
Взлом Polymarket оказался масштабнее, чем предполагалось после первых сообщений об инциденте. По обновленной оценке AMLBot, злоумышленники вывели около $3,1 млн в PUSD с 11 пользовательских кошельков. Ранее ущерб оценивали примерно в $2,94 млн, однако новые данные показали, что потери оказались выше.
По информации аналитиков, украденные активы вывели с кошельков в сети Polygon, после чего быстро перевели в Ethereum. PeckShield сообщил, что средства обменяли примерно на 1893 ETH. В Specter также указывали, что после фишинговой атаки активы собрали на одном Ethereum-адресе.
Взлом Polymarket произошел с внешнего интерфейса
Polymarket заявила, что проблема возникла у стороннего поставщика. По версии платформы, это позволило злоумышленникам внедрить вредоносный скрипт во внешний интерфейс для части пользователей. Компания утверждает, что уязвимость была локализована, а затронутая зависимость удалена.
Такой тип атаки особенно опасен тем, что пользователь может видеть привычный сайт и считать, что работает с обычной платформой. При этом загруженный в браузер код способен подсовывать небезопасные запросы к кошельку и вынуждать владельца активов подтверждать вредоносные операции.
Polymarket заявила, что связывается с пострадавшими клиентами и намерена полностью компенсировать ущерб. Однако это обещание уже вызвало вопросы. Поскольку инцидент снова показал зависимость криптоплатформ от стороннего кода, фронтенда и внешних сервисов. Даже если смарт-контракты остаются неизменными, пользовательский интерфейс может стать слабым местом.
Давление на платформу усиливается
Ситуация развивается на фоне прежних проблем Polymarket с безопасностью. Ранее сообщалось о подозрительной активности, связанной с Polygon-контрактами, а также об инциденте в Discord. После него пользователи жаловались на пропажу средств и попытки несанкционированного входа.
Дополнительное давление создают и регуляторы. В США сенаторы Адам Шифф и Джон Кертис призвали CFTC внимательнее изучить деятельность Polymarket, включая вопросы рекламы, продвижения рынков прогнозов и защиты пользователей. Отдельно продолжается спор о том, должны ли спортивные рынки прогнозов регулироваться как федеральные деривативы или как азартные игры по законам отдельных штатов.
Последний инцидент усилил сомнения вокруг безопасности подобных платформ. Для пользователей он стал напоминанием о том, что риски в криптосервисах связаны не только со смарт-контрактами, но и с кошельками, разрешениями, сайтами, сторонними зависимостями и рекламными каналами.





