Polymarket przywrócił handel na swojej międzynarodowej platformie po incydencie bezpieczeństwa u zewnętrznego dostawcy usług 29 października. Firma zapowiada, że traderzy, którzy stracili środki w wyniku naruszenia, otrzymają pełne zwroty. Firma analityczna Bubblemaps szacuje, że skradziono około 2,7 mln USD od około 700 użytkowników, choć Polymarket nie potwierdził tej kwoty.

Badacze powiązali atak ze złośliwym kodem osadzonym w usłudze monitorowania wydajności stron internetowych. Polymarket US, regulowana federalnie platforma firmy dla amerykańskich użytkowników, nie została dotknięta.

Jak przebiegała przerwa w handlu

Reakcja Polymarketu rozpoczęła się od przejścia w tryb cancel-only, który pozwolił klientom wycofać istniejące zlecenia, podczas gdy nowe transakcje przestały być przetwarzane. Firma wstrzymała również usługę składającą transakcje w imieniu użytkowników, zanim ujawniła, że jeden z jej zewnętrznych dostawców został skompromitowany.

Handel pozostawał wstrzymany przez kilka godzin, podczas gdy firma prowadziła dochodzenie. Późniejsza aktualizacja z konta Polymarket Traders na X potwierdziła, że handel został w pełni wznowiony.

Według firmy skompromitowany dostawca ma siedzibę w Wielkiej Brytanii. Polymarket stwierdził, że jego własna strona internetowa nie została naruszona, a brytyjskie organy ścigania zostały powiadomione. Incydent pokazuje, jak codzienne działanie platformy może zostać zakłócone przez dostawcę, nawet gdy własna infrastruktura pozostaje nietknięta.

Atak nie dotknął Polymarket US — nowszą platformę działającą jako regulowana federalnie giełda dla użytkowników w Stanach Zjednoczonych. Flagowa międzynarodowa platforma opiera się na kryptowalutach i jest zakazana w Stanach Zjednoczonych oraz kilku innych krajach.

Śledzenie skradzionych środków

Bubblemaps prześledziła przepływ środków z setek portfeli depozytowych do adresu, który zidentyfikowano jako należący do atakującego. Jej diagram wykazał 712 portfeli depozytowych i około 2,71 mln USD przepływających główną trasą.

Polymarket Drain Report

A third party provider from Polymarket was compromised

700+ users drained and $2.7M stolen

Main attacker: 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Funds converted to $POL and sent out to:

$1.4M 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6

$523k… pic.twitter.com/XF7Cxz2GdH

— Bubblemaps (@bubblemaps) October 29, 2026

Firma poinformowała, że skradzione środki zostały wymienione na POL, natywny token sieci Polygon, i wysłane na kilka adresów. Śledziła również transfery do Ethereum.

Jak działał atak

Badacze powiązali podejrzany kod z usługą monitorowania wydajności stron internetowych. Narzędzia tego typu zwykle pomagają firmom oceniać, jak ich strony się ładują i działają. Naruszenia przeprowadzone poprzez kod dostawcy, a nie własne systemy firmy, są w branży powszechnie nazywane atakami typu supply-chain, a osadzone skrypty zewnętrzne od dawna są znanym wektorem ataku na platformy internetowe. Według badaczy złośliwy kod uzyskał dostęp do sesji handlowych użytkowników i zainicjował działania przenoszące aktywa z ich kont. Dokładna metoda ataku jest nadal badana.

Na X kilku znanych traderów poinformowało, że stracili środki. Polymarket odmówił poinformowania WIRED, ilu traderów zostało dotkniętych i ile wyniosły straty.

Poprzednie incydenty i runda finansowania o wartości 1 mld USD

To nie pierwsze naruszenie na tej platformie. W czerwcu 2026 roku inny incydent doprowadził do strat przekraczających 2 mln USD u poszkodowanych traderów. Według szacunków Bubblemaps najnowszy incydent przewyższy tę kwotę. Firma od startu w 2020 roku była obiektem kontrowersji, w tym zarzutów insider tradingu, które doprowadziły do aresztowań; podejrzani w tych sprawach pledegują się na niewinnych. Platforma pozwala użytkownikom obstawiać wyniki wydarzeń ze świata rzeczywistego.

W sierpniu 2026 roku Polymarket pozyskał 1 mld USD w rundzie finansowania prowadzonej przez 1789 Capital, w której partnerem jest Donald Trump Jr. Firma jest obecnie wyceniana na 21 mld USD.

Obiecano zwroty, szczegóły w toku

Polymarket obiecał pełny zwrot środków, ale nie podał harmonogramu ani procedury roszczeń. Użytkownicy czekają na informacje, które konta kwalifikują się do zwrotu, jak zostaną obliczone straty i kiedy środki zostaną zwrócone. Otwarte kwestie — dokładna metoda ataku, ostateczna suma strat i mechanizm zwrotów — pozostają w gestii trwającego dochodzenia Polymarketu, a brytyjskie organy ścigania zostały powiadomione. Firma Polymarket zapowiada pełną analizę incydentu.

Źródło: Blockonomi