Los hackers robaron 2,7 millones de dólares a los usuarios de Polymarket

Según los analistas de Bitquery, los malintencionados retiraron al menos 2,73 millones de dólares de 737 cuentas de usuarios de Polymarket. El ataque tuvo lugar el 29 de octubre a través de una vulnerabilidad en el software proporcionado por un proveedor externo, confirmaron los representantes de la plataforma.

Hemos identificado y corregido un problema que afectaba a nuestra plataforma internacional, Polymarket.com. Uno de nuestros proveedores externos fue comprometido y hemos notificado a las autoridades competentes. A todos los usuarios que se han visto afectados se les compensará la pérdida. Por medidas de precaución, hemos detenido temporalmente las operaciones comerciales y estamos trabajando para volver a poner la plataforma en línea.

— Polymarket Traders (@PolymarketTrade), 29 de octubre de 2026

Según la investigación de Bitquery, el ataque duró aproximadamente una hora. Entre las 17:10 y las 18:10 UTC, los hackers realizaron 985 operaciones de retirada de fondos a través de la infraestructura oficial de Polymarket. Para cada retirada utilizaron autorizaciones legales, por lo que los contratos inteligentes interpretaron estas operaciones como acciones normales de los usuarios.

El daño más significativo se produjo en cuatro cuentas, que representan el 43% del total. El monto más alto retirado fue de 358 369 dólares; sin embargo, 276 cuentas perdieron menos de 100 dólares cada una.

La cantidad de dinero perdido por los usuarios de Polymarket. Fuente: Bitquery.

У 33 пользователей злоумышленники также забрали доли в рынках прогнозов. Поскольку Bitquery не оценивала эти доли в долларах, реальный ущерб может оказаться выше.

Как произошла атака?

Агентство Reuters со ссылкой на источник сообщило, что скомпрометированным подрядчиком оказалась британская компания DebugBear. Она предоставляет инструменты для мониторинга работы веб-сайтов.

Специалисты Hudson Rock обнаружили вредоносный JavaScript-код, который распространялся через инфраструктуру поставщика. Этот код пытался получить доступ к активным торговым сессиям на платформе Polymarket.

Программа, используемая злоумышленниками, проверяла баланс и открытые позиции пользователей, а затем находила в приложении инструменты для размещения заказов и подписания транзакций. В зависимости от типа кошелька пользователей злоумышленники пытались либо продать их доли на рынках, либо сразу перевести их токены на контролируемый ими адрес.

Для подтверждения своих действий злоумышленники использовали встроенные в платформу механизмы подписи сообщений (EIP-712) и сервис для отправки транзакций (Relayer).

В исследованном образце кода исследователи не обнаружили специальных механизмов для кражи приватных ключей пользователей. Основная опасность заключалась в том, что злоумышленники воспользовались уже авторизованными учетными данными пользователей. Однако специалисты пока не установили, каким именно образом киберпреступники проникли в инфраструктуру компании DebugBear.

Компания Polymarket пообещала компенсировать убытки пользователей, понесенные в результате атаки.

В 18:05 по UTC платформа перевела свою работу в режим отмены всех торговых запросов и приостановила отправку транзакций. Через 28 минут представители Polymarket сообщили, что проблема была обнаружена и устранена. В 19:05 по UTC торги были возобновлены.

Компания пообещала полностью компенсировать убытки пострадавшим и передала информацию о происшествии органам правопорядка. По данным СМИ, речь идет о британских ведомствах.

Однако компания Bitquery обнаружила еще одну подозрительную операцию с суммой в $10,99, проведенную в 19:11 по UTC. Эта операция затронула уже пострадавший счет и использовала новое разрешение на снятие средств.

По словам экспертов, это не означает, что атака продолжается, но указывает на то, что ее последствия могли не быть полностью устранены.

Украденные активы злоумышленник в основном обменял на токен POL, а затем распределил их между тремя новыми кошельками. Часть средств он перевел с платформы Polygon на Ethereum с помощью сервисов Relay, deBridge и встроенного моста между этими платформами.

Напомним, в июне платформа Polymarket уже подверглась аналогичной атаке, совершенной третьими лицами. Тогда злоумышленники внедрили вредоносный код в пользовательский интерфейс и украли около 3 миллионов долларов с более чем 15 пользовательских счетов. Платформа также пообещала возместить убытки.