Polymarket вводит 48-часовую блокировку на вывод средств после взлома скрипта вендора на $2,7 млн

Polymarket добавил новую настройку, которая позволяет пользователям выводить средства только на предварительно одобренные кошельки.

Нововведение появилось примерно через две недели после инцидента, когда взломанный скрипт вывел около 2,7 миллиона долларов со счетов пользователей. 

Что делает новая функция блокировки вывода средств в Polymarket?

Джош Стивенс, вице-президент Polymarket по инженерным разработкам, анонсировал в понедельник что Polymarket внедрит новую функцию, позволяющую отправлять выводы средств только на ранее одобренные кошельки. Об этом было объявлено в посте в X от аккаунта @devjoshstevens. 

Добавление нового адреса кошелька к учетной записи пользователя занимает всего два шага. Трейдер должен подтвердить запрос по электронной почте, а затем подождать 48 часов. Если трейдер не инициировал этот запрос, он может отменить его прямо из письма.

При наличии этой меры злоумышленники больше не смогут отправлять средства на новый кошелёк, не пройдя проверку по электронной почте и не выждав требуемые два дня. Стивенс отметил, что цель заключается в том, чтобы гарантировать невозможность для злоумышленников переводить деньги на любые адреса, которыми не владеет пользователь.

Однако эта блокировка не устраняет коренную проблему взлома, с которым столкнулся Polymarket всего две недели назад. В результате этой атаки с пользовательских счетов было выведено около 2,7 млн долларов. Атака была осуществлена через сторонний скрипт, запущенный на сайте Polymarket и имевший доступ к активным сеансам.

Polymarket уже сталкивался с подобной проблемой ранее в этом году, в июне, когда атака с использованием стороннего скрипта привела к выводу около 3 млн долларов как минимум с 11 кошельков, согласно ранее опубликованным сообщениям Cryptopolitan. Взлом провайдера аутентификации в декабре 2025 года также затронул пользовательские аккаунты. 

Во всех этих случаях речь шла о внешних поставщиках, однако ничего не связывает их с одним и тем же злоумышленником.

Как именно произошёл взлом Polymarket и что будет дальше?

Октября 29, Polymarket приостановил торговлю на своей международной платформе после того, как злоумышленники захватили контроль над скриптом от компании DebugBear, британской фирмы, занимающейся мониторингом скорости веб-сайтов. Этот скрипт был заменён на код, предназначенный для опустошения кошельков.

Исследователи из Hudson Rock обнаружили, что код проверял, авторизован ли посетитель на Polymarket. Затем он считывал их балансы и открытые позиции. Наконец, с помощью собственных торговых инструментов сайта позиции продавались, а деньги отправлялись на кошелёк злоумышленника. 

Hudson Rock также обнаружил, что код сайта Polymarket фиксировал удаление скрипта. В Polymarket сообщили, что передали дело в правоохранительные органы. 

По данным Bitquery, злоумышленники вывели 2,73 млн долларов с 737 аккаунтов примерно за один час — с 17:10 до 18:10 UTC. Они совершили 985 выводов средств, и каждый из них сопровождался действительным одобрением (approval). Смарт-контракты поэтому рассматривали эти операции как реальные действия пользователей. 

Один аккаунт потерял 358 369 долларов в ходе одного вывода, тогда как 276 аккаунтов потеряли менее 100 долларов каждый. Ещё у 33 пользователей были изъяты доли в предиктивных рынках.

В Polymarket заявили, что компенсируют убытки всем пользователям, но сначала будут возмещены потери тем, кто потерял менее 10 000 долларов.

Binance и Polymarket также обратились к валидаторам Polygon одобрить хардфорк. Хардфорк — это изменение программного обеспечения сети, которое должны принять все валидаторы. В результате этого хардфорка из кошельков злоумышленников будет выведено около 70,49 млн замороженных токенов POL на сумму примерно 6,5 млн долларов. Предложение было опубликовано 4 ноября и представлено на созвоне по управлению Polygon 5 ноября. Дата голосования и его проведение пока не определены. 

Другие компании также ужесточают меры безопасности. Во вторник, как сообщается, после взлома Binance на сумму 6,3 млрд долларов компания CertiK заявила, что биржи должны устанавливать жесткие лимиты в долларах на сумму средств, хранимых в горячих кошельках, вместо того чтобы полагаться только на долю средств в холодном хранении.