Взлом Polymarket: торги встали, игрок кричит о потере $800 тысяч

Polymarket, крупнейшую в мире платформу ставок на исходы событий, вечером 29 октября пришлось срочно замораживать. Около 21:05 по Москве биржа перешла в режим, где можно только отменять заявки: новые ставки не принимаются, ретранслятор, который подписывает переводы за пользователей, остановлен.

Через полчаса компания признала проблему на своей странице статуса. По её словам, взломали одного из сторонних подрядчиков, дыру уже нашли и закрыли, дело передали правоохранителям, а всем пострадавшим обещают вернуть деньги полностью. Торги пока остановлены «из осторожности», платформу поднимают обратно.

Как именно воровали, Polymarket не расписывала. По жалобам пользователей картина такая: при подключении криптокошелька сайт подсовывал вредоносные запросы на подпись, и тот, кто нажимал «подтвердить», фактически сам отдавал доступ к своим деньгам. Сами смарт-контракты, где лежат средства, судя по всему, никто не ломал, атаковали именно сайт и подгружаемый им чужой код.

Масштаб пока известен только со слов пострадавших. Трейдер под ником Car за двадцать минут до заморозки написал в X, что у него увели около 800 тысяч долларов и распродали все позиции, а у его друга ещё около 600 тысяч. Независимо эти цифры никто не подтвердил, сама компания сумму потерь и число жертв не называет.

Неприятная деталь: в июне у Polymarket уже была похожая история, когда через код внешнего поставщика на сайте у нескольких пользователей вывели около 3 миллионов долларов. Тогда компания тоже всё компенсировала.

Пока платформа не заработает нормально, совет простой: не подключать кошелёк и ничего не подписывать. Децентрализация децентрализацией, а дверь опять открыли через подрядчика.