Polymarket зупинив торги ввечері 29 жовтня після крадіжки близько $2,65 млн з рахунків користувачів. Гроші пішли через зламаного стороннього підрядника за лічені хвилини. Платформа перевела біржу в режим лише скасування заявок.
Polymarket - найбільша платформа прогнозів. Там купують і продають контракти на результат події: вибори, матч, рішення регулятора. Гроші лежать у власному гаманці трейдера, а не на рахунку біржі.
Чому це важливо трейдеру. Акаунт спорожнили, поки людина просто перебувала на сайті з підключеним гаманцем. Майданчик обіцяє відшкодувати втрати повністю.
Куди пішли гроші?
Кошти зібрали на одній адресі. За даними аналітичного сервісу Arkham, адреса 0x3F99...fc18 тримала близько $2,65 млн у POL. POL - базовий токен мережі Polygon.
- USDC.e - із цього стейблкоїна гроші обмінювали серією угод
- Relay - кроссчейн-сервіс, через який йшли обміни
- Інші гаманці - туди кошти розійшлися після обмінів
Названі втрати. Трейдер під ніком CarOnPolymarket заявив про списання $800 000 - це найбільша названа втрата. У його знайомого пішло близько $600 000. Суми користувачів не підтверджені незалежно.
Чому це сталося?
Причину знайшли в чужому коді. За даними Hudson Rock, шкідливий скрипт підвантажувався з DebugBear. Це сервіс моніторингу швидкості сайтів.
- Пошук сесії. Код шукав активну торгову сесію користувача, який увійшов.
- Розпродаж позицій. Скрипт продавав відкриті позиції трейдера.
- Виведення активів. Гроші йшли на ту саму адресу, жорстко прописану в скрипті.
Скрипт прибрали. З робочого коду сайту його вже видалили.
Що зараз із платформою?
Нові ордери не проходять. Можна лише знімати свої заявки, торговий інтерфейс у великому збої. Також зупинено роботу ретранслятора (це сервіс, який відправляє підписані користувачем транзакції в блокчейн).
Головне: Polymarket підтвердив компрометацію одного із сторонніх постачальників, передав справу правоохоронцям і заявив: постраждалим відшкодують втрати повністю.
Це вже траплялося?
Це третій такий випадок за рік. Схема з підрядником повторюється, і щоразу страждають гаманці самих трейдерів.
- Травень. Через витік приватного ключа з внутрішнього гаманця поповнення пішло близько $700 000.
- Червень. Через підрядника в сайт впровадили шкідливий код і зняли близько $3 млн менш ніж із 15 акаунтів - тоді гроші повернули.
Альтернатива для обсягу. Якщо не хочеться тримати свій капітал на майданчику, можна підібрати челендж під свій стиль торгівлі і розібратися, як влаштовані виплати.
Твої гроші лежать на чужому сервері?
Найнеприємніше тут навіть не сума, а механіка. Акаунт спорожнив скрипт стороннього сервісу. Трейдер при цьому просто сидів на сайті з підключеним гаманцем. І щоб торгувати помітним обсягом, свій капітал доводиться тримати саме там. У проп-трейдингу торговий номінал видає компанія: ти платиш за відбір, працюєш за її лімітами і забираєш частку прибутку. Розібратися в цій схемі логічніше до того, як черговий майданчик піде в режим скасування заявок.