У четвер Полімаркет зупинив торги на своїй міжнародній біржі після того, як зловмисники перетворили код стороннього довіреного постачальника на інструмент, що виводив гроші напряму з рахунків авторизованих користувачів: на один гаманець, який підозрюють у причетності до атаки, надійшло понад 2,5 млн доларів. Компанія, що стоїть за найбільшою у світі біржею ринків прогнозів, де трейдери купують і продають контракти на результати виборів, спортивних подій та новин, повідомила, що виявила й усунула проблему, передала справу британським правоохоронцям, а всім, хто втратив кошти, відшкодують збитки в повному обсязі.

Збій торкнувся Polymarket.com, міжнародного (не американського) майданчика, яким користуються трейдери за межами США, і перевів біржу в режим «лише скасування» з призупиненим приблизно на годину автоматичним релеєром. Це вже третій випадок у 2026 році, коли зловмисники дісталися до користувачів Полімаркету через скомпрометованого постачальника або ключ, і другий цьогоріч, що пройшов через код, який виконується всередині самого вебсайту.

Скрипт моніторингу перетворився на дренажник

Слабким місцем виявилися не власні сервери Полімаркету й не блокчейн, де зберігаються кошти. Ним стала DebugBear, британська компанія, якій Полімаркет платив за відстеження того, наскільки швидко завантажується й працює його сайт. Як і більшість сервісів моніторингу продуктивності, DebugBear вбудовує невеликий скрипт у сторінки, які відкриває відвідувач, і це дає скрипту довірене місце всередині сайту.

DebugBear підтвердила в X, що її «зачепив триваючий інцидент безпеки», і порадила клієнтам прибрати її вбудований код зі своїх сторінок. Полімаркет заявив, що вразливість була на боці зовнішнього постачальника, а не його власної платформи, і передав справу правоохоронцям у Британії, де розташована штаб-квартира DebugBear.

Дослідники Hudson Rock, фірми з кібербезпеки, яка вивчала підмінений код, повідомили, що наданий через DebugBear скрипт переписали так, аби він робив те, чого інструмент моніторингу не повинен робити ніколи: знаходив активну торгову сесію авторизованого користувача, закривав усі позиції на рахунку й відправляв виручені кошти на гаманець призначення, адресу якого вписали просто в код як резервну. У фірмі зазначили, що поки не знають, що саме запускало скрипт для конкретного користувача й скількох людей він зачепив.

Слідами грошей у блокчейні

Оскільки кожен переказ потрапляє в публічний реєстр, наслідки видно так, як рідко буває при зламах. Аналіз одного гаманця, який підозрюють у причетності до атаки, нарахував понад 2,5 млн доларів, виведених більш ніж 900 окремими транзакціями: це характерний почерк скрипта, що спрацьовував знову і знову, коли різні рахунки відкривали отруєну сторінку.

На цьому гаманці, 0x3f99...fc18, зараз зберігається близько 2,65 млн доларів у POL, нативному токені Polygon, мережі, на якій працює Полімаркет, за даними аналітичної платформи Arkham. Дві ці цифри вимірюють різне, і їх не можна додавати: одна показує загальну суму, виведену з рахунків, інша - те, що лежить на гаманці зараз, після конвертації викрадених коштів у POL.

Трейдери, які потрапили під удар

Для людей по той бік ці цифри не абстрактні. Трейдер, що пише під іменем CarOnPolymarket, заявив у X, що з його рахунку забрали 800 000 доларів, а його знайомий втратив близько 600 000 доларів. Це твердження самого трейдера, яке не перевірене незалежно, і воно окреме від сум на гаманці, а не частина їх.

Визнання Hudson Rock, що фірма поки не може порахувати постраждалих, тут має значення: дренажнику не потрібно було, щоб користувачі щось підтверджували чи переходили за шкідливим посиланням. Якщо скрипт працював усередині вже відкритої й довіреної сесії, гроші могли піти, поки сторінка все ще мала звичний вигляд.

Обіцянка Полімаркету і те, про що вона промовчала

Публічна заява Полімаркету щодо грошей була недвозначною: «Ми все виправимо й повністю відшкодуємо збитки всім постраждалим трейдерам», а також окремо, що «кожному, кого це зачепило, компенсують втрати в повному обсязі». У компанії повідомили, що торги відновляться того ж дня близько 15:00 за східним часом, щойно проблему вдасться локалізувати.

У своїх формулюваннях щодо самих збитків компанія була обережнішою. Вона повідомила, що виявила й усунула «проблему», але власними словами не підтвердила, що користувачі втратили кошти, хоча трейдери та аналітика в блокчейні описували, як у реальному часі спустошувалися шестизначні рахунки. Механіку відшкодування в тій заяві теж не розписали. За наведеними умовами, які сам Полімаркет не оприлюднював, межу встановлено на рівні 10 000 USD: менші збитки відшкодовують до п’ятниці, а за більшими вимагають підписаної форми про відмову від претензій. Доки компанія цього не підтвердить, цей поріг варто вважати неперевіреним.

Третє спустошення рахунків у 2026 році

Для Полімаркету цьогоріч це не вперше. Приблизно в травні з внутрішнього гаманця поповнення вивели близько 700 000 USD після компрометації приватного ключа. Приблизно в червні зловмисники скористалися скомпрометованим стороннім підрядником, щоб впровадити шкідливий код у фронтенд, і вивели майже 3 млн USD, хоча й менш ніж із 15 рахунків; тоді Полімаркет також пообіцяв повне відшкодування.

Спільний знаменник усіх випадків: фронтенд. Полімаркет побудований за некастодіальною моделлю, тобто кошти користувача зберігаються в гаманці, який контролює він сам, а не на рахунку компанії, і це мало б робити злам сервера значно менш небезпечним. Але сторінка, яка звертається до цього гаманця, щоб відкривати та закривати позиції, зібрана з коду, написаного іншими компаніями, і у 2026 році саме цей потік зовнішнього коду раз за разом ставав точкою входу.

Чому це важливо для тутешніх трейдерів

Майданчик, який пішов у офлайн, є ключовим саме для місцевого ринку: ізраїльські трейдери користуються Polymarket.com, міжнародним майданчиком, а не окремим американським підрозділом. Злам стався й у незручний для репутації платформи момент. Він припав лише на кілька днів після того, як Полімаркет відкрив розслідування щодо інсайдерської торгівлі через підозрілі позиції, відкриті на цьому тижні навколо виборів в Ізраїлі: питання щодо результатів Нетаньягу та «Лікуду» вже раніше винесли тему добропорядності платформи в місцеву дискусію.

Відшкодування може повернути трейдеру його кошти, але воно ніяк не зачиняє ті двері, крізь які зайшли зловмисники. Рішення, до якого вдалися Полімаркет і DebugBear (компанія, що відстежує продуктивність вебсторінок), було прямолінійним: вирвати скрипт моніторингу зі сторінки. Це відновлює рахунки й зупиняє цього конкретного «зливача» коштів, однак головний факт 2026 року залишається незмінним: найбезпечніша частина Полімаркету це гаманець, який контролюєте ви, а найнебезпечніша це код, який компанія дозволяє стороннім особам завантажувати поруч із ним.