследователите също така са открили код, който изисква подписи и изпраща трансакции чрез релейната услуга (relayer) на Polymarket. Те обаче не са изпълнили образеца в реална среда, така че констатациите показват планираното поведение, а не доказателство, че всеки опит за превод е бил успешен.

Според репортаж на CNBC, анализи на Betting Intelligence и Polysights свързват тегления на стойност най-малко 2,7 милиона долара със 710 портфейла. Тези цифри остават външни оценки, а не официално потвърдена обща загуба. CNBC също така съобщи, че отделната платформа на Polymarket за Съединените щати не е била компрометирана.

От Polymarket заявиха, че засегнатите търговци ще бъдат напълно обезщетени. CNBC съобщи, че потребителите с откраднати по-малко от 10 000 долара са били уведомени, че средствата им ще бъдат възстановени до 30 октомври, докато за по-големи искове ще се изисква формуляр за освобождаване от отговорност. Обещанието за възстановяване на средствата адресира финансовите загуби, но точният времеви прозорец на излагане на риск и първоначалният метод, използван за компрометиране на доставчика, остават неизяснени.

Инцидентът подчертава рисковете от външни скриптове, работещи на чувствителни страници. Cybersecurity News по-рано отрази компрометиране на Adform, при което се разпространяваше код за кражба на криптовалути, показвайки как доверена инфраструктура може да се превърне в канал за доставка на заплахи.

Репортажът за компрометирания JavaScript пакет на XRPL описва отделна атака по веригата за доставки, насочена към ключове за портфейли. Тези случаи включват различни методи за кражба, но споделят обща зависимост от външен код.

Потребителите трябва да затворят потенциално изложените на риск раздели в браузъра, да прегледат скорошните поръчки и трансакции с портфейли чрез доверени канали и да запазят хешовете на трансакциите за искове към поддръжката. Неочакваните заявки за подписване трябва да бъдат отхвърляни. Hudson Rock също така препоръчва преглед на сесиите и разрешенията с официалната поддръжка, избягване на непоискани връзки за възстановяване и никога да не се споделя възстановяваща фраза (seed phrase).

Самото прекъсване на връзката с портфейла не отменя вече завършени преводи и не премахва съществуващи одобрения в блокчейна. Потребителите трябва да проверяват инструкциите за компенсация чрез официални канали, а не чрез съобщения от непознати акаунти.