Polymarket остановил торги: через взлом подрядчика опустошены кошельки пользователей

Коротко: 29 октября 2026 года Polymarket остановил торги на международной площадке Polymarket.com: один из сторонних подрядчиков был взломан, и злоумышленники вывели средства со счетов пользователей. По данным, на которые ссылаются Yahoo Finance и Quartz, ущерб — около $2,7 млн с более чем 700 аккаунтов; Polymarket эти цифры не подтвердил. Площадка перешла в режим «только отмена заявок» и в тот же день возобновила торги. Американская платформа Polymarket, судя по всему, не пострадала. Компания обещает, что всем пострадавшим потери «будут полностью возмещены».

Что произошло?

Polymarket сообщил, что инцидент связан со сторонним провайдером, а не со смарт-контрактами. Название подрядчика компания не раскрыла; источник Wall Street Journal связал взлом с DebugBear — британским сервисом мониторинга производительности сайтов. Такие инструменты подключаются к страницам сайта в виде скриптов. Если скрипт подменить, он выполняется с теми же правами, что и собственный код сайта, в браузере каждого посетителя — и может менять то, что пользователь видит и подписывает.

Это классическая атака на цепочку поставок фронтенда: протокол не тронут, но страница, с которой работает пользователь, уже не та, что написала команда. Для Polymarket это не первый такой случай: раньше через взломанного подрядчика во фронтенд уже внедряли вредоносный код и вывели около $3 млн менее чем с 15 аккаунтов.

Главное в цифрах

Почему атаки через фронтенд продолжают срабатывать

Современное веб-приложение подгружает код из множества мест: аналитика, отслеживание ошибок, мониторинг производительности, виджеты чатов. Каждый из них — зависимость, которой сайт полностью доверяет. В криптоприложении это доверие распространяется на момент, когда вы подписываете транзакцию или выдаёте разрешение на токен. Один подменённый скрипт может заменить адрес получателя или запросить безлимитный approve, и окно кошелька будет выглядеть как обычно, если не читать его внимательно. Похожие приёмы мы описывали в материалах об отравлении адресов и фишинге подписей и о взломе аккаунта Coldcard в X в начале месяца.

Как защититься от атак через фронтенд

1. Читайте каждую подпись. Проверяйте контракт, сумму и получателя в кошельке, а не на веб-странице. Отклоняйте неожиданные запросы на безлимитный approve.
2. Держите на площадках только нужное. Средства, которыми вы сейчас не пользуетесь, должны лежать на кошельке под вашим контролем — см. гайд по самостоятельному хранению.
3. Отзывайте старые разрешения через сервис проверки approve раз в несколько месяцев.
4. Площадка на паузе — и вы на паузе. Если сервис объявил об инциденте, ничего на нём не подписывайте, пока он не подтвердит, что проблема устранена.
5. Выбирайте сценарии с меньшим числом подписей. Обмен, где вы просто отправляете монеты на адрес депозита и получаете выплату на свой адрес, не требует никаких approve; такие сервисы удобно сравнить в Changerella App или в списке обменников.

Частые вопросы