Площадка пророчеств Polymarket дала обещание всецело компенсировать утраты пользователей после атаки через постороннего подрядчика. Согласно расчетам ончейн-специалистов, преступники похитили около $3 млн.
This morning we discovered a 3rd party vendor had been compromised, injecting a malicious script into our frontend for some users. We’ve contained it & removed the affected dependency. We’re contacting impacted users & refunding them in full.
— Polymarket Traders (@PolymarketTrade) June 25, 2026
«[…] мы выяснили, что посторонний подрядная организация был дискредитирован, что дало возможность ввести вредный скрипт во фронтенд для части пользователей. Мы локализовали дилемму и удалили затронутую зависимость. Мы связываемся с пострадавшими пользователями и всецело компенсируем им утраты», — сообщили представители площадки.
Представитель Polymarket Коннор Бранди удостоверил TechCrunch, что происшествие привел к хищению пользовательских средств, но не ответил на доп вопросы.
Что понятно об атаке
По данным PeckShield, вред от атаки составил около $3 млн.
#PeckShieldAlert Specter has reported that a #phishing campaign appears to be targeting #Polymarket users, with ~$3M worth of $PUSD drained.The attacker bridged the stolen funds from #Polygon to #Ethereum and swapped them into ~1,893 $ETH. pic.twitter.com/Li4nZY1me4
— PeckShieldAlert (@PeckShieldAlert) June 25, 2026
Специалист под именем Specter оценил утраты приблизительно в $2,94 млн и сказал о больше чем 11 пострадавших кошельках.
It appears there may be a phishing attack targeting Polymarket users, with estimated losses of $2.94M so far.The attacker has drained funds from 11+ victim wallets holding PUSD, swapped the stolen assets for $ETH, and consolidated the proceeds into the following address:… pic.twitter.com/6WfS0JhdDG
— Specter (@SpecterAnalyst) June 25, 2026
По данным Bubblemaps, атака затронула наименее 15 учетных записей. Компания также предала гласности часть адресов пострадавших пользователей и подчеркнула, что возможный вред получилось в главном ограничить.
Some Polymarket accounts affected:0x349606c1b77F3Ba668879CbC9347f15a44cF8fc40xFB84a9d631A3a19204B82c78dFeb90b220255fB50x4aeC70021891EA712AAf3e2dD76c30f6b09A4ce90x987B441a20Dd4AA4bA6d53069E852E7f820adF430x2d7BE5170a8026c18709EAEa1027c7f12E8Ce2Ce…
— Bubblemaps (@bubblemaps) June 25, 2026
По данным Decrypt, преступники выводили pUSD с пользовательских кошельков. В соответствии с документации площадки, токен Polymarket в сети Polygon обеспечен USDC в соотношении 1:1, а обеспечение закреплено ончейн через смарт-договор.
После вывода активы поменяли на $ETH и собрали на одном Ethereum-адресе. На момент написания средства оставались на нем. По легкодоступным данным, атака затронула пользовательский интерфейс, но не смарт-договоры Polymarket. Компания не раскрыла, какой конкретно подрядная организация был взломан и как длительно код находился на интернет-ресурсе.
3-ий схожий эпизод за шесть месяцев
Атака стала вторым происшествием безопасности Polymarket за прошедшие месяцы. В мае площадка столкнулась с компрометацией закрытого ключа кошелька, который используется для внутренних операций по пополнению счетов. По данным Bubblemaps, вред тогда составил около $700 000, но пользовательские средства и разрешение рынков, по заявлению площадки, не пострадали.
В больше широком контексте это уже 3-ий схожий эпизод за шесть месяцев. В декабре 2025 года Polymarket докладывала о взломе нескольких пользовательских учетных записей из-за незащищенности у постороннего провайдера. Тогда площадка не раскрыла четкое количество пострадавших, сумму вреда и заглавие провайдера.
Подчеркнём, в мае кибератакам подверглись Ekubo, TrustedVolumes, THORChain, Verus, Echo и Map Protocol.