Хакеры похитили около $3 млн у пользователей Polymarket через взломанного стороннего вендора

Polymarket закрывает неделю на редкость плохо. 25 июня платформа сообщила о взломе стороннего вендора, через которого хакеры внедрили вредоносный скрипт в интерфейс сайта. Инцидент последовал буквально по горячим следам расследования WSJ о масштабной кампании с фиктивными рекламными видео — два удара за двое суток.

Что произошло

Polymarket сообщила в X: «Сегодня утром мы обнаружили, что сторонний вендор был взломан — в результате вредоносный скрипт был внедрен во фронтенд для части пользователей. Мы устранили проблему и удалили пораженную зависимость. Мы связываемся с пострадавшими пользователями и возмещаем им средства в полном объеме».

Точная сумма потерь Polymarket официально не подтвердила, однако реакция компании на конкретные цифры в X делает их фактически достоверными. Аккаунт Specter, отслеживающий блокчейн-транзакции, зафиксировал не менее 11 пострадавших кошельков с PUSD — стейблкоином Polymarket. Похищенные средства были конвертированы в Ethereum для сокрытия следов; оценочные потери составили около $2,94 млн. Глава по работе с пользователями Polymarket Уильям ЛеГейт, отвечая на публикацию об «убытках в $2,94 млн», не опроверг сумму, но написал: «Мы возмещаем пострадавшим пользователям в полном объеме — никаких „убытков» пользователей нет».

Механика атаки

Атака относится к классу supply chain: злоумышленники не взламывали инфраструктуру Polymarket напрямую, а скомпрометировали стороннюю зависимость — сторонний скрипт или библиотеку, которую платформа подключала во фронтенде. Такие атаки особенно опасны тем, что жертва видит знакомый интерфейс легитимного сайта и не имеет возможности заметить компрометацию визуально.

Контекст: худшая неделя в истории Polymarket

Timing атаки трудно назвать случайным совпадением — хотя связи между двумя инцидентами нет. В среду WSJ опубликовал масштабное расследование: Polymarket платила блогерам за постановочные видео с фиктивными выигрышами на клонах сайта, накрутив 140 миллионов просмотров без единой реальной ставки. В четверг — взлом.

На фоне этих событий Polymarket параллельно продвигала рекламный ролик с музыкальным продюсером Риком Рубином, который получил похвалу от журналиста CNBC Эндрю Росс Соркина. Репутационная работа разворачивается в крайне неудачный момент: доверие к платформе подрывается сразу с двух сторон — изнутри (история с фейковой рекламой) и снаружи (взлом вендора).