पॉलीमार्केट ने गुरुवार को अपने अंतरराष्ट्रीय एक्सचेंज पर ट्रेडिंग रोक दी, जब हमलावरों ने एक भरोसेमंद बाहरी वेंडर के कोड को ऐसे औज़ार में बदल दिया जो लॉग-इन किए हुए यूज़र्स के खातों से सीधे पैसा निकाल रहा था; एक संदिग्ध हमलावर वॉलेट ने अकेले $2.5 मिलियन से ज़्यादा उड़ा लिए। दुनिया के सबसे बड़े प्रिडिक्शन-मार्केट एक्सचेंज के पीछे की कंपनी, जहाँ ट्रेडर चुनावों, खेल और समाचारों के नतीजों पर कॉन्ट्रैक्ट खरीदते-बेचते हैं, ने कहा कि उसने समस्या का पता लगाकर उसे ठीक कर लिया है, मामला ब्रिटेन की कानून एजेंसियों को सौंप दिया है, और जिन किसी का भी पैसा गया है उसकी पूरी भरपाई की जाएगी।
यह गड़बड़ी Polymarket.com पर हुई, जो अमेरिका के बाहर के ट्रेडर इस्तेमाल करते हैं, और इसने एक्सचेंज को करीब एक घंटे के लिए सिर्फ़-कैंसिल (cancel-only) मोड में डाल दिया तथा उसके ऑटोमैटेड रिलेयर को निलंबित कर दिया। यह 2026 में तीसरी बार है जब हमलावरों ने किसी समझौता किए गए वेंडर या की के ज़रिए पॉलीमार्केट के यूज़र्स तक पहुँच बनाई, और इस साल दूसरी बार जब रास्ता खुद वेबसाइट के अंदर चल रहे कोड से होकर गया।
एक मॉनिटरिंग स्क्रिप्ट बन गई ड्रेनर
कमज़ोर कड़ी न तो पॉलीमार्केट के अपने सर्वर थे और न ही वह ब्लॉकचेन जिस पर उसका पैसा रखा है। यह DebugBear थी, एक ब्रिटेन स्थित कंपनी जिसे पॉलीमार्केट यह देखने के लिए भुगतान करता था कि उसकी वेबसाइट कितनी तेज़ी से लोड होती और चलती है। कई परफ़ॉर्मेंस मॉनिटरों की तरह, DebugBear उन पेजों में एक छोटी स्क्रिप्ट एम्बेड करके काम करती है जो कोई विज़िटर लोड करता है, और यही स्क्रिप्ट को साइट के अंदर एक भरोसेमंद जगह दे देता है।
DebugBear ने X पर पुष्टि की कि वह "एक जारी सुरक्षा घटना से प्रभावित" हुई है, और अपने क्लाइंट्स से कहा कि वे अपने पेजों से उसका एम्बेड कोड हटा दें। पॉलीमार्केट ने कहा कि कमज़ोरी उसके अपने प्लेटफ़ॉर्म में नहीं बल्कि उस बाहरी प्रोवाइडर के पास थी, और मामला ब्रिटेन के कानून प्रवर्तन को सौंप दिया, जहाँ DebugBear का मुख्यालय है।
साइबर सुरक्षा फर्म Hudson Rock के शोधकर्ताओं, जिन्होंने छेड़छाड़ किए गए कोड की जाँच की, ने बताया कि DebugBear की भेजी स्क्रिप्ट को ऐसा कुछ करने के लिए दोबारा लिखा गया था जो किसी मॉनिटरिंग औज़ार को कभी नहीं करना चाहिए: किसी साइन-इन यूज़र का चालू ट्रेडिंग सेशन ढूँढना, उस खाते की सभी पोजीशन बेच देना, और कमाई को स्क्रिप्ट में सीधे बैकअप पते के रूप में लिखे एक डेस्टिनेशन वॉलेट में भेज देना। फर्म ने कहा कि उसे अभी यह नहीं पता कि किसी यूज़र के लिए स्क्रिप्ट किस वजह से चली, या कितने लोग इसकी चपेट में आए।
ऑन-चेन पैसे का पीछा
चूँकि हर ट्रांसफ़र एक सार्वजनिक लेजर पर दर्ज होता है, इसलिए इसका असर उस तरह दिखता है जैसा ज़्यादातर सेंधों में नहीं दिखता। एक संदिग्ध हमलावर वॉलेट के विश्लेषण में 900 से ज़्यादा अलग-अलग लेन-देन में $2.5 मिलियन से ऊपर की निकासी गिनी गई, जो अलग-अलग खातों के ज़हरीले पेज को लोड करते ही एक स्क्रिप्ट के बार-बार चलने की पहचान है।
वह वॉलेट, 0x3f99...fc18, ब्लॉकचेन-एनालिटिक्स प्लेटफ़ॉर्म Arkham के आँकड़ों के मुताबिक अब करीब $2.65 मिलियन POL में रखे हुए है; POL, पॉलीगॉन का नेटिव टोकन है, वही नेटवर्क जिस पर पॉलीमार्केट चलता है। ये दोनों आँकड़े एक ही माप नहीं हैं और इन्हें जोड़ना नहीं चाहिए: एक खातों से निकाली गई कुल रकम है, दूसरा वह रकम है जो चुराए गए फंड को POL में बदलने के बाद अब वॉलेट में पड़ी है।
इसकी चपेट में आए ट्रेडर
दूसरे छोर पर मौजूद लोगों के लिए ये आँकड़े कोई अमूर्त बात नहीं हैं। CarOnPolymarket नाम से पोस्ट करने वाले एक ट्रेडर ने X पर लिखा कि उसके खाते से $8,00,000 निकाल लिए गए और एक दोस्त ने करीब $6,00,000 गँवा दिए। ये दावे ट्रेडर के अपने हैं और इनकी स्वतंत्र पुष्टि नहीं हुई है, और ये वॉलेट के कुल आँकड़ों का हिस्सा नहीं बल्कि उनसे अलग हैं।
Hudson Rock का यह स्वीकार करना कि वह अभी पीड़ितों की गिनती नहीं कर सकती, यहाँ मायने रखता है: ड्रेनर को यूज़र्स से न किसी चीज़ की मंज़ूरी चाहिए थी और न ही किसी खराब लिंक पर क्लिक। अगर स्क्रिप्ट उस सेशन के अंदर चली जिसे वे पहले ही खोल चुके थे और जिस पर भरोसा कर रहे थे, तो पैसा उस वक़्त जा सकता था जब पेज अब भी सामान्य दिख रहा था।
पॉलीमार्केट का वादा, और जो उसमें छूट गया
पैसे के मामले में पॉलीमार्केट का सार्वजनिक संदेश साफ़ था: "हम इसे ठीक करेंगे और सभी प्रभावित ट्रेडरों की पूरी भरपाई कर रहे हैं," और अलग से कहा कि "जो भी प्रभावित हुआ है उसके नुकसान की पूरी भरपाई की जाएगी।" उसने कहा कि समस्या पर काबू पाने के बाद उसी दिन दोपहर करीब 3 बजे (ET) ट्रेडिंग वापस शुरू हो जाएगी।
नुकसान को लेकर कंपनी की भाषा कहीं ज़्यादा सँभली हुई थी। उसने बस इतना बताया कि "एक समस्या" पकड़ी गई और उसे ठीक कर दिया गया, पर अपने शब्दों में यह नहीं माना कि उपयोगकर्ताओं का पैसा डूबा है, जबकि ट्रेडर और ऑन-चेन विश्लेषण उसी वक़्त छह-अंकों वाले खातों के खाली होते जाने का ब्योरा दे रहे थे। रिफंड किस तरह मिलेगा, इसका तरीका भी उस बयान में साफ़ नहीं था। जो शर्तें सामने आई हैं, और जिन्हें पॉलीमार्केट ने ख़ुद प्रकाशित नहीं किया है, उनके मुताबिक सीमा-रेखा $10,000 पर खींची गई है: इससे कम के नुकसान शुक्रवार तक लौटा दिए जाएँगे, जबकि इससे बड़े दावों के लिए एक हस्ताक्षरित रिलीज़ फ़ॉर्म देना होगा। जब तक कंपनी ख़ुद इसकी पुष्टि नहीं करती, इस सीमा को अपुष्ट ही मानना ठीक है।
2026 की तीसरी सेंध
पॉलीमार्केट के लिए इस साल यह पहली बार नहीं है। मई के आसपास एक निजी की (private key) के समझौता होने के बाद एक आंतरिक टॉप-अप वॉलेट से करीब $700,000 निकाल लिए गए थे। जून के आसपास हमलावरों ने एक समझौता किए गए थर्ड-पार्टी वेंडर का फ़ायदा उठाकर दुर्भावनापूर्ण फ़्रंट-एंड कोड डाला और करीब $3 मिलियन उड़ा ले गए, हालाँकि यह 15 से भी कम खातों से हुआ, और तब भी पॉलीमार्केट ने पूरे रिफंड का वादा किया था।
इन सबके बीच एक साझा कड़ी है: फ़्रंट एंड। पॉलीमार्केट का ढाँचा नॉन-कस्टोडियल है, यानी उपयोगकर्ता का पैसा कंपनी के किसी खाते में नहीं, बल्कि उसी के नियंत्रण वाले वॉलेट में रहता है, और यही बात सर्वर में सेंध लगने के ख़तरे को काफ़ी हद तक घटा देती है। पर जो पेज उस वॉलेट तक पहुँचकर ट्रेड लगाता और निपटाता है, वह दूसरी कंपनियों के लिखे कोड से बना होता है, और 2026 में बाहरी कोड की यही आपूर्ति बार-बार अंदर घुसने का रास्ता बनी है।
यहाँ के ट्रेडरों के लिए यह क्यों मायने रखता है
जो एक्सचेंज ठप हुआ, वही यहाँ के लिए अहम है: इज़रायली ट्रेडर Polymarket.com यानी अंतरराष्ट्रीय प्लेटफ़ॉर्म का इस्तेमाल करते हैं, अलग अमेरिकी इकाई का नहीं। यह सेंध प्लेटफ़ॉर्म के लिए उस समय आई है जब इस तबके के बीच उसकी साख पहले से ही सवालों के घेरे में है। यह घटना उन कुछ ही दिनों बाद हुई है जब पॉलीमार्केट ने इस हफ़्ते के इज़रायली चुनाव पर लगी संदिग्ध पोजीशनों को लेकर इनसाइडर-ट्रेडिंग की जाँच शुरू की थी, नेतन्याहू और लिकुड के नतीजों से जुड़े वे सवाल जो पहले ही प्लेटफ़ॉर्म की साख को स्थानीय बहस में ला चुके थे।
रिफंड किसी ट्रेडर का नुकसान तो भर सकता है, पर जिस दरवाज़े से हमलावर अंदर आए, उसे बंद करने में इसका कोई योगदान नहीं। पॉलीमार्केट और DebugBear ने जो उपाय अपनाया वह सीधा-सपाट था: मॉनिटरिंग स्क्रिप्ट को पेज से पूरी तरह निकाल देना। इससे खाते तो बहाल हो जाते हैं और यह ख़ास ड्रेनर रुक जाता है, फिर भी 2026 का बड़ा सच जस का तस खड़ा रहता है, कि पॉलीमार्केट का सबसे सुरक्षित हिस्सा वही वॉलेट है जो आपके नियंत्रण में है, और सबसे ख़तरनाक वह कोड है जिसे कंपनी उसके बराबर में दूसरों से लोड करवाने देती है।
