В четверг, 29 окт., платформа предсказаний Polymarket объявила о временной остановке своего международного торгового сайта после обнаружения эксплойта, позволившего несанкционированные выводы его нативного токена POL. Нарушение, отнесённое к уязвимому стороннему поставщику, заставило биржу перейти в режим только отмены, приостановить услуги релееров и опубликовать заявление о том, что правоохранительные органы уведомлены и все затронутые пользователи будут полностью возмещены.

Технические детали эксплойта

Исследователи безопасности из Hudson Rock выявили скрипт, размещённый на DebugBear, сервисе мониторинга веб‑производительности, как вектор атаки. Скрипт искал вошедшие в систему сессии Polymarket, считывал активы пользователей и пытался продать или перевести их на заранее закодированный резервный адрес (0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18). Данные Arkham показывают, что адрес накопил примерно $2,65 млн POL после серии обменов USDC.e‑на‑POL через сервис Relay cross‑chain. Hudson Rock оценил стоимость около $2,19 млн, отмечая, что цифра не подтверждена, в то время как аналитики, цитируемые Bitcoin.com и Unchained, оценили потерю около $2,7 млн.

Злонамеренный код был внедрён в продакшн‑сайт Polymarket через вставку уязвимого поставщика. После удаления скрипта код сайта зафиксировал его удаление, но до сих пор не выяснено, как произошла первоначальная компрометация и сколько аккаунтов было затронуто.

Ответ и устранение Polymarket

Страница статуса Polymarket указала, что биржа перешла в режим только отмены в 14:05 по восточному времени, запрещая новые ордера, но позволяя отменять существующие. Действия релееров, которые подписывают транзакции от имени пользователей, также были приостановлены. В 14:33 по восточному времени платформа сообщила, что «выявила и исправила проблему, затрагивающую наш международный сервис» и что сторонний поставщик был скомпрометирован.

Торговля возобновилась примерно в 15:00 по восточному времени, статусная страница отметила решение инцидента в 15:05. Polymarket повторно заявил в X, что полностью возместит всех трейдеров, понёсших убытки. Компания также заменила скомпрометированный внутренний ключ, отозвала права на продакшн и объявила о планах переноса приватных ключей в более надёжную систему управления ключами.

Контекст и регуляторный фон

Инцидент октября следует за двумя предыдущими событиями безопасности Polymarket в этом году: компрометация приватного ключа в мае, которая вывела около $700 тыс., и фронтенд‑эксплойт в июне, который украл примерно $3 млн с менее чем 15 аккаунтов. В каждом случае нарушения возникли из внешних точек доступа, а не из уязвимостей в смарт‑контракте Polymarket.

Отдельно Unchained сообщила, что Комиссия по товарным фьючерсам США расследует, удерживала ли Polymarket американских пользователей от участия в офшорном рынке в соответствии с урегулированием 2022 года. Хотя расследование не связано с октябрьским взломом, оно подчёркивает усиленный регуляторный надзор над платформами предсказаний.

Что следить дальше

Наблюдатели будут следить за процессом возмещения Polymarket, чтобы убедиться, что все затронутые пользователи получат полную компенсацию. Вероятно, усилится внимание к стороннему поставщику и практикам безопасности DebugBear, а также к дальнейшим раскрытиям о том, как злонамеренный скрипт был внедрён. В конце концов, регуляторы могут изучить, составляют ли повторные атаки цепочки поставок существенную угрозу, требующую более строгого надзора над DeFi‑платформами.