Позиции продавали без ведома владельцев, торги заморозили
Сбой появился на странице статуса Polymarket в 18:05 UTC. Его отметили как серьёзный и затрагивающий торговый API платформы (CLOB). Биржу перевели в режим cancel-only: ордера можно отменять, а новые заявки и сделки не проходят. Заодно остановили релейер, то есть сервис, который отправляет подписанные пользователями транзакции в блокчейн.
В это время в X появлялись жалобы: позиции на счетах продавались без разрешения владельцев. Трейдер под ником Car написал, что у него увели $800 000, а его друг потерял $600 000. «Все мои позиции были проданы», — добавил он и приложил ссылку на свой публичный профиль на Polymarket.
Взломали не протокол, а скрипт стороннего сервиса
Вскоре Polymarket заявила, что нашла и устранила проблему. По словам компании, был скомпрометирован один из её сторонних провайдеров, и дело передано в правоохранительные органы. Название провайдера компания не раскрыла.
Подробности дали независимые исследователи. По версии 0xngmi, разработчика аналитического сервиса DeFiLlama, атаковали компанию, которая отслеживает производительность сайтов: её скрипты подгружались на Polymarket, поэтому под ударом оказался любой посетитель. Он уточнил, что сид-фразы кошельков при этом в безопасности. В Hudson Rock нашли скрипт с кодом для вывода средств, размещённый на DebugBear: в нём как запасной получатель прописан тот же адрес, что и у предполагаемого хакера. Официально Polymarket эту версию не подтверждала.
Заходите в наш Telegram-чат 2Bitcoins, если хотите обсудить новость с другими читателями.
Это атака через цепочку поставок: смарт-контракты могут быть в полном порядке, но сайт, который тянет код с чужих серверов, становится уязвимым вместе с ними. Для пользователя разницы почти нет: деньги уходят с его счёта.
Ущерб в $2,65–2,7 млн по независимым оценкам
Официальной суммы потерь нет. По данным Arkham, адрес предполагаемого злоумышленника держит около $2,65 млн в токенах POL: перед этим он несколько раз обменял USDC.e на POL через Relay. Потом средства разошлись по другим адресам. Остальные оценки близки:
Следите за новостями в нашем Telegram-канале 2Bitcoins.
| Источник оценки | Сумма потерь |
|---|---|
| Arkham (баланс кошелька хакера) | около $2,65 млн |
| StarPlatinum | $2,68 млн |
| 0xngmi, DeFiLlama | около $2,7 млн |
По некоторым первым сообщениям, на подозрительный адрес деньги приходили примерно 30 минут. Сколько всего пострадало аккаунтов, пока неизвестно.
Мужчина за столом перед экраном с помехами
Компенсацию пообещали всем, но без подробностей
Polymarket заявила, что всем пострадавшим возместят потери полностью. Торги возобновились примерно в 15:00 по восточному времени США (19:00 UTC). По данным Cointelegraph, к 19:05 UTC все системы платформы работали.
Мужчина в тёмном офисе у экранов со схемами
После перезапуска компания повторила, что полностью компенсирует потери всем затронутым трейдерам. Но как и когда это произойдёт, не сказано. Как отмечал crypto.news, в первом заявлении не было ни названия провайдера, ни подтверждённой суммы ущерба, ни условий выплат.
Третий инцидент с безопасностью Polymarket с мая
В мае хакеры получили доступ к шестилетнему приватному ключу для внутренних операций и вывели около $700 000 с кошелька для пополнений. Тогда Polymarket заявила, что средства клиентов, смарт-контракты и система расчёта рынков не пострадали. Ключ сменили и пообещали перенести ключи в более защищённую систему.
Месяц спустя, по данным Decrypt, хакеры через взломанного стороннего подрядчика встроили вредоносный код во фронтенд и украли около $3 млн меньше чем с 15 аккаунтов. Деньги тогда тоже обещали вернуть полностью. Октябрьская атака устроена похоже: снова сторонний сервис и снова сайт, а не контракты.
Читайте также: Биткоин упал ниже $80 000: Alphabet, Samsung и ФРС ударили по лонгам
Спорить с фактом взлома Polymarket хотя бы не стала. Так бывает не всегда: например, глава биржи CoinDCX отрицал взлом, пока блокчейн-аналитики не доказали кражу. Но второй за несколько месяцев взлом через внешних подрядчиков показывает, что после июня зависимость от сторонних скриптов так и осталась слабым местом платформы.
Дальше важно, выплатит ли Polymarket компенсации и в какие сроки, назовёт ли провайдера и откажется ли от внешних скриптов на сайте. Стоит следить и за украденными средствами: если они попадут на биржи, их могут заморозить. В Prediction News уже предупредили, что инцидент может привлечь внимание регуляторов к тому, как рынки предсказаний защищают деньги пользователей.
ПОДПИСЫВАЙТЕСЬ НА НАШ КАНАЛ В ТЕЛЕГРАМЕ, ЧТОБЫ БЫТЬ В КУРСЕ.
