פולימרקט עצרה את המסחר בזירה הבינלאומית שלה ביום חמישי, לאחר שתוקפים הפכו קוד של ספק חיצוני אמין לכלי ששאב כסף היישר מחשבונות של משתמשים מחוברים. מארנק אחד שמיוחס לתוקף נמשכו יותר מ-2.5 מיליון דולר. החברה שמפעילה את זירת שווקי התחזיות הגדולה בעולם, שבה סוחרים קונים ומוכרים חוזים על תוצאות של בחירות, ספורט וחדשות, אמרה כי איתרה ופתרה את הבעיה, העבירה את הטיפול לרשויות החוק בבריטניה, וכי כל מי שנפגע "יקבל פיצוי מלא".
ההשבתה פגעה ב-Polymarket.com, הזירה הבינלאומית (הלא-אמריקאית) שבה סוחרים מחוץ לארה״ב פועלים, והעבירה את הבורסה למצב ביטול-בלבד כשמנגנון הסליקה האוטומטי שלה הושעה לכשעה. זו הפעם השלישית ב-2026 שתוקפים מגיעים אל משתמשי פולימרקט דרך ספק או מפתח שנפרצו, והפעם השנייה השנה שהפריצה עוברת דרך קוד שרץ בתוך האתר עצמו.
איך סקריפט ניטור הפך לשואב כסף
הנקודה החלשה לא הייתה השרתים של פולימרקט ולא הבלוקצ'יין שעליו יושב הכסף, אלא חברת DebugBear: חברה בריטית שפולימרקט שילמה לה כדי לנטר את מהירות הטעינה והביצועים של האתר. כמו כלי ניטור רבים, DebugBear פועלת באמצעות הטמעת סקריפט קטן בדפים שהגולש טוען, וכך מקבל אותו סקריפט מקום אמין בתוך האתר.
DebugBear אישרה ב-X כי נפגעה מ"אירוע אבטחה מתמשך", והנחתה את לקוחותיה להסיר את קוד ההטמעה שלה מהדפים. פולימרקט אמרה שהפגיעות נמצאה אצל הספק החיצוני ולא בפלטפורמה שלה עצמה, והעבירה את העניין לרשויות החוק בבריטניה, שם ממוקמת DebugBear.
חוקרים בחברת הסייבר Hudson Rock, שבחנו את הקוד שנערך, אמרו שהסקריפט שהוגש על ידי DebugBear שוכתב כדי לעשות דבר שכלי ניטור לעולם לא אמור לעשות: לאתר סשן מסחר פעיל של משתמש מחובר, לממש את כל הפוזיציות שהחשבון החזיק ולהעביר את התמורה לארנק יעד שהוטמע ישירות בקוד ככתובת גיבוי. בחברה אמרו שעדיין אינם יודעים מה הפעיל את הסקריפט אצל משתמש מסוים, או כמה אנשים נפגעו.
לעקוב אחרי הכסף על הבלוקצ'יין
מכיוון שכל העברה נרשמת בפנקס ציבורי, אפשר לראות את התוצאה באופן שרוב הפריצות אינן מאפשרות. ניתוח של ארנק אחד שמיוחס לתוקף מצא יותר מ-2.5 מיליון דולר שנמשכו ביותר מ-900 עסקאות נפרדות, חתימה של סקריפט שפעל שוב ושוב כשחשבונות שונים טענו את הדף הנגוע.
אותו ארנק, 0x3f99...fc18, מחזיק כיום כ-2.65 מיליון דולר ב-POL, המטבע של רשת Polygon שעליה פועלת פולימרקט, לפי נתונים של Arkham, פלטפורמה לניתוח בלוקצ'יין. שני המספרים אינם אותה מדידה ואין לחבר ביניהם: האחד הוא הסכום הכולל שנשאב מהחשבונות, והשני הוא מה שהארנק מחזיק כעת לאחר שהכספים הוסבו ל-POL.
הסוחרים שנפלו בפח
עבור האנשים בקצה השני, המספרים אינם מופשטים. סוחר שמפרסם בשם CarOnPolymarket כתב ב-X ש-800,000 דולר נמשכו מחשבונו, ושחבר שלו הפסיד כ-600,000 דולר. אלה טענות של הסוחר עצמו שלא אומתו באופן בלתי תלוי, והן נפרדות מסכומי הארנק ואינן מניה מהם.
ההודאה של Hudson Rock שאינם יכולים עדיין לספור את הנפגעים חשובה כאן: השואב לא היה זקוק לאישור כלשהו מהמשתמשים ולא ללחיצה על קישור זדוני. אם הסקריפט רץ בתוך סשן שהם כבר פתחו ונתנו בו אמון, הכסף יכול היה לצאת בזמן שהדף עדיין נראה תקין לחלוטין.
ההתחייבות של פולימרקט, ומה שהושמט
המסר הפומבי של פולימרקט היה חד-משמעי בכל הנוגע לכסף: "נתקן את זה ונפצה במלואם את כל הסוחרים שנפגעו", ובנפרד, שכל מי שנפגע "יקבל פיצוי מלא". החברה אמרה שהמסחר יחזור סביב השעה 15:00 לפי שעון החוף המזרחי של ארה״ב באותו היום, ברגע שהבעיה תיבלם.
השפה של החברה הייתה זהירה יותר באשר לנזק עצמו. היא תיארה איתור ופתירה של "בעיה" ולא אישרה במילותיה שלה שמשתמשים הפסידו כסף, גם כשסוחרים וניתוח על הבלוקצ'יין תיארו חשבונות בסכומים של שש ספרות שרוקנו בזמן אמת. גם מנגנון הפיצוי לא פורט באותה הודעה. תנאים שדווחו, שפולימרקט עצמה לא פרסמה, מציבים את קו הגבול ב-10,000 דולר: הפסדים קטנים יותר יוחזרו עד יום שישי, ותביעות גדולות יותר ידרשו חתימה על טופס ויתור. עד שהחברה תאשר זאת, מוטב לקרוא את הסף הזה כבלתי מאומת.
הפריצה השלישית של 2026
זו אינה הפעם הראשונה לפולימרקט השנה. סביב מאי נשאבו כ-700,000 דולר מארנק טעינה פנימי לאחר שמפתח פרטי נפרץ. סביב יוני ניצלו תוקפים ספק צד-שלישי שנפרץ כדי להזריק קוד זדוני לצד הלקוח ולקחו קרוב ל-3 מיליון דולר, אם כי מפחות מ-15 חשבונות, ופולימרקט התחייבה גם אז להחזר מלא.
הקו המחבר הוא צד הלקוח. פולימרקט בנויה ללא משמורת, כלומר כספי המשתמש יושבים בארנק שבשליטתכם ולא בחשבון של החברה, וזה אמור להפוך פריצה לשרת למסוכנת הרבה פחות. אבל הדף שמושיט יד לאותו ארנק כדי לבצע ולסלוק עסקאות מורכב מקוד שכתבו חברות אחרות, וב-2026 אספקת הקוד החיצוני הזו הייתה הדרך פנימה שחוזרת שוב ושוב.
למה זה חשוב לסוחרים בישראל
הזירה שהושבתה היא זו שרלוונטית כאן: סוחרים ישראלים משתמשים ב-Polymarket.com, הזירה הבינלאומית, ולא בזרוע האמריקאית הנפרדת. הפריצה גם נוחתת ברגע לא נוח למעמד של הפלטפורמה מול הקהל הזה. היא מגיעה ימים ספורים בלבד אחרי שפולימרקט פתחה בדיקה בחשד למסחר מבוסס מידע פנים על פוזיציות חשודות שנפתחו סביב הבחירות בישראל השבוע, שאלות על תוצאות שקשורות לנתניהו ולליכוד שכבר הכניסו את יושרת הפלטפורמה לשיח המקומי.
החזר יכול לפצות סוחר, אבל הוא אינו סוגר את הדלת שדרכה נכנסו התוקפים. הפתרון שאליו פנו פולימרקט ו-DebugBear היה בוטה: לעקור את סקריפט הניטור מהדף. זה משיב את החשבונות ועוצר את השואב הנוכחי, אבל משאיר על כנה את העובדה הגדולה של 2026, שהחלק הבטוח ביותר בפולימרקט הוא הארנק שבשליטתכם, והחלק המסוכן ביותר הוא הקוד שהחברה מאפשרת לאחרים לטעון לצידו.
