مشاكل بوليماركت الأمنية قد لا تكون في طريقها إلى النهاية

فتحت Polymarket التداول مرة أخرى في بورصتها الدولية في 29 أكتوبر 2026، بعد أن أُجبرت على الإغلاق لفترة وجيزة بسبب سكربت مراقبة مُخترق. أوقفت البورصة الطلبات، وعلّقت أنشطة المُعيد (relayer)، ووعدت العملاء باسترداد أموالهم. ولم تتأثر المنصة الأمريكية المستقلة.

سكربت مراقبة كان يمتد إلى جلسات التداول الحية

اكتشف Hudson Rock حمولة ضارة بحجم 15,187 بايت في نص مراقبة المستخدم الحقيقي (Real User Monitoring) الخاص بـ DebugBear. تمكّن هذا النص من الوصول إلى معلومات الحسابات المحفوظة، واكتشاف تفاصيل العملاء المصرّح لهم للتجار، والمحاولة بيع المراكز المالية وكذلك نقل الرموز الرقمية.

أظهرت أيضًا أكواد موقع Polymarket أن سكريبت DebugBear قد تمت إزالته. يبدو أن الهجوم استغل الكود الذي يعمل على الموقع، بدلاً من وجود ثغرة في عقودها الذكية.

وضع الإلغاء فقط، ثم الإصلاح بحلول 3 مساءً بتوقيت شرق الولايات المتحدة

وضعت Polymarket المنصة الدولية في وضع الإلغاء فقط في 29 أكتوبر 2026. وذكرت حسابها الرسمي أن مزود الخدمة قد تعرض للاختراق وأن القضية أحيلت إلى سلطات إنفاذ القانون في المملكة المتحدة.

في 29 أكتوبر 2026، حوالي الساعة 3 مساءً بتوقيت شرق الولايات المتحدة، استؤنفت عمليات التداول في Polymarket. وأعلنت الشركة عن سياسة الاسترداد الخاصة بها. ووفقاً لـ تقرير CNBC، من المتوقع أن يتلقى العملاء الذين خسروا أقل من 10,000 دولار استرداد أموالهم بحلول 30 أكتوبر 2026. في المقابل، يحتاج عملاء الشركة الذين خسروا أكثر من هذا المبلغ إلى توقيع نموذج إعفاء أولاً. وعلى الرغم من تواصل الشركة بشأن خطط الاسترداد، إلا أنها لم تؤكد إصدار أي استردادات حتى الآن.

أبلغت DebugBear عملاءها بسحب كودها

كما اعترفت DebugBear بوجود مشكلة أمنية. في 29 أكتوبر 2026، حثت الشركة العملاء على إزالة كود المراقبة الخاص بها بينما يقوم المستجيبون المتخصصون بالتحقيق.

نحن متأثرون بحادث أمني مستمر. إذا كنت تستخدم منتجنا RUM، يرجى إزالة كود التضمين من موقعك الإلكتروني.

— DebugBear (@DebugBear) أكتوبر 29، 2026

سلط التحذير الضوء على قلق أوسع نطاقًا. يمكن للبرامج النصية التابعة لجهات خارجية العمل داخل مواقع ويب شرعية. وإذا تم اختراقها، فقد تحصل على وصول إلى جلسات المستخدمين النشطة في المتصفح.

التقديرات الأولية للخسائر مقابل الخسائر المؤكدة

حتى الآن، لا يزال الضرر المالي غير واضح. وتتبع Betting Intelligence وPolysights ما لا يقل عن 2.7 مليون دولار من عمليات السحب التي شملت 710 محفظة رقمية في 29 أكتوبر 2026، وفقاً لما أفادت به CNBC.

في غضون ذلك، حددت Hudson Rock حوالي 2.19 مليون دولار عند عنوان مستلم احتياطي. ومع ذلك، لا يثبت هذا الرصيد مقدار ما تم سرقته. لم تؤكد Polymarket بعد إجمالي الخسائر.

فشلان سابقان للموردين، بدون سبب مشترك

لم تكن هذه أول مشكلة أمنية لـ Polymarket تتعلق بمورّديها. في يونيو 2026، أفادت Halborn وTechCrunch بهجوم باستخدام نص برمجي ضار. وقد تم على ما يبدو سحب حوالي 3 ملايين دولار من ما لا يقل عن 11 محفظة. وتعهدت Polymarket وقتها برد المبالغ.

في وقت سابق، خلال ديسمبر 2025، أثرت اختراقات لموفري المصادقة على حسابات المستخدمين. وثّق كل من Cryptopolitan وCertiK الحادث.

شاركت جميع الحالات الثلاث مزودين خارجيين. ومع ذلك، لا توجد أدلة تربطهم بنفس المهاجم أو السبب الجذري نفسه.

ما تعنيه التعرضات المتكررة للمورّدين لقطاع تبلغ قيمته 78 مليار دولار

تأتي هذه الحوادث المتكررة مع جذب أسواق التنبؤ لأنشطة تداول أكثر. وسجل تقرير مستند إلى بيانات Artemis حجم تداول بلغ 76.46 مليار دولار عبر الأسواق التي يتم تتبعها في سبتمبر 2026. وقد شكلت Polymarket منها 13.12 مليار دولار. وتمثل هذه الأرقام نشاط التداول وليس الأصول المحتفظ بها.

يُبرز هذا النمو مخاوف الأمان بشكل أكثر وضوحاً. تحذر CertiK من أن المنصات التي تجمع بين خدمات الويب التقليدية وتقنية البلوكشين لا تزال قد تعاني من ثغرات مركزية.

يمكن لهذه المخاطر أيضاً أن تثبّط المستثمرين المؤسسيين. ووفقاً لـ Jefferies، تظهر صناديق التحوط اهتماماً لكنها تبقى حذرة. ولا تزال مخاوف السيولة والامتثال والسمعة تحجزها.

وفي الوقت نفسه، تسلط KPMG الضوء على المسؤوليات المختلفة للبائعين والوسطاء والبورصات ومراكز المقاصة. يجب على البورصات الخاضعة للتنظيم في الولايات المتحدة تلبية متطلبات المراقبة وحماية الأنظمة وحماية المشاركين. ومع ذلك، لا تنطبق هذه القواعد تلقائياً على Polymarket International.

بالنسبة لـ Polymarket، استعادة النشاط التجاري هي فقط جزء من التحدي. أما الاختبار الأكبر فهو قدرتها على إدارة المخاطر الناتجة عن المزودين الخارجيين واستعادة ثقة المستخدمين.