Polymarket wznowił handel na swojej giełdzie międzynarodowej 29 października 2026 r. po krótkim wstrzymaniu wymuszonym kompromitacją zewnętrznego skryptu monitorującego. Platforma zatrzymała przyjmowanie zleceń, wstrzymała działania relayerów i obiecała klientom zwrot środków. Oddzielna platforma w USA nie została dotknięta.

Skrypt monitorujący, który sięgał do aktywnych sesji handlowych

Firma ds. cyberbezpieczeństwa Hudson Rock ujawniła 15 187-bajtowy złośliwy ładunek osadzony w skrypcie Real User Monitoring (RUM) firmy DebugBear. Skrypty RUM to popularne narzędzie do analizy wydajności stron: operatorzy witryn osadzają je tak, aby działały w przeglądarce każdego odwiedzającego i mierzyły, jak strony ładują się w rzeczywistych warunkach. Kod mógł uzyskać dostęp do zapisanych danych konta, zidentyfikować autoryzowanych klientów używanych przez traderów oraz próbować sprzedaży pozycji lub transferu tokenów.

Kod strony Polymarket wykazał następnie, że skrypt DebugBear został usunięty, co wskazuje, że atak wykorzystywał kod działający na stronie, a nie lukę w inteligentnych kontraktach platformy. Hudson Rock opublikował swoje ustalenia w raporcie na blogu InfoStealers.

Tryb tylko-anuluj, a handel wznowiony do 15:00 ET

Polymarket wprowadził giełdę międzynarodową w tryb tylko-anuluj 29 października 2026 r. Jego konto statusowe poinformowało, że dostawca został skompromitowany, a sprawa została przekazana brytyjskim organom ścigania.

Około godziny 15:00 ET tego samego dnia handel na giełdzie rozpoczął się ponownie. Firma ogłosiła również politykę zwrotów. Według raportu CNBC klienci, którzy stracili mniej niż 10 000 USD, mają otrzymać zwroty do 30 października 2026 r. Klienci, którzy stracili więcej, muszą najpierw podpisać formularz odstąpienia. Choć Polymarket zakomunikował swoje plany zwrotów, nie potwierdził, że jakiekolwiek zwroty zostały wypłacone.

DebugBear nakazał klientom usunięcie swojego kodu

DebugBear również przyznał, że doszło do problemu z bezpieczeństwem. 29 października 2026 r. firma wezwała klientów do usunięcia jej kodu monitorującego, podczas gdy wyspecjalizowani specjaliści prowadzili dochodzenie.

We're impacted by an ongoing security incident. If you use our RUM product, please remove the embed code from your website. — DebugBear (@DebugBear) October 29, 2026

Ostrzeżenie podkreśliło szerszy problem: skrypty zewnętrzne mogą działać wewnątrz legalnych stron internetowych, a jeśli zostaną skompromitowane, mogą uzyskać dostęp do aktywnych sesji przeglądarkowych użytkowników. Ponieważ ostrzeżenie obejmowało każdą stronę uruchamiającą osadzony skrypt RUM, pokazało też, jak jeden skompromitowany skrypt dostawcy może jednocześnie narazić wiele niezwiązanych ze sobą witryn.

Wstępne szacunki strat w porównaniu z potwierdzonymi stratami

Szkody finansowe pozostają na razie niejasne. Betting Intelligence i Polysights prześledziły co najmniej 2,7 mln USD wypłat dotyczących 710 portfeli 29 października 2026 r., podał CNBC. Tymczasem Hudson Rock zidentyfikował około 2,19 mln USD na adresie odbiorcy awaryjnego, choć saldo to nie przesądza o wysokości skradzionych środków. Polymarket nie potwierdził jeszcze łącznych strat.

Dwa wcześniejsze awarie dostawców, brak wspólnej przyczyny

To nie był pierwszy problem z bezpieczeństwem Polymarketu związany z dostawcą. W czerwcu 2026 r. Halborn i TechCrunch zgłosiły atak złośliwego skryptu, który miał opróżnić około 3 mln USD z co najmniej 11 portfeli. Polymarket obiecał wtedy również zwroty.

Wcześniej, w grudniu 2025 r., oddzielne naruszenie u dostawcy uwierzytelniania dotknęło konta użytkowników. Zarówno Cryptopolitan, jak i CertiK udokumentowały to zdarzenie.

Wszystkie trzy przypadki dotyczyły zewnętrznych dostawców. Nie ma jednak dowodów łączących je z tym samym atakującym ani wspólną przyczyną.

Co powtarzająca się ekspozycja na dostawców oznacza dla sektora

Powtarzające się incydenty przypadają na czas, gdy rynki predykcyjne przyciągają coraz więcej aktywności handlowej. Raport oparty na danych Artemis odnotował 76,46 mld USD wolumenu obrotu na monitorowanych rynkach we wrześniu 2026 r., z czego Polymarket odpowiadał za 13,12 mld USD. Liczby te odzwierciedlają aktywność handlową, a nie zgromadzone aktywa.

Ten wzrost ostro uwidacznia obawy dotyczące bezpieczeństwa. CertiK ostrzega, że platformy łączące tradycyjne usługi internetowe z technologią blockchain mogą nadal mieć scentralizowane podatności. Takie ryzyka mogą również zniechęcać inwestorów instytucjonalnych. Według Jefferies fundusze hedgingowe wykazują zainteresowanie, ale pozostają ostrożne — obawy o płynność, zgodność regulacyjną i reputację nadal je powstrzymują.

Tymczasem KPMG podkreśla różne obowiązki dostawców, brokerów, giełd i izb rozliczeniowych. Giełdy regulowane w USA muszą spełniać wymogi nadzoru, zabezpieczeń systemów i ochrony uczestników. Te zasady nie mają jednak automatycznie zastosowania do Polymarket International.

Dla Polymarketu przywrócenie handlu to tylko część wyzwania. Większym testem będzie, czy firma potrafi zarządzać ryzykiem ze strony zewnętrznych dostawców i odzyskać zaufanie użytkowników. Wskaźnikami krótkoterminowymi będą: to, czy zwroty poniżej 10 000 USD dotrą do 30 października, jak przebiegnie proces formularzy odstąpienia dla większych roszczeń, czy firma potwierdzi łączną wysokość strat oraz jakie będą efekty przekazania sprawy brytyjskim organom ścigania i trwających dochodzeń.