У Polymarket виявили збій у формі реєстрації, який, за повідомленнями, наприкінці липня дозволив зловмисникам, що мали викрадені персональні дані, отримати доступ майже до 500 чинних акаунтів у США разом із прив’язаними платіжними інструментами.
Ключові тези:
- Помилка в реєстрації, ймовірно, дозволяла будь-кому з персональними даними трейдера заходити в його активний акаунт без логіна і пароля
- Під загрозою опинилися банківські рахунки та дебетові картки, прив’язані до профілів; частина користувачів каже про втрати на тисячі доларів і мовчання сапорту
- Інцидент стався після хвилі шахрайства в лютому, коли зловмисники намагалися прокрутити щонайменше $10 млн через викрадені дебетові картки
Збій у Polymarket відкрив доступ до акаунтів трейдерів
Будь-хто, хто відкривав новий акаунт, використовуючи персональні дані чинного трейдера — наприклад, викрадений номер Social Security, — за повідомленнями, одразу потрапляв до живого профілю цього користувача, йдеться в журналістському розслідуванні, опублікованому в суботу https://www.theblock.co/news/regulation/2026-09-20-polymarket-faced-10-million-fraud-attempt-as-its-ceo-pushed-growth-over-compliance-concerns-wsj-415875.
Для цього не потрібні були ані ім’я користувача, ані пароль, ані зламаний телефон — доступними ставали й банківські рахунки та дебетові картки, прив’язані до таких профілів.
За словами джерела, обізнаного з ситуацією, загальна сума викраденого була невеликою, однак конкретної цифри не назвали. Водночас речниця компанії заявила, що Polymarket компенсує кошти, втрачені через цей інцидент. Самі користувачі описували іншу картину: втрати на тисячі доларів і тижні без відповіді від служби підтримки.
Один із трейдерів розповів, що в липні зайшов у свій акаунт і побачив, що його позиції продано, а $5 783,51 прибутку виведено на чужу дебетову картку. За його словами, компанія зарахувала на рахунок лише $25, не дала пояснень, а згодом ще й заморозила акаунт після того, як він двічі подав дані для верифікації.
Також читайте: Прогнози для Nvidia на 2030 рік показали розбіг від $727 до $28 560
Попередження Checkout.com передувало реакції Coplan
Цей збій у доступі до акаунтів стався після ширшої хвилі шахрайства в лютому, коли зловмисники прив’язували викрадені дебетові картки до тисяч нових акаунтів у США та намагалися провести операції щонайменше на $10 млн. Платіжний провайдер Checkout.com певний час відхиляв понад 80% депозитів як шахрайські — проти середнього показника в галузі близько 1%. До травня рівень шахрайства повернувся до норми після того, як компанія обмежила кількість дебетових карток на один акаунт і залучила антифрод-підрядника Riskified.
Питанням compliance зайнялися співробітники, які звернулися до CEO Shayne Coplan. За спогадами нинішніх і колишніх працівників, він нібито запропонував і далі нарощувати бізнес, а якщо регулятори щось виявлять — просто сплатити штраф. За словами людей, яких опитували для матеріалу, така відповідь приголомшила команду.
Безпека Polymarket опинилася під посиленим тиском
Аналітики ставлять під сумнів , чи не випередило зростання компанії її комплаєнс-процедури. Нині Polymarket шукає фінансування з оцінкою близько $21 млрд. Водночас зазначається, що сума $10 млн стосується спроби крадіжки, а не підтверджених втрат. Polymarket запевняє, що посилив системи безпеки, а внутрішня перевірка юридичної фірми Sullivan & Cromwell дійшла висновку, що компанія дотримувалася вимог регуляторів.
Липневий збій став кульмінацією непростого періоду для платформи, яка досі не оприлюднила публічний розбір інциденту з реєстрацією. У червні компанія підтвердила, що скомпрометований підрядник вніс шкідливий скрипт на її сайт, а зловмисники вивели близько $3,1 млн із 11 гаманців користувачів, після чого було обіцяно повне відшкодування.
Читайте далі: Google Gemini зламав 3 компанії у перших відомих автономних атаках
