بوليماركت تفرض قفلًا على السحوبات لمدة 48 ساعة بعد اختراق سكربت مورد بقيمة 2.7 مليون دولار

أضافت Polymarket إعدادًا جديدًا يسمح للمتداولين بإرسال السحوبات فقط إلى محافظ معتمدة مسبقًا.

تأتي الميزة بعد أسبوعين تقريبًا من اختراق نص سرق حوالي 2.7 مليون دولار من حسابات المستخدمين. 

ماذا تفعل قفل السحب الجديد في Polymarket؟

جوش ستيفنز، نائب رئيس الهندسة في Polymarket، أعلن يوم الاثنين أن Polymarket ستضيف ميزة جديدة تسمح للمتداولين بإرسال السحوبات فقط إلى المحافظ المعتمدة سابقًا. تم الإعلان عن ذلك في منشور على X من حساب @devjoshstevens. 

إضافة عنوان محفظة جديد إلى حساب المستخدم يتطلب خطوتين فقط. يجب على المتداول تأكيد الطلب عبر البريد الإلكتروني، ثم الانتظار لمدة 48 ساعة. إذا لم يبدأ المتداول الطلب، يمكنه إلغاءه مباشرة من ذلك البريد الإلكتروني.

وبفضل هذا الإجراء، لن يتمكن المهاجمون بعد الآن من إرسال الأموال إلى محفظة جديدة دون اجتياز التحقق عبر البريد الإلكتروني والانتظار لمدة يومين مطلوبتين. وأوضح ستيفنز أن الهدف هو ضمان عدم قدرة المهاجمين على إرسال الأموال إلى أي عنوان لا يتحكم فيه المستخدم.

ومع ذلك، فإن هذا القفل لا يعالج المشكلة الجذرية للاختراق الذي تعرضت له منصة Polymarket قبل أسبوعين فقط. وقد أدى هذا الاختراق إلى استخراج حوالي 2.7 مليون دولار من حسابات المستخدمين. وتم تنفيذه من خلال سكريبت تابع لطرف ثالث يعمل داخل موقع Polymarket ويتمتع بالوصول إلى الجلسات المباشرة.

واجهت Polymarket مشكلة من هذا النوع في وقت سابق من هذا العام في يونيو، عندما تعرضت لهجوم باستخدام سكريبت من مورد خارجي نتج عنه استخراج حوالي 3 ملايين دولار من ما لا يقل عن 11 محفظة، وفقاً لـ التقارير السابقة من Cryptopolitan. كما تأثرت حسابات المستخدمين باختراق وقع في ديسمبر 2025 على مزود خدمات المصادقة. 

شاركت كل هذه الحالات مزوداً خارجياً، لكن لا توجد روابط تربطها بمهاجم واحد.

كيف حدث اختراق Polymarket، وماذا ينتظرنا؟

في أكتوبر 29، علّقت Polymarket التداول على منصتها الدولية بعد أن استولى المهاجمون على سكريبت تابع لشركة DebugBear البريطانية التي تراقب سرعة المواقع الإلكترونية. وتم استبدال السكربت بكود مصمم لسحب الأموال من المحافظ الرقمية.

اكتشف باحثو شركة Hudson Rock أن الكود يتحقق مما إذا كان الزائر مسجلاً للدخول إلى Polymarket. ثم يقرأ أرصدة المستخدمين والمراكز المفتوحة. وأخيراً، يستخدم أدوات التداول الخاصة بالموقع لبيع المراكز وإرسال الأموال إلى محفظة المهاجم. 

كما وجدت Hudson Rock أن كود موقع Polymarket يسجل إزالة البرنامج النصي. وذكرت Polymarket أنها أحالت القضية إلى سلطات إنفاذ القانون. 

أفادت Bitquery بأن المهاجمين سرقوا 2.73 مليون دولار من 737 حساباً في غضون ساعة واحدة تقريباً، بين الساعة 17:10 و18:10 بتوقيت UTC. وقد قاموا بإجراء 985 عملية سحب، وكانت كل منها تحمل موافقة صالحة. ولذلك تعاملت العقود الذكية معها على أنها إجراءات حقيقية من المستخدم. 

خسر أحد الحسابات 358,369 دولاراً في عملية سحب واحدة، بينما خسر 276 حساباً أقل من 100 دولار لكل منها. كما تم الاستيلاء على أسهم سوق التنبؤات لـ 33 مستخدماً آخر.

أفادت Polymarket بأنها ستعوض جميع مستخدميها، لكن الأشخاص الذين خسروا أقل من 10,000 دولار سيتم رد أموالهم أولاً.

كما أن Binance وPolymarket طلبت Binance وPolymarket أيضاً لموافقة على تفرع صلب. التفرع الصلب هو تغيير في برنامج الشبكة يجب على جميع المدقّقين اعتماده. سيؤدي هذا التغيير إلى نقل حوالي 70.49 مليون عملة POL مجمّدة، بقيمة تقارب 6.5 ملايين دولار، من محافظ المهاجمين. نُشر الاقتراح في 4 نوفمبر وعُرض خلال مكالمة حوكمة Polygon في 5 نوفمبر. ولا تزال عملية التصويت والتاريخ المحدد للانتظار. 

شركات أخرى تشدّد أيضاً من إجراءات الأمن. وفي يوم الثلاثاء، أفادت شركة الأمن السيبراني CertiK، عقب اختراق Binance الذي بلغت قيمته 6.3 مليار دولار، بأنه ينبغي على البورصات وضع حدود مالية صارمة لكمية الأموال التي تحتفظ بها في المحافظ الساخنة، بدلاً من الاعتماد فقط على نسب التخزين البارد.