Polymarket перевёл торговлю в режим отмены ордеров: компания подтвердила взлом подрядчика и обещает возместить потери

Polymarket остановил все новые сделки 29 октября. В 18:05 по UTC на странице статуса платформы появилась отметка о критической сбое, система перешла в режим, где доступна только отмена незавершённых ордеров. Купить или продать позиции нельзя.

Одновременно Polymarket остановил свой релейер — сервис, который, согласно документации разработчиков, отправляет переводы токенов и подтверждения на списание с кошельков пользователей от их имени. Пока релейер не работает, операции с токенами через платформу не проходят.

Заявления о списаниях

За 20 минут до остановки торгов трейдер, известный в X под ником Car, предупредил других пользователей о потерях. По его словам, с его счёта списали $800 000 ≈ 2,36 млн BYN, ещё $600 000 ≈ 1,77 млн BYN потерял его знакомый. Общий объём заявленных потерь он оценил в $1,4 млн ≈ 4,12 млн BYN.

«Если вы пользуетесь Polymarket, срочно закройте свой аккаунт. Только что у меня списали $800 000. Затронуты и другие аккаунты. Друг потерял $600 000. Будьте осторожны, не взаимодействуйте с сайтом», — написал он. В следующем посте трейдер уточнил, что все позиции в его аккаунте были проданы.

Позже Polymarket подтвердил, что скомпрометирован один из его сторонних провайдеров. «Мы передали это в соответствующие правоохранительные органы. Всем, кто пострадал, убытки будут возмещены», — говорится в сообщении компании в X. Компания также сообщила, что выявила и устранила проблему, затронувшую международную платформу Polymarket.com.

Кошелёк атакующего и скрипт на сайте

По данным Arkham, кошелёк, помеченный как принадлежащий предполагаемому атакующему, — 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 — держит около $2,65 млн ≈ 7,81 млн BYN в POL, нативной монете Polygon. На него прошло несколько недавних обменов USDC.e, мостовой версии стейблкоина USDC, в POL через Relay, сервис кросс-чейн-обмена. Первые транзакции начались примерно за час до сообщений о списаниях; в последние минуты перед публикацией кошелёк активности не проявлял.

Исследователи Hudson Rock сообщили, что скрипт, загружаемый с DebugBear — сервиса мониторинга производительности сайтов, — содержит код, который ищет торговую сессию залогиненного пользователя и пытается продать его позиции и перевести активы. Тот же адрес кошелька жёстко прописан в скрипте как получатель по умолчанию, а в коде рабочего сайта Polymarket зафиксировано удаление этого скрипта. Как именно произошла компрометация и сколько пользователей затронуто, Hudson Rock не установили.

Причину списаний Polymarket не назвал. Компания не связывает технический сбой с выводом средств, число пострадавших и общий объём потерь не раскрыты. Была ли взломана платформа, тоже не сообщается.

Что было в июне

В июне злоумышленники изменили часть кода стороннего провайдера, работавшего на сайте Polymarket. Подменённый сайт предложил части пользователей утвердить перевод средств из их кошельков на адреса атакующих. Менее чем с 15 аккаунтов вывели около $3 млн ≈ 8,84 млн BYN в pUSD — токене, привязанном к доллару и используемом как обеспечение сделок.

Смарт-контракты, в которых хранятся средства пользователей, тогда не пострадали. Polymarket обещал полностью возместить убытки каждому пострадавшему: «Мы полностью возвращаем средства пострадавшим пользователям, никто ничего не потеряет».

Средства на платформе не застрахованы ни биржевым гарантийным фондом, ни страховкой: Polymarket — не биржа, а рынок предсказаний, и ответственность за сохранность ключей и подтверждения транзакций лежит на самом пользователе. Тем, у кого открыты позиции, остаётся следить за страницей статуса и не подтверждать переводы, пока причины инцидента не названы. Проверить, не связан ли адрес кошелька с известными кражами, можно через проверку кошелька.