Полимаркет в четверг остановил торги на своей международной бирже после того, как злоумышленники превратили код доверенного стороннего поставщика в инструмент, выводивший деньги прямо со счетов авторизованных пользователей: на один кошелёк, предположительно принадлежащий атакующим, ушло более $2,5 млн. Компания, которой принадлежит крупнейшая в мире биржа рынков прогнозов, где трейдеры покупают и продают контракты на исходы выборов, спортивных событий и новостей, заявила, что нашла и устранила проблему, передала дело британским правоохранительным органам и что всем, кто потерял средства, компенсируют потери в полном объёме.

Сбой затронул Polymarket.com, международную (не для США) площадку, которой пользуются трейдеры за пределами Соединённых Штатов, и перевёл биржу в режим «только отмена заявок» примерно на час, приостановив работу автоматического релеера. Это уже третий случай в 2026 году, когда злоумышленники добрались до пользователей Полимаркета через скомпрометированного поставщика или ключ, и второй за год, прошедший через код, работающий внутри самого сайта.

Как скрипт мониторинга превратился в инструмент для кражи средств

Слабым местом оказались не серверы самого Полимаркета и не блокчейн, где хранятся деньги. Им стала DebugBear, британская компания, которой Полимаркет платил за мониторинг того, насколько быстро загружается и работает сайт. Как и многие сервисы мониторинга производительности, DebugBear работает, встраивая небольшой скрипт в страницы, которые загружает посетитель, что даёт этому скрипту доверенное место внутри сайта.

DebugBear подтвердила в X, что её «затронул продолжающийся инцидент безопасности», и порекомендовала клиентам удалить её встраиваемый код со своих страниц. Полимаркет заявил, что уязвимость была на стороне этого внешнего поставщика, а не на его собственной платформе, и передал дело правоохранительным органам Британии, где находится штаб-квартира DebugBear.

Исследователи из Hudson Rock, компании по кибербезопасности, изучившей изменённый код, сообщили, что отдаваемый DebugBear скрипт был переписан так, чтобы делать то, чего инструмент мониторинга делать никогда не должен: находить активную торговую сессию авторизованного пользователя, ликвидировать все позиции, которые держал счёт, и переводить вырученные средства на кошелёк, прописанный прямо в скрипте в качестве резервного адреса. В компании сказали, что пока не знают, что запускало скрипт для конкретного пользователя и сколько человек пострадало.

Деньги видны в блокчейне

Поскольку каждый перевод попадает в публичный реестр, последствия видны так, как не бывает при большинстве взломов. Анализ одного кошелька, предположительно принадлежащего атакующим, насчитал более $2,5 млн, выведенных в более чем 900 отдельных транзакциях: характерный след скрипта, срабатывавшего снова и снова по мере того, как разные счета загружали заражённую страницу.

На этом кошельке, 0x3f99...fc18, сейчас находится около $2,65 млн в POL, собственном токене Polygon (сети, на которой работает Полимаркет), по данным Arkham, платформы блокчейн-аналитики. Эти две цифры измеряют разное, и складывать их нельзя: одна из них (валовая сумма, выведенная со счетов), вторая (остаток на кошельке сейчас, после того как похищенные средства были переведены в POL).

Трейдеры, попавшие под удар

Для людей по ту сторону экрана цифры не абстрактны. Трейдер, пишущий под ником CarOnPolymarket, сообщил в X, что с его счёта увели $800 000, а его знакомый потерял около $600 000. Это собственные слова трейдера, независимо они не подтверждены, и они не входят в суммы по кошельку, а стоят отдельно от них.

Признание Hudson Rock, что пострадавших пока не сосчитать, здесь важно: для кражи не требовалось, чтобы пользователи что-либо подтверждали или переходили по вредоносной ссылке. Если скрипт отрабатывал внутри уже открытой и доверенной сессии, деньги могли уходить, пока страница выглядела как обычно.

Обещание Полимаркета и то, о чём он умолчал

Публичное заявление Полимаркета насчёт денег было недвусмысленным: «Мы всё исправим и полностью возместим ущерб всем пострадавшим трейдерам», а также, отдельно, что «каждому, кто пострадал, компенсируют потери в полном объёме». Компания сообщила, что торги возобновятся примерно в 15:00 по восточному времени в тот же день, как только проблема будет локализована.

В описании самого ущерба компания была гораздо осторожнее в формулировках. Она сообщила, что обнаружила и устранила «проблему», но от своего имени так и не подтвердила, что пользователи потеряли деньги, хотя трейдеры и данные блокчейн-аналитики в реальном времени описывали опустошённые шестизначные счета. Механика компенсаций в том же заявлении тоже не раскрывалась. По приводимым условиям, которые сам Полимаркет не публиковал, разделительная линия проходит по отметке 10 000 долларов: меньшие потери возмещаются к пятнице, а по более крупным требованиям нужно подписать форму об отказе от претензий. Пока компания это не подтвердит, такой порог стоит считать неподтверждённым.

Третья утечка средств в 2026 году

Для Полимаркета в этом году это не впервые. Примерно в мае около 700 000 долларов было выведено с внутреннего кошелька для пополнений после компрометации приватного ключа. Примерно в июне злоумышленники воспользовались взломом стороннего подрядчика, чтобы внедрить вредоносный код во фронтенд, и забрали почти 3 млн долларов, хотя и менее чем с 15 счетов; тогда Полимаркет тоже пообещал полное возмещение.

Общий знаменатель всех случаев: фронтенд. Полимаркет построен по некастодиальной схеме, то есть средства пользователя лежат в кошельке, которым он управляет сам, а не на счёте компании, и это должно делать взлом сервера куда менее опасным. Но страница, которая обращается к этому кошельку, чтобы открывать позиции и проводить расчёты, собрана из кода, написанного другими компаниями, и в 2026 году именно этот поток чужого кода раз за разом становится точкой входа.

Почему это важно для местных трейдеров

В офлайн ушла именно та площадка, которая важна здесь: израильские трейдеры пользуются международной Polymarket.com, а не отдельным американским подразделением. К тому же взлом пришёлся на неудобный для репутации платформы момент. Он случился всего через несколько дней после того, как Полимаркет начал проверку на предмет инсайдерской торговли из-за подозрительных позиций по итогам прошедших на этой неделе выборов в Израиле; вопросы вокруг исходов по Нетаньяху и «Ликуду» уже успели вынести тему добросовестности платформы в местную повестку.

Компенсация может вернуть трейдеру его деньги, но она никак не закрывает ту дверь, через которую вошли злоумышленники. Решение, к которому прибегли Полимаркет и специалисты по веб-мониторингу из DebugBear, оказалось грубым: просто вырезать следящий скрипт со страницы. Это восстанавливает счета и останавливает конкретного «дренера», но оставляет в силе главный факт 2026 года: самая защищённая часть Полимаркетаrestructure the clause (add a verb, or use a colon); see languages кошелёк, которым вы управляете сами, а самая опасная - код, который компания разрешает загружать рядом с ним чужим рукам.