Платформа предсказательных рынков Polymarket потеряла $3,1 млн после того, как злоумышленники скомпрометировали сторонний фронтенд и вывели средства из 11 пользовательских кошельков.
Собственные аудированные смарт‑контракты платформы в ходе инцидента остались нетронутыми.
Согласно отчёту, украденные токены PUSD были переведены с сети Polygon (POL) в сеть Ethereum (ETH) через кроссчейн‑мост. Polymarket публично не назвала взломанного поставщика фронтенда.
Как была проведена атака
Атаки на поставщиков фронтенда нацелены на веб‑интерфейс, который соединяет пользователей с базовыми контрактами платформы. Смарт‑контракты фактически хранят и управляют средствами, но пользователи взаимодействуют с ними через браузерный слой, создаваемый и поддерживаемый сторонними разработчиками ПО.
В данном случае, по‑видимому, злоумышленники внедрили вредоносный код именно на этом уровне интерфейса. Пользователи, которые взаимодействовали с фронтендом Polymarket в период атаки, столкнулись с перенаправлением своих разрешений кошелька. До обнаружения взлома средства были выведены из одиннадцати кошельков.
Тот факт, что смарт‑контракты прошли аудит, обеспечивает лишь ограниченную защиту, если вектор атаки находится «выше» контрактного слоя.
Усиление регуляторного давления после инцидента безопасности
Polymarket уже давно находится под повышенным вниманием регуляторов с тех пор, как Комиссия по торговле товарными фьючерсами (CFTC) начала расследование в отношении доступа американских пользователей к платформе. Расследование CFTC, которое продолжается и в 2026 году, сосредоточено на том, не являются ли рынки предсказаний Polymarket незарегистрированными товарными контрактами, доступными пользователям из США.
Платформа привлекла широкое внимание во время президентских выборов в США в 2024 году, когда её рынки стали активно цитироваться в СМИ как индикатор шансов кандидатов. Такая видимость одновременно принесла рост пользовательской базы и усиленный интерес регуляторов. Сочетание активного расследования CFTC и резонансного инцидента безопасности создаёт для операторов платформы удвоенное репутационное давление.
Безопасность предсказательных рынков остаётся регулярным предметом беспокойства в отрасли. Атаки на фронтенд особенно сложно предотвращать, поскольку они опираются на компрометацию сторонних поставщиков, а не основного протокола. За последние два года несколько DeFi‑платформ пострадали от аналогичных атак в стиле компрометации цепочки поставок.
Также читайте: Micron становится новой AI‑одержимостью Уолл‑стрит после роста на 236%
Что будет дальше
Polymarket не подтвердила, получат ли пострадавшие пользователи компенсацию. Платформа также не раскрыла личность скомпрометированного поставщика, что затрудняет проведение сторонних проверок безопасности всей цепочки атаки.
Расследование CFTC добавляет дополнительный уровень сложности. Любые публичные заявления о взломе могут пересекаться с текущими регуляторными процедурами. Перемещение украденных средств в Ethereum через мост теоретически позволяет их отследить, однако возврат активов при взломах фронтенд‑поставщиков случается редко без участия правоохранительных органов.
Читайте далее: HIVE только что заняла $115 млн под ноль процентов, чтобы сделать ставку против майнинга биткоина