Polymarket остановил торги вечером 29 октября после кражи порядка $2,65 млн со счетов пользователей. Деньги ушли через взломанного стороннего подрядчика за считанные минуты. Платформа перевела биржу в режим только отмены заявок.
Polymarket - крупнейшая платформа предсказаний. Там покупают и продают контракты на исход события: выборы, матч, решение регулятора. Деньги лежат в собственном кошельке трейдера, а не на счёте биржи.
Почему это важно трейдеру. Аккаунт опустошили, пока человек просто находился на сайте с подключённым кошельком. Площадка обещает возместить потери полностью.
Куда ушли деньги?
Средства собрали на одном адресе. По данным аналитического сервиса Arkham, адрес 0x3F99...fc18 держал около $2,65 млн в POL. POL - базовый токен сети Polygon.
- USDC.e - из этого стейблкоина деньги обменивали серией сделок
- Relay - кроссчейн-сервис, через который шли обмены
- Другие кошельки - туда средства разошлись после обменов
Названные потери. Трейдер под ником CarOnPolymarket заявил о списании $800 000 - это крупнейшая названная потеря. У его знакомого ушло около $600 000. Суммы пользователей не подтверждены независимо.
Почему это случилось?
Причину нашли в чужом коде. По данным Hudson Rock, вредоносный скрипт подгружался с DebugBear. Это сервис мониторинга скорости сайтов.
- Поиск сессии. Код искал активную торговую сессию вошедшего пользователя.
- Распродажа позиций. Скрипт продавал открытые позиции трейдера.
- Вывод активов. Деньги уходили на тот самый адрес, жёстко прописанный в скрипте.
Скрипт убрали. Из рабочего кода сайта его уже удалили.
Что сейчас с платформой?
Новые ордера не проходят. Можно только снимать свои заявки, торговый интерфейс в крупном сбое. Также остановлена работа ретранслятора (это сервис, который отправляет подписанные пользователем транзакции в блокчейн).
Главное: Polymarket подтвердил компрометацию одного из сторонних поставщиков, передал дело правоохранителям и заявил: пострадавшим возместят потери полностью.
Это уже случалось?
Это третий такой случай за год. Схема с подрядчиком повторяется, и каждый раз страдают кошельки самих трейдеров.
- Май. Через утечку приватного ключа с внутреннего кошелька пополнения ушло около $700 000.
- Июнь. Через подрядчика в сайт внедрили вредоносный код и сняли около $3 млн менее чем с 15 аккаунтов - тогда деньги вернули.
Альтернатива для объёма. Если не хочется держать свой капитал на площадке, можно подобрать челлендж под свой стиль торговли и разобраться, как устроены выплаты.
Твои деньги лежат на чужом сервере?
Самое неприятное тут даже не сумма, а механика. Аккаунт опустошил скрипт постороннего сервиса. Трейдер при этом просто сидел на сайте с подключённым кошельком. И чтобы торговать заметным объёмом, свой капитал приходится держать именно там. В проп-трейдинге торговый номинал выдаёт компания: ты платишь за отбор, работаешь по её лимитам и забираешь долю прибыли. Разобраться в этой схеме логичнее до того, как очередная площадка уйдёт в режим отмены заявок.