پلیمارکت روز پنجشنبه معاملات را در صرافی بین‌المللی خود متوقف کرد؛ پس از آنکه مهاجمان کُد یک پیمانکار بیرونیِ مورد اعتماد را به ابزاری بدل کردند که پول را مستقیم از حساب کاربرانِ واردشده بیرون می‌کشید و یک کیف پول منتسب به مهاجم به‌تنهایی بیش از 2٫5 میلیون دلار برداشت کرد. شرکتِ گردانندهٔ بزرگ‌ترین صرافی بازارهای پیش‌بینی جهان، جایی که معامله‌گران قراردادهایی روی نتایج انتخابات، ورزش و رویدادهای خبری خرید و فروش می‌کنند، اعلام کرد که مشکل را یافته و حل کرده، پرونده را به مجریان قانون در بریتانیا سپرده و هر کسی که زیان دیده «به‌طور کامل جبران» خواهد شد.
این اختلال Polymarket.com را درگیر کرد، همان محل بین‌المللی (غیرآمریکایی) که معامله‌گران خارج از ایالات متحده از آن استفاده می‌کنند، و صرافی را به حالت «فقط لغو» برد و رله‌کنندهٔ خودکار آن حدود یک ساعت معلق ماند. این سومین بار در سال 2026 است که مهاجمان از مسیر یک پیمانکار یا کلید به‌خطرافتاده به کاربران پلیمارکت رسیده‌اند و دومین بار در امسال است که مسیر حمله از دل کُدِ درحال اجرا در خودِ وب‌سایت عبور کرده است.
یک اسکریپت پایش که به زهکش تبدیل شد
نقطهٔ ضعف، سرورهای خودِ پلیمارکت یا بلاکچینی که پول‌ها رویش قرار دارند نبود. مشکل از DebugBear بود، شرکتی مستقر در بریتانیا که پلیمارکت به آن پول می‌داد تا سرعت بارگذاری و اجرای وب‌سایتش را رصد کند. مانند بسیاری از ابزارهای پایش عملکرد، DebugBear با جاسازی یک اسکریپت کوچک در صفحاتی که بازدیدکننده بارگذاری می‌کند کار می‌کند و همین به آن اسکریپت جایگاهی مورد اعتماد در دل سایت می‌دهد.
DebugBear در X تأیید کرد که «تحت تأثیر یک رخداد امنیتی در جریان» قرار گرفته و به مشتریانش گفت کُد جاسازی‌شدهٔ آن را از صفحات خود حذف کنند. پلیمارکت اعلام کرد که آسیب‌پذیری به آن تأمین‌کنندهٔ بیرونی بازمی‌گردد نه به پلتفرم خودش، و موضوع را به مجریان قانون در بریتانیا ارجاع داد؛ جایی که مقر DebugBear در آن قرار دارد.
پژوهشگران Hudson Rock، یک شرکت امنیت سایبری که کُد دستکاری‌شده را بررسی کرد، گفتند اسکریپتی که از سوی DebugBear ارائه می‌شد چنان بازنویسی شده بود که کاری کند که یک ابزار پایش هرگز نباید انجام دهد: نشست معاملاتیِ فعالِ کاربرِ واردشده را پیدا کند، هر موقعیتی را که آن حساب در اختیار داشت نقد کند و عواید آن را به کیف پول مقصدی که مستقیماً به‌عنوان آدرس پشتیبان در دل اسکریپت نوشته شده بود جاروب کند. این شرکت گفت هنوز نمی‌داند چه چیزی اسکریپت را برای یک کاربر مشخص فعال می‌کرده، یا چند نفر گرفتار شده‌اند.
ردیابی پول روی زنجیره
چون هر انتقال روی یک دفترکل عمومی ثبت می‌شود، پیامدهای ماجرا به‌شکلی قابل مشاهده است که در بیشتر رخنه‌ها ممکن نیست. تحلیل یکی از کیف پول‌های منتسب به مهاجم نشان داد بیش از 2٫5 میلیون دلار در قالب بیش از 900 تراکنش جداگانه بیرون کشیده شده است؛ امضای مشخصهٔ یک اسکریپت که بارها و بارها شلیک می‌کند همزمان با آنکه حساب‌های مختلف صفحهٔ آلوده را بارگذاری می‌کردند.
آن کیف پول، 0x3f99...fc18، اکنون طبق داده‌های Arkham، یک پلتفرم تحلیل بلاکچین، حدود 2٫65 میلیون دلار POL در اختیار دارد؛ توکن بومیِ پالیگان، شبکه‌ای که پلیمارکت روی آن اجرا می‌شود. این دو رقم یک سنجه نیستند و نباید با هم جمع شوند: یکی مبلغ ناخالصی است که از حساب‌ها بیرون جاروب شده و دیگری چیزی است که کیف پول پس از تبدیل وجوه سرقتی به POL اکنون روی آن نشسته است.
معامله‌گرانی که گرفتار شدند
برای کسانی که در سوی دیگر ماجرا بودند، این اعداد انتزاعی نیستند. معامله‌گری با نام CarOnPolymarket در X نوشت که 800٬000 دلار از حسابش برداشته شده و یکی از دوستانش حدود 600٬000 دلار از دست داده است. این ادعاها از خودِ آن معامله‌گر است و به‌طور مستقل تأیید نشده، و از ارقام کیف پول جداست نه بخشی از آن.
اعتراف Hudson Rock به اینکه هنوز نمی‌تواند شمار قربانیان را بشمارد اینجا اهمیت دارد: این زهکش نیازی نداشت که کاربران چیزی را تأیید کنند یا روی پیوندی مخرب کلیک کنند. اگر اسکریپت درون نشستی اجرا می‌شد که کاربر پیش‌تر باز کرده و به آن اعتماد کرده بود، پول می‌توانست خارج شود درحالی‌که صفحه همچنان عادی به‌نظر می‌رسید.
تعهد پلیمارکت و آنچه ناگفته ماند
پیام عمومی پلیمارکت دربارهٔ پول صریح بود: «ما این را جبران می‌کنیم و همهٔ معامله‌گران آسیب‌دیده را به‌طور کامل بازپرداخت خواهیم کرد»، و جداگانه اینکه «هر کسی که آسیب دیده باشد به‌طور کامل جبران خواهد شد.» این شرکت گفت معاملات همان روز حدود ساعت 3 بعدازظهر به وقت شرق آمریکا و پس از مهار مشکل، بازخواهد گشت.
زبان شرکت درباره‌ی خودِ خسارت محتاط‌تر بود. شرکت از یافتن و حل‌شدن «یک مشکل» سخن گفت و با عبارت‌بندی خود تأیید نکرد که کاربران پولی از دست داده‌اند، حتی در حالی که معامله‌گران و تحلیل‌های روی‌زنجیره از خالی‌شدن آنیِ حساب‌هایی با موجودی‌های شش‌رقمی خبر می‌دادند. سازوکار بازپرداخت نیز در آن بیانیه روشن نشده بود. بنا بر شرایطی که گزارش شده و پلیمارکت خود آن را منتشر نکرده است، خط تقسیم روی 10٬000 دلار قرار دارد: زیان‌های کوچک‌تر تا جمعه جبران می‌شوند و مطالبات بزرگ‌تر نیازمند امضای فرم تسویه‌حساب هستند. تا زمانی که شرکت آن را تأیید نکند، این آستانه را باید تأییدنشده دانست.
سومین تخلیه در سال 2026
این نخستین بار برای پلیمارکت در سال جاری نیست. حدود ماه مه، در پی لو رفتن یک کلید خصوصی، نزدیک به 700٬000 دلار از یک کیف‌پول داخلیِ شارژ تخلیه شد. حدود ماه ژوئن، مهاجمان با سوءاستفاده از یک پیمانکار ثالثِ به‌خطرافتاده، کد مخرب را در بخش فرانت‌اند تزریق کردند و نزدیک به 3 میلیون دلار بردند، هرچند از کمتر از 15 حساب، و پلیمارکت در آن نوبت نیز قول بازپرداخت کامل داد.
نخ تسبیح همه‌ی این رخدادها فرانت‌اند است. طراحی پلیمارکت غیرامانی است، یعنی دارایی کاربر به جای حساب شرکت در کیف‌پولی قرار دارد که خودِ کاربر آن را کنترل می‌کند و همین قاعدتاً باید نفوذ به سرور را بسیار کم‌خطرتر کند. اما صفحه‌ای که برای ثبت و حل‌شدن معاملات دست در آن کیف‌پول می‌برد، از کدی ساخته شده که شرکت‌های دیگر نوشته‌اند و در سال 2026 همین زنجیره‌ی تأمین کدِ بیرونی بارها مسیر نفوذ بوده است.
چرا برای معامله‌گران اینجا اهمیت دارد
سکویی که از دسترس خارج شد همان سکویی است که در این بازار اهمیت دارد: معامله‌گران اسرائیلی از Polymarket.com، یعنی سکوی بین‌المللی، استفاده می‌کنند، نه از بازوی جداگانه‌ی آمریکایی آن. این رخنه در لحظه‌ای دشوار برای جایگاه این سکو نزد همان مخاطبان رخ می‌دهد. تنها چند روز پس از آن است که پلیمارکت درباره‌ی موقعیت‌های مشکوکی که روی انتخابات این هفته‌ی اسرائیل گرفته شده بود، تحقیقی درباره‌ی معامله بر پایه‌ی اطلاعات نهانی گشود؛ پرسش‌هایی درباره‌ی سرنوشت نتانیاهو و لیکود که پیش‌تر هم درستی و سلامت این سکو را به بحث محلی کشانده بود.
بازپرداخت می‌تواند زیان یک معامله‌گر را جبران کند، اما هیچ کمکی به بستن دری که مهاجمان از آن وارد شدند نمی‌کند. راه‌حلی که پلیمارکت و DebugBear به آن رسیدند صریح و خشک بود: بیرون کشیدن اسکریپت پایش از صفحه. این کار حساب‌ها را بازمی‌گرداند و جلوی این تخلیه‌گر را می‌گیرد، اما واقعیت بزرگ‌تر سال 2026 را سرِ جایش باقی می‌گذارد؛ اینکه امن‌ترین بخش پلیمارکت همان کیف‌پولی است که خودتان کنترلش می‌کنید و خطرناک‌ترین بخش، کدی است که شرکت اجازه می‌دهد دیگران کنار آن بارگذاری کنند.
