Polymarket zobowiązał się do zwrotu użytkownikom łącznie 3,9 mln dolarów po incydencie z zakresu cyberbezpieczeństwa z 29 października 2026 r., w którym atakujący przenieśli kryptowaluty z portfeli klientów przy użyciu naruszonego skryptu zewnętrznego dostawcy. Platforma rynku predykcyjnego potwierdziła, że hakerzy wykorzystali skrypt monitorowania wydajności dostarczony przez zewnętrznego dostawcę do wykonania nieautoryzowanych transakcji z dotkniętych kont.

W aktualizacji bezpieczeństwa opublikowanej 30 października Polymarket szczegółowo opisał pakiet odszkodowań obejmujący 2,7 mln dolarów na straty związane z atakiem oraz dodatkowe 1,2 mln dolarów na zakłócenia handlowe. Według firmy 95% dotkniętych portfeli otrzymało już pełne zwroty środków.

Naruszony skrypt dostawcy wykorzystywał aktywne sesje

Naruszenie bezpieczeństwa pochodziło ze skryptu monitorowania wydajności dostarczonego przez zewnętrznego dostawcę technologii. Atakujący zastąpili prawidłowy skrypt złośliwym kodem zaprojektowanym do wykorzystania aktywnych sesji handlowych na międzynarodowej platformie Polymarket. Ponieważ użytkownicy pozostali zalogowani na swoich kontach, wstrzyknięty kod umożliwił nieautoryzowane transakcje: atakujący sprzedawali pozycje handlowe i przenosili środki z połączonych portfeli kryptowalutowych bez autoryzacji właścicieli kont.

Reuters zidentyfikował dotkniętego dostawcę jako DebugBear, firmę zajmującą się monitorowaniem wydajności stron internetowych. Dostawca przyznał, że doszło do incydentu z zakresu bezpieczeństwa, i zalecił klientom usunięcie jego kodu monitorującego podczas badania naruszenia. Wektor ataku wpisuje się w szerszą kategorię naruszeń łańcucha dostaw internetowych: skrypty zewnętrzne działają wewnątrz zaufanych stron, a podobne wektory wykorzystano w atakach polegających na skimmingu kart w 2018 r. (Magecart), które dotknęły British Airways i Ticketmaster — choć tamte kampanie zbierały dane kart płatniczych, podczas gdy ta atakowała zalogowane sesje handlowe i połączone portfele krypto.

Polymarket tymczasowo zawiesił handel i przetwarzanie transakcji po wykryciu podejrzanej aktywności. Następnie platforma usunęła złośliwy skrypt, wyczyściła pamięci podręczne strony i zresetowała aktywne sesje logowania przed przywróceniem normalnych operacji.

Odszkodowania wykraczają poza skradzione środki

Program zwrotów obejmuje więcej niż aktywa bezpośrednio skradzione podczas ataku. Polymarket zobowiązał się również do odszkodowania traderów, którzy ponieśli straty finansowe z powodu tymczasowego zawieszenia handlu.

Dodatkowe 1,2 mln dolarów pokrywa kwalifikujące się straty związane z pozycjami dotkniętymi przerwą w handlu, w tym pozycje, które straciły wartość, gdy rynki zostały zamknięte podczas pauzy, oraz niektóre transakcje zrealizowane po wznowieniu handlu. Kwalifikujący się użytkownicy otrzymają odszkodowanie automatycznie, ustalane na podstawie zapisów blockchain i aktywności handlowej, a klienci, którzy uznają swoje odszkodowanie za nieprawidłowe, mogą poprosić o dodatkowy przegląd. Ponieważ wypłaty są obliczane na podstawie zapisów on-chain i handlowych, a nie ręcznego procesu roszczeń, użytkownicy kwestionujący kwotę muszą polegać na tej ścieżce przeglądu, aby ją skorygować.

Reforma bezpieczeństwa celuje w ryzyko związane z podmiotami zewnętrznymi

Incydent uwypuklił podatności związane z oprogramowaniem zewnętrznym zintegrowanym z platformami handlu kryptowalutami. Nawet gdy podstawowa infrastruktura blockchain pozostaje sprawna, naruszone komponenty strony internetowej mogą narażać użytkowników na znaczne straty finansowe. W praktyce powierzchnia ataku platformy obejmuje kod front-endu dostarczany przez dostawców, obok inteligentnych kontraktów i zarządzania kluczami.

Polymarket oświadczył, że wzmacnia kontrole bezpieczeństwa poprzez ścielszą weryfikację skryptów, dodatkowy monitoring i ulepszone ograniczenia dotyczące kodu zewnętrznego. Firma przekazała incydent organom ścigania i nadal bada sprawę atakujących.

Zobowiązanie do wypłaty 3,9 mln dolarów odszkodowań stanowi istotną odpowiedź finansową na naruszenie, które podkreśla znaczenie ochrony aktywnych sesji handlowych w miarę przyciągania przez rynki predykcyjne szerszego grona uczestników. Kwestie, które warto obserwować, to zwroty należne mniej więcej 5% dotkniętych portfeli, które nie zostały jeszcze w pełni zaspokojone, korekty wynikające z przeglądów żądanych przez użytkowników oraz rezultaty przekazania sprawy organom ścigania i trwających dochdireń prowadzonych przez Polymarket i DebugBear.

Źródło: CryptoMeter io