โพลีมาร์เก็ตระงับการซื้อขายทั่วทั้งกระดานเทรดระหว่างประเทศเมื่อวันพฤหัสบดี หลังผู้โจมตีดัดแปลงโค้ดของผู้ให้บริการภายนอกที่เชื่อถือได้ให้กลายเป็นเครื่องมือดูดเงินออกจากบัญชีของผู้ใช้ที่ล็อกอินอยู่โดยตรง โดยกระเป๋าเงินของผู้ต้องสงสัยเพียงใบเดียวกวาดเงินไปกว่า 2.5 ล้านดอลลาร์ บริษัทผู้อยู่เบื้องหลังกระดานเทรดตลาดทำนายที่ใหญ่ที่สุดในโลก ซึ่งเป็นที่ที่เทรดเดอร์ซื้อขายสัญญาว่าด้วยผลการเลือกตั้ง กีฬา และข่าว ระบุว่าได้พบและตัดสินปัญหาแล้ว ส่งเรื่องให้หน่วยงานบังคับใช้กฎหมายของอังกฤษ และยืนยันว่าผู้ที่สูญเสียเงินจะได้รับการ "ชดเชยเต็มจำนวน"
เหตุขัดข้องกระทบ Polymarket.com ซึ่งเป็นช่องทางระหว่างประเทศ (นอกสหรัฐฯ) ที่เทรดเดอร์นอกสหรัฐอเมริกาใช้งาน และทำให้กระดานเทรดเข้าสู่โหมดยกเลิกคำสั่งได้อย่างเดียว พร้อมระงับระบบรีเลย์อัตโนมัติไปราวหนึ่งชั่วโมง นี่เป็นครั้งที่สามในปี 2026 ที่ผู้โจมตีเข้าถึงผู้ใช้โพลีมาร์เก็ตผ่านผู้ให้บริการหรือกุญแจที่ถูกเจาะ และเป็นครั้งที่สองในปีนี้ที่เล็ดลอดผ่านโค้ดที่ทำงานอยู่ภายในตัวเว็บไซต์เอง
สคริปต์เฝ้าระวังที่กลายเป็นเครื่องมือดูดเงิน
จุดอ่อนไม่ได้อยู่ที่เซิร์ฟเวอร์ของโพลีมาร์เก็ตเองหรือบล็อกเชนที่เก็บเงินไว้ แต่อยู่ที่ DebugBear บริษัทสัญชาติอังกฤษที่โพลีมาร์เก็ตจ้างให้คอยตรวจวัดว่าเว็บไซต์โหลดและทำงานเร็วแค่ไหน เช่นเดียวกับเครื่องมือวัดประสิทธิภาพอื่น ๆ DebugBear ทำงานด้วยการฝังสคริปต์ขนาดเล็กลงในหน้าเว็บที่ผู้เข้าชมเปิด ซึ่งทำให้สคริปต์นั้นได้ที่นั่งอันน่าเชื่อถืออยู่ภายในเว็บไซต์
DebugBear ยืนยันผ่าน X ว่าได้ "รับผลกระทบจากเหตุด้านความปลอดภัยที่กำลังเกิดขึ้น" และแจ้งให้ลูกค้าถอดโค้ดฝังของบริษัทออกจากหน้าเว็บ โพลีมาร์เก็ตระบุว่าช่องโหว่อยู่ที่ผู้ให้บริการภายนอกรายนั้น ไม่ใช่ที่แพลตฟอร์มของตนเอง และได้ส่งเรื่องให้หน่วยงานบังคับใช้กฎหมายในอังกฤษ ซึ่งเป็นที่ตั้งสำนักงานใหญ่ของ DebugBear
นักวิจัยของ Hudson Rock บริษัทความมั่นคงไซเบอร์ที่ตรวจสอบโค้ดที่ถูกดัดแปลง ระบุว่าสคริปต์ที่ DebugBear ส่งมานั้นถูกเขียนใหม่ให้ทำสิ่งที่เครื่องมือเฝ้าระวังไม่ควรทำเด็ดขาด นั่นคือค้นหาเซสชันการเทรดที่เปิดอยู่ของผู้ใช้ที่ล็อกอิน ปิดสถานะทุกตำแหน่งที่บัญชีนั้นถืออยู่ แล้วกวาดเงินที่ได้ไปยังกระเป๋าปลายทางที่เขียนฝังไว้ในสคริปต์โดยตรงในฐานะที่อยู่สำรอง บริษัทระบุว่ายังไม่ทราบว่าอะไรเป็นตัวกระตุ้นให้สคริปต์ทำงานกับผู้ใช้แต่ละราย หรือมีคนตกเป็นเหยื่อกี่คน
ตามรอยเงินบนเชน
เพราะทุกการโอนถูกบันทึกลงบนบัญชีธุรกรรมสาธารณะ ผลที่ตามมาจึงมองเห็นได้ในแบบที่การเจาะระบบส่วนใหญ่ทำไม่ได้ การวิเคราะห์กระเป๋าเงินของผู้ต้องสงสัยใบหนึ่งนับยอดเงินที่ถูกดูดออกไปกว่า 2.5 ล้านดอลลาร์ ผ่านธุรกรรมแยกกันกว่า 900 รายการ ซึ่งเป็นร่องรอยของสคริปต์ที่ทำงานซ้ำแล้วซ้ำเล่าเมื่อบัญชีต่าง ๆ เปิดหน้าเว็บที่ถูกวางยา
กระเป๋าเงินใบนั้น 0x3f99...fc18 ปัจจุบันถือ POL อยู่ราว 2.65 ล้านดอลลาร์ โดย POL เป็นโทเคนประจำเครือข่าย Polygon ที่โพลีมาร์เก็ตทำงานอยู่บนนั้น อ้างอิงข้อมูลจาก Arkham แพลตฟอร์มวิเคราะห์บล็อกเชน ตัวเลขสองจำนวนนี้ไม่ใช่การวัดแบบเดียวกันและไม่ควรนำมาบวกรวมกัน จำนวนหนึ่งคือยอดรวมที่ถูกกวาดออกจากบัญชี ส่วนอีกจำนวนคือสิ่งที่กระเป๋าเงินถืออยู่ในขณะนี้หลังจากเงินที่ขโมยมาถูกแปลงเป็น POL
เทรดเดอร์ที่ตกเป็นเหยื่อ
สำหรับคนที่อยู่อีกฝั่งหนึ่ง ตัวเลขเหล่านี้ไม่ใช่เรื่องนามธรรม เทรดเดอร์ที่โพสต์ในชื่อ CarOnPolymarket เขียนบน X ว่ามีเงิน 800,000 ดอลลาร์ถูกดึงออกจากบัญชีของเขา และเพื่อนรายหนึ่งสูญเงินไปราว 600,000 ดอลลาร์ ข้ออ้างเหล่านี้เป็นคำกล่าวของเทรดเดอร์เองและยังไม่ได้รับการยืนยันอย่างเป็นอิสระ ทั้งยังแยกต่างหากจากยอดรวมในกระเป๋าเงิน ไม่ได้เป็นส่วนหนึ่งของยอดนั้น
การที่ Hudson Rock ยอมรับว่ายังนับจำนวนเหยื่อไม่ได้นั้นสำคัญตรงนี้ เพราะเครื่องมือดูดเงินนี้ไม่จำเป็นต้องให้ผู้ใช้กดอนุมัติอะไรหรือคลิกลิงก์อันตราย หากสคริปต์ทำงานอยู่ภายในเซสชันที่พวกเขาเปิดและไว้ใจอยู่แล้ว เงินก็สามารถหายออกไปได้ขณะที่หน้าเว็บยังดูปกติ
คำมั่นของโพลีมาร์เก็ต และสิ่งที่ยังไม่ได้พูดถึง
ถ้อยแถลงต่อสาธารณะของโพลีมาร์เก็ตชัดเจนในเรื่องเงิน ว่า "เราจะตัดสินเรื่องนี้ให้ถูกต้องและกำลังชดใช้คืนเต็มจำนวนให้เทรดเดอร์ที่ได้รับผลกระทบทุกราย" และอีกข้อความหนึ่งว่า "ทุกคนที่ได้รับผลกระทบจะได้รับการชดเชยเต็มจำนวน" บริษัทระบุว่าการซื้อขายจะกลับมาราว 15.00 น. ตามเวลา ET ในวันเดียวกัน เมื่อควบคุมปัญหาได้แล้ว
บริษัทใช้ถ้อยคำระมัดระวังกว่าเมื่อพูดถึงตัวความเสียหาย โดยระบุเพียงว่าได้พบและตัดสิน "ปัญหา" หนึ่ง และไม่ได้ยืนยันด้วยถ้อยคำของตัวเองว่ามีผู้ใช้สูญเงินจริง ทั้งที่เทรดเดอร์และการวิเคราะห์ข้อมูลบนเชนต่างบรรยายภาพบัญชีหลักหกหลักที่ถูกดูดจนเกลี้ยงแบบเรียลไทม์ รายละเอียดกลไกการคืนเงินก็ไม่ได้ถูกอธิบายไว้ในแถลงการณ์นั้นเช่นกัน เงื่อนไขที่มีการรายงานออกมา ซึ่งโพลีมาร์เก็ตยังไม่ได้เผยแพร่เอง ระบุเส้นแบ่งไว้ที่ 10,000 ดอลลาร์ โดยความเสียหายที่ต่ำกว่านั้นจะได้รับการคืนภายในวันศุกร์ ส่วนการเรียกร้องที่สูงกว่าต้องลงนามในแบบฟอร์มสละสิทธิ์ ตราบใดที่บริษัทยังไม่ยืนยัน ก็ควรถือว่าเพดานตัวเลขนี้ยังไม่ได้รับการยืนยัน
การถูกดูดเงินครั้งที่สามของปี 2026
นี่ไม่ใช่ครั้งแรกของโพลีมาร์เก็ตในปีนี้ ราวเดือนพฤษภาคม มีเงินราว 700,000 ดอลลาร์ถูกดูดออกจากวอลเล็ตเติมเงินภายในหลังจากกุญแจส่วนตัว (private key) ถูกเจาะ ต่อมาราวเดือนมิถุนายน ผู้โจมตีอาศัยช่องโหว่จากผู้ให้บริการภายนอกที่ถูกเจาะ เพื่อฝังโค้ดหน้าบ้านที่เป็นอันตราย และดึงเงินไปเกือบ 3 ล้านดอลลาร์ แม้จะมาจากบัญชีไม่ถึง 15 บัญชี และโพลีมาร์เก็ตก็ให้คำมั่นว่าจะคืนเงินเต็มจำนวนในครั้งนั้นเช่นกัน
เส้นที่ร้อยเรื่องทั้งหมดเข้าด้วยกันคือหน้าบ้าน (front end) การออกแบบของโพลีมาร์เก็ตเป็นแบบ non-custodial หมายความว่าเงินของผู้ใช้อยู่ในวอลเล็ตที่ผู้ใช้ควบคุมเอง ไม่ได้อยู่ในบัญชีของบริษัท ซึ่งโดยหลักแล้วควรทำให้การถูกเจาะเซิร์ฟเวอร์มีอันตรายน้อยลงมาก แต่หน้าเว็บที่เอื้อมเข้าไปในวอลเล็ตนั้นเพื่อวางและปิดการเทรด กลับประกอบขึ้นจากโค้ดที่เขียนโดยบริษัทอื่น และในปี 2026 โค้ดจากภายนอกเหล่านี้ก็กลายเป็นช่องทางเข้ามาซ้ำแล้วซ้ำเล่า
ทำไมเรื่องนี้จึงสำคัญต่อเทรดเดอร์ในบ้านเรา
ตลาดที่ล่มไปคือตลาดที่สำคัญต่อผู้ใช้ในประเทศ เทรดเดอร์ชาวอิสราเอลใช้ Polymarket.com ซึ่งเป็นแพลตฟอร์มระดับสากล ไม่ใช่หน่วยงานแยกในสหรัฐฯ การถูกเจาะยังเกิดขึ้นในจังหวะที่ลำบากต่อความน่าเชื่อถือของแพลตฟอร์มในสายตาผู้ใช้กลุ่มนี้ เพราะเกิดขึ้นเพียงไม่กี่วันหลังโพลีมาร์เก็ตเปิดการสอบสวนกรณีการซื้อขายโดยใช้ข้อมูลภายใน จากสถานะที่น่าสงสัยในตลาดการเลือกตั้งอิสราเอลสัปดาห์นี้ ซึ่งเป็นคำถามเกี่ยวกับผลของเนทันยาฮูและพรรคลิคุดที่ได้ทำให้ประเด็นความสุจริตของแพลตฟอร์มกลายเป็นที่พูดถึงในวงสนทนาระดับประเทศอยู่ก่อนแล้ว
การคืนเงินอาจชดเชยเทรดเดอร์ให้กลับมาเท่าเดิมได้ แต่ไม่ได้ช่วยปิดประตูที่ผู้โจมตีเดินผ่านเข้ามาเลย วิธีแก้ที่โพลีมาร์เก็ตและ DebugBear เลือกใช้นั้นตรงไปตรงมา คือดึงสคริปต์มอนิเตอร์ออกจากหน้าเว็บ ซึ่งคืนบัญชีให้และหยุดตัวดูดเงินรายนี้ได้ แต่ก็ยังทิ้งข้อเท็จจริงใหญ่ของปี 2026 ไว้ตามเดิม นั่นคือส่วนที่ปลอดภัยที่สุดของโพลีมาร์เก็ตคือวอลเล็ตที่คุณควบคุมเอง ส่วนที่อันตรายที่สุดคือโค้ดที่บริษัทยอมให้คนอื่นโหลดเข้ามาวางไว้ข้างๆ มัน
