Polymarket вновь открыла свою международную биржу для торгов 29 октября 2026 года после кратковременной остановки, вызванной компрометацией стороннего мониторингового скрипта. Платформа остановила прием новых ордеров, прекратила работу релеев и пообещала клиентам вернуть их средства. Отдельная платформа компании в США не пострадала.

Мониторинговый скрипт, проникавший в активные торговые сессии

Компания в области кибербезопасности Hudson Rock выявила вредоносный код размером 15 187 байт, встроенный в скрипт Real User Monitoring (RUM) компании DebugBear. Скрипты RUM — распространенный инструмент оценки производительности сайтов: операторы встраивают их так, что они выполняются в браузере каждого посетителя и измеряют загрузку страниц в реальных условиях. Этот код мог получать доступ к сохраненным данным аккаунтов, определять авторизованные клиенты, используемые трейдерами, и пытаться продавать позиции или переводить токены.

Впоследствии в коде сайта Polymarket было видно, что скрипт DebugBear удален, что указывает на эксплуатацию кода, выполнявшегося на сайте, а не уязвимости в смарт-контрактах платформы. Hudson Rock опубликовала результаты в отчете в своем блоге InfoStealers.

Режим «только отмена», затем возобновление торгов к 15:00 по восточному времени

Polymarket перевела международную биржу в режим «только отмена заявок» 29 октября 2026 года. В аккаунте статуса сообщалось, что один из провайдеров был скомпрометирован и дело передано правоохранительным органам Великобритании.

Примерно в 15:00 по восточному времени того же дня торги на бирже возобновились. Компания также объявила политику возвратов. Согласно отчету CNBC, клиенты, потерявшие менее 10 000 долларов, должны получить возвраты до 30 октября 2026 года. Тем, кто потерял больше этой суммы, необходимо сначала подписать форму освобождения от претензий. Хотя Polymarket сообщила о планах по возвратам, она не подтвердила, что какие-либо выплаты уже произведены.

DebugBear призвал клиентов удалить его код

DebugBear также признал проблему безопасности. 29 октября 2026 года компания призвал клиентов удалить его мониторинговый код, пока инцидентом занимаются специализированные специалисты по реагированию.

Мы затронуты продолжающимся инцидентом безопасности. Если вы используете наш продукт RUM, пожалуйста, удалите embed-код со своего сайта. — DebugBear (@DebugBear) 29 октября 2026 г.

Предупреждение подчеркнуло более широкую проблему: сторонние скрипты могут выполняться внутри легитимных сайтов, и при компрометации они получают доступ к активным браузерным сессиям пользователей. Поскольку предупреждение касалось любого сайта с встроенным RUM-кодом, оно также показало, как один скомпрометированный скрипт поставщика может одновременно подвергнуть риску множество не связанных между собой сайтов.

Предварительные оценки убытков и подтвержденные потери

Финансовый ущерб пока остается неясным. Betting Intelligence и Polysights отследили вывод не менее 2,7 млн долларов с участием 710 кошельков 29 октября 2026 года, сообщило CNBC. Тем временем Hudson Rock выявила около 2,19 млн долларов на резервном адресе получателя, однако этот баланс не позволяет установить объем похищенного. Polymarket пока не подтвердила общий размер убытков.

Два предыдущих сбоя у поставщиков без общей причины

Это не первая проблема безопасности Polymarket, связанная с поставщиками. В июне 2026 года Halborn и TechCrunch сообщили об атаке с использованием вредоносного скрипта, которая, по имеющимся данным, опустошила около 3 млн долларов как минимум с 11 кошельков. Polymarket тогда также пообещала возвраты.

Ранее, в декабре 2025 года, отдельная утечка у провайдера аутентификации затронула аккаунты пользователей. Инцидент задокументировали как Cryptopolitan, так и CertiK.

Все три случая связаны со сторонними поставщиками. Однако нет доказательств, связывающих их с одним и тем же злоумышленником или общей первопричиной.

Что повторяющаяся зависимость от поставщиков означает для отрасли

Повторяющиеся инциденты происходят на фоне роста торговой активности на рынках предсказаний. Согласно отчету на основе данных Artemis, в сентябре 2026 года объем торгов на отслеживаемых рынках составил 76,46 млрд долларов, из которых на Polymarket пришлось 13,12 млрд долларов. Эти цифры отражают торговую активность, а не объем хранимых активов.

Этот рост обостряет вопросы безопасности. CertiK предупреждает, что платформы, сочетающие традиционные веб-сервисы с блокчейн-технологиями, все равно могут иметь централизованные уязвимости. Такие риски также могут отпугивать институциональных инвесторов. По данным Jefferies, хедж-фонды проявляют интерес, но остаются осторожными: их сдерживают соображения ликвидности, соответствия требованиям и репутации.

Тем временем KPMG обращает внимание на различие обязанностей поставщиков, брокеров, бирж и клиринговых палат. Биржи, регулируемые в США, должны соответствовать требованиям надзора, защиты систем и защиты участников. Однако эти правила не распространяются автоматически на Polymarket International.

Для Polymarket возобновление торгов — лишь часть задачи. Более серьезное испытание — способность управлять рисками, связанными со сторонними поставщиками, и вернуть доверие пользователей. Ближайшие ориентиры: поступят ли возвраты менее 10 000 долларов в объявленный срок 30 октября, как будет проходить процесс подписания форм для более крупных требований, подтвердит ли компания общий размер убытков и к чему приведут передача дела правоохранительным органам Великобритании и продолжающиеся расследования.