Polymarket: przejęty skrypt zewnętrznej firmy opróżniał konta. Firma obiecuje zwroty

W czwartek 29 października Polymarket na około godzinę wstrzymał handel na swojej międzynarodowej platformie. Firma potwierdziła, że jeden z jej zewnętrznych dostawców został przejęty, i zapowiedziała pełny zwrot środków poszkodowanym. Według mediów i badaczy bezpieczeństwa złośliwy kod trafił na oficjalną stronę przez skrypt do mierzenia szybkości strony, a z kont użytkowników wyprowadzono około 2,65–2,7 mln dolarów.

Co potwierdził Polymarket

O 19:05 czasu polskiego strona statusu Polymarket przełączyła giełdę w tryb „tylko anulowanie”. Można było wycofywać zlecenia, ale nie składać nowych. Firma wstrzymała też relayer, czyli usługę, która przekazuje podpisane przez użytkowników transakcje do blockchaina.

O 19:33 konto Polymarket dla traderów, @PolymarketTrade, napisało, że firma znalazła i naprawiła problem dotyczący platformy międzynarodowej. „Jeden z naszych zewnętrznych dostawców został przejęty i przekazaliśmy sprawę właściwym organom ścigania. Każdy, kto ucierpiał, otrzyma rekompensatę” – napisała firma.

Około 20:00 handel wznowiono. Polymarket dodał, że „w pełni zwraca środki wszystkim poszkodowanym traderom”. Strona statusu oznaczyła incydent jako rozwiązany o 20:05.

Polymarket nie podał, którego dostawcy dotyczył atak, ilu użytkowników ucierpiało ani ile pieniędzy zniknęło. Nie opublikował też wskazówek dla użytkowników. Według NBC News i CNBC amerykańska platforma Polymarket nie została dotknięta.

Skąd pochodził złośliwy kod

Około 19:00 brytyjska firma DebugBear, która dostarcza narzędzia do pomiaru szybkości stron, napisała na X, że jest objęta „trwającym incydentem bezpieczeństwa”. Poprosiła klientów korzystających z jej produktu RUM o usunięcie jego kodu ze swoich stron. RUM to skrypt wczytywany na stronie, który mierzy, jak szybko ładuje się ona prawdziwym odwiedzającym.

Że chodzi właśnie o DebugBear, podają NBC News i CNBC, a według serwisu Quartz także „The Wall Street Journal”. Wszystkie powołują się na anonimowe źródła. Według nich Polymarket zgłosił sprawę brytyjskim organom, bo tam ma siedzibę DebugBear. Sam Polymarket dostawcy nie nazwał.

Firma Hudson Rock, która zajmuje się analizą zagrożeń, pobrała i przeanalizowała plik wczytywany z serwerów DebugBear. Według jej ustaleń skrypt odczytywał z przeglądarki dane sesji zalogowanego użytkownika Polymarket, w tym adres portfela i klucze używane do handlu. U osób logujących się adresem e-mail (przez usługę Magic) wystawiał zlecenia sprzedaży pozycji po coraz niższych cenach i próbował wypłacić pieniądze. U osób, które podłączały własny portfel, przygotowywał przelew posiadanych pozycji na adres atakującego. Adres portfela ofiary, przybliżoną lokalizację z adresu IP i wartość portfela wysyłał z powrotem na serwery DebugBear.

Hudson Rock zaznacza, że nie ustalił, jak doszło do przejęcia, jak długo złośliwy plik był podawany ani do ilu osób trafił. Firma znalazła za to w kodzie strony Polymarket wpis o usunięciu skryptu DebugBear oznaczony godziną 18:59 czasu polskiego, sześć minut przed wstrzymaniem handlu. W kodzie strony głównej, który USIDER pobrał o 21:59, nie było już odwołań do DebugBear.

Według tej analizy atak nie wymagał złamania inteligentnych kontraktów Polymarket. Skrypt korzystał z uprawnień, które przeglądarka zalogowanego użytkownika już miała. Dla użytkownika oznacza to, że sama ostrożność przy klikaniu linków tu nie chroniła, bo złośliwy kod działał na oficjalnej stronie.

Ile pieniędzy zniknęło

Dane firmy analitycznej Arkham, na które powołują się The Block i Decrypt, pokazują, że adres wskazany jako należący do atakującego (0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18) miał około 2,65 mln dolarów w tokenie POL po serii wymian ze stablecoina USDC.e. Według The Block środki zostały później przeniesione na inne adresy. Hudson Rock podaje, że ten sam adres jest wpisany w skrypt jako domyślny odbiorca.

CNBC, powołując się na analizę firm Betting Intelligence i Polysights, pisze o co najmniej 2,7 mln dolarów wypłaconych z 710 portfeli. Według Quartz, który cytuje „The Wall Street Journal”, z adresu atakującego widać ponad 900 transakcji.

Polymarket tych liczb nie potwierdził, a według NBC News przedstawiciel firmy odmówił komentarza. Saldo jednego adresu nie musi oznaczać pełnej sumy strat, bo według Hudson Rock skrypt mógł też pobierać inny adres odbiorcy ze zdalnej konfiguracji.

Kolejny incydent w tym roku

Według Decrypt to trzeci incydent bezpieczeństwa Polymarket w 2026 roku. W maju po przejęciu klucza prywatnego z wewnętrznego portfela wyprowadzono około 700 tys. dolarów. W czerwcu przejęty dostawca wstrzyknął złośliwy kod na stronę Polymarket, a z kilkunastu kont zniknęło około 3–3,1 mln dolarów (BleepingComputer, CoinDesk). Wtedy także firma obiecała pełne zwroty.

To drugi w ciągu czterech miesięcy przypadek, w którym użytkownicy stracili pieniądze przez cudzy kod uruchomiony na oficjalnej stronie Polymarket. Skrypt firmy zewnętrznej działa na stronie z tymi samymi możliwościami co kod samego serwisu, więc każdy taki dodatek jest kolejnym miejscem, przez które można zaatakować konta.

Co zrobić, jeśli korzystasz z Polymarket

• Uważaj na wiadomości o „zwrotach”. Po takim incydencie mogą pojawić się fałszywe e-maile, wiadomości prywatne i strony obiecujące rekompensatę w zamian za podpisanie transakcji, dane logowania albo frazę odzyskiwania portfela. Informacji o zwrotach szukaj tylko w oficjalnych kanałach Polymarket.
• Sprawdź historię konta. Przejrzyj transakcje, sprzedane pozycje i wypłaty z 29 października. Operacje, których nie wykonywałeś, zgłoś przez oficjalne wsparcie Polymarket.
• Przejrzyj zgody w portfelu. Jeśli łączysz z Polymarket własny portfel, sprawdź, jakim aplikacjom dałeś uprawnienia do swoich tokenów, i odwołaj te, których nie rozpoznajesz lub nie potrzebujesz. Pomagają w tym narzędzia takie jak Revoke.cash. Odwołanie zgody to transakcja, która wymaga niewielkiej opłaty sieciowej.
• Odśwież stronę. Przeładuj ją z pominięciem pamięci podręcznej (Ctrl+Shift+R, na Macu Cmd+Shift+R) albo wyczyść dane strony i zamknij karty otwarte przed incydentem.
• Nie podpisuj tego, czego nie rozumiesz. Prośba o podpis, która pojawia się nieoczekiwanie albo dotyczy przelewu lub zgody na tokeny, powinna być sygnałem do przerwania.

To ogólne zasady ograniczania ryzyka, a nie instrukcje Polymarket. Tekst nie jest poradą inwestycyjną.

W Polsce domena polymarket.com figuruje od 8 stycznia 2025 roku w prowadzonym przez Ministerstwo Finansów rejestrze domen służących do oferowania gier hazardowych niezgodnie z ustawą. Dostawcy internetu muszą blokować do niej dostęp, a według ministerstwa udział w nielegalnych grach hazardowych online grozi odpowiedzialnością karną skarbową i administracyjną.

Czego jeszcze nie wiadomo

Nie wiadomo, jak przejęto infrastrukturę DebugBear, od kiedy złośliwy skrypt działał na stronie Polymarket, ilu użytkowników straciło pieniądze i jaka jest łączna kwota. Polymarket nie wyjaśnił też, kiedy i w jaki sposób zwróci środki. Hudson Rock nie znalazł na razie dowodów, że ucierpieli inni klienci DebugBear.