Взлом Polymarket через сторонний скрипт: торги остановлены, ущерб превысил $2,6 млн

Платформа рынков предсказаний Polymarket временно заморозила работу из-за компрометации внешнего веб-провайдера. По предварительным ончейн-оценкам, злоумышленники вывели активы примерно на $2,65 млн. Руководство сервиса уже пообещало полностью возместить средства пострадавшим пользователям и передало дело в правоохранительные органы.

Хронология атаки и реакция биржи

Первые сигналы о несанкционированном списании средств появились около 20:45 мск: пользователи сообщили о принудительном закрытии позиций и опустошении балансов на сотни тысяч долларов. Уже к 21:05 мск на странице мониторинга Polymarket зафиксировали масштабный сбой торгового API. Площадку оперативно перевели в режим cancel-only (доступна только отмена активных ордеров, новые сделки заблокированы), а работу ретранслятора (relayer) поставили на паузу.

В 21:33 по московскому времени представители платформы подтвердили инцидент, заявив, что уязвимость устранена, а инфраструктура постепенно возвращается в онлайн.

Как работал дрейнер: брешь во фронтенде

По данным аналитиков DefiPrime и The Block (Arkham), смарт-контракты самой площадки не пострадали — атака шла через клиентскую часть (Supply Chain Attack):

Вектор внедрения: скомпрометирован скрипт аналитики и скорости загрузки DebugBear, встроенный на сайте Polymarket. Провайдер признал проблему и призвал клиентов удалить свой embed-код.

Механика слива: скрипт подменял логику фронтенда на вредоносный дрейнер. У пользователей, авторизованных через email, позиции ликвидировались в фоновом режиме без подтверждения, а владельцы внешних Web3-кошельков получали всплывающие запросы на подпись вредоносной транзакции вывода.

Ущерб: к 21:20 мск на кошельке предполагаемого атакующего аккумулировано порядка 28,6 млн токенов POL (~$2,64–2,65 млн).

Команда Polymarket удалила вредоносный скрипт с сайта около 20:59 мск.

Системная проблема веб-безопасности

Для Polymarket это уже третий инцидент за полгода и вторая атака через сторонний JavaScript с начала лета (в июне аналогичный вектор привел к потере ~$3 млн). Инцидент наглядно демонстрирует риски Web3-интерфейсов: наличие любого стороннего JS-кода в связке с сессионными ключами, встроенными кошельками и gasless-транзакциями фактически открывает злоумышленникам прямой доступ к активам пользователя в обход аудитов смарт-контрактов.

Рекомендации трейдерам:

До публикации официального отчёта (all-clear) воздержитесь от взаимодействия с сайтом и приложением Polymarket, не подписывайте запросы в кошельках и не переходите по сомнительным ссылкам. Возмещение ущерба обещано в автоматическом режиме — отдельных форм для подачи заявок проект пока не публиковал.