Polymarket остановила торги: хакеры получили доступ к средствам пользователей через сторонний сервис

Polymarket на час остановила трейдинг на международной платформе: хакеры получили контроль над сервисом мониторинга DebugBear, которым пользовался сайт, и через него украли деньги пользователей. Страница статуса биржи зафиксировала инцидент 29 октября 2026 года. С 21:05 мск платформа работала в ограниченном режиме: ордера можно было только отменять, новые не принимались.

Смарт-контракты Polymarket не взломали. Атака пришла через сторонний сервис, который загружался на сайт вместе с остальным кодом.

Как работала атака

DebugBear — сервис, который следит за скоростью и работой сайта. Хакеры подменили его скрипт, и вместе с ним на polymarket.com попал вредоносный код. Он действовал от имени самого пользователя, уже вошедшего в аккаунт: продавал его позиции и выводил средства. Подтверждать операции вручную не требовалось. Исследователи из Hudson Rock, изучившие скрипт, пишут, что он забирал из браузера данные для входа и ключи доступа к торговле.

Polymarket убрала скрипт DebugBear с сайта около 20:59 мск, незадолго до введения ограничений.

Реакция компаний

В 21:33 мск Polymarket сообщила в соцсети X, что проблема найдена и устранена, один из сторонних поставщиков был скомпрометирован, а дело передано правоохранительным органам. Компания пообещала возместить ущерб всем пострадавшим. В 22:05 мск статус-аккаунт платформы подтвердил, что сайт снова работает. DebugBear в соцсети X попросил клиентов удалить его код со своих сайтов.

Сколько украли

Итоговая сумма пока не названа. Аналитики связали атаку с адресом в сети Polygon, на котором накопилось около 28,6 млн токенов POL — примерно $2,65 млн. Владелец аккаунта Car заявил о потере около $800 000. Американская версия Polymarket, по сообщениям, не пострадала.

Это второй подобный случай в 2026 году: в июне через другого поставщика вывели около $2,94 млн. Пользователям, которые заходили на сайт во время атаки, советуют не подключать кошельки и не подписывать транзакции до проверки.

Ограничения на платформе продлились около часа, торговля возобновилась. Компания передала дело правоохранителям и обещает компенсации пострадавшим.

Мнение ИИ

С точки зрения машинного анализа данных история с DebugBear напоминает не взлом сейфа, а кражу запасного ключа у соседа. Аудит проверяет смарт-контракты в блокчейне, но не сторонний код, который подгружается прямо в браузер пользователя. Похожая схема сработала в августе: хакеры получили доступ к аккаунту разработчика библиотеки keyv и встроили вирус в новые версии, а Aikido Security насчитала минимум 444 заражённых пакета. Различается лишь мишень: там это компьютер программиста, здесь открытая торговая сессия. Цепочка поставщиков остаётся риском, который не попадает ни в аудиторские отчёты, ни на страницы статуса.