Криптоплатформа прогнозов Polymarket столкнулась с масштабной кибератакой, в результате которой злоумышленники вывели не менее $2,73 млн с балансов 737 пользователей. Согласно расследованию аналитической компании Bitquery, источником компрометации стал не сам протокол Polymarket, а сторонний поставщик программного обеспечения — британский сервис веб-мониторинга DebugBear. Внедренный туда вредоносный JavaScript-код позволил хакерам перехватывать активные торговые сессии клиентов.
Механизм атаки был технически изящным и опасным: скрипт анализировал кошельки жертв в реальном времени, проверяя их балансы и открытые позиции. Затем он инициировал продажу активов или перевод средств на адреса преступников, используя штатные инструменты платформы — стандарт подписания транзакций EIP-712 и сервис Relayer. Критически важным аспектом является то, что смарт-контракты Polymarket воспринимали эти операции как действия самих владельцев аккаунтов, поскольку использовались уже авторизованные разрешения. Вредоносный код не пытался украсть приватные ключи или сид-фразы, действуя исключительно в рамках предоставленных пользователем прав доступа.
За час атакующие провели 985 операций по выводу средств. Распределение ущерба было неравномерным: четыре крупных счета сконцентрировали около 43% от общей суммы потерь, тогда как крупнейшее единичное списание составило $358 369. При этом большинство пострадавших (276 человек) лишились сумм менее $100 каждый. Кроме того, хакеры изъяли доли в рынках прогнозов еще с 33 счетов, стоимость которых не вошла в базовую оценку ущерба, что может увеличить итоговую цифру потерь.
Отмывание похищенного капитала происходило быстро и методично. Злоумышленники преимущественно конвертировали украденные активы в токены POL, после чего распределяли средства между тремя новыми кошельками. Часть ликвидности была перемещена из сети Polygon в Ethereum через кроссчейн-мосты Relay и deBridge для затруднения отслеживания.
Команда Polymarket оперативно отреагировала на инцидент, приостановив отправку транзакций и переведя платформу в режим отмены заявок. После локализации угрозы представители компании официально подтвердили факт взлома стороннего подрядчика, пообещав полное возмещение убытков всем пострадавшим пользователям. Информация о хищении также передана правоохранительным органам. На данный момент точный вектор первоначального проникновения в инфраструктуру DebugBear остается невыясненным.