Polymarket взломали: $3 млн украдено через фронтенд-атаку

Детали инцидента и реакция компании

Платформа Polymarket официально подтвердила инцидент безопасности, связанный с компрометацией одного из сторонних поставщиков услуг. В результате атаки в клиентскую часть платформы фронтенд) для некоторых пользователей был внедрен вредоносный скрипт. Команда проекта заявила, что угроза была оперативно локализована, а уязвимая зависимость полностью удалена из кодовой базы. (Polymarket признал взлом: критики напоминают, что предупреждали об…

В официальном сообщении Polymarket подчеркнула, что основные смарт-контракты и средства пользователей на них не были затронуты, поскольку атака была направлена исключительно на интерфейс взаимодействия. Представители платформы уже начали связываться с пострадавшими пользователями для организации полного возмещения понесенных потерь. Точная сумма ущерба на данный момент не раскрывается. Gate

Предупреждения сообщества и критика платформы

Основной причиной недовольства криптосообщества стал не сам факт взлома, а реакция Polymarket на предупреждения, которые звучали за несколько месяцев до инцидента. Один из пользователей социальной сети X предоставил доказательства того, что еще в апреле 2026 года он указывал на потенциальные риски атаки через сторонние зависимости, однако его опасения были проигнорированы и, по его словам, даже высмеяны командой проекта.

Критики утверждают, что платформа заняла излишне самоуверенную позицию в вопросах кибербезопасности, публично преуменьшая риски. По мнению экспертов, такая риторика могла спровоцировать злоумышленников и сделать Polymarket более привлекательной целью. Хронология событий выглядит следующим образом:

Контекст: системные риски и предыдущие уязвимости

Нынешний инцидент — не первая проблема с безопасностью, с которой сталкивается Polymarket. Платформа неоднократно становилась объектом внимания как со стороны хакеров, так и исследователей, что указывает на системные риски в ее архитектуре, часто связанные с балансом между удобством пользователей и надежностью.

Ранее платформа уже сталкивалась с другими инцидентами различного характера:

• Декабрь 2025 года: Была скомпрометирована сторонняя система аутентификации от Magic Labs, что позволило злоумышленникам получить доступ к аккаунтам пользователей, использовавших вход по email.
• Апрель 2026 года: Зафиксирована нетипичная атака, когда злоумышленник физически нагрел феном метеодатчик в аэропорту, чтобы выиграть ставку на погоду, что выявило уязвимости в оракулах данных.
• Май 2026 года: Произошел эксплойт контракта UMA CTF Adapter из-за утечки внутреннего приватного ключа, что привело к потере активов на сумму свыше $500 000.

Эти случаи подчеркивают общую проблему для многих Web3-проектов: зависимость от централизованных сторонних сервисов (например, для аутентификации или поставки данных) создает дополнительные векторы атак, даже если основные смарт-контракты остаются в безопасности.