Взлом Polymarket затронул более 700 пользовательских счетов: предполагаемые злоумышленники вывели с них свыше $2,5 млн. Инцидент оказался связан не с ядром платформы рынков предсказаний, а со сторонним инструментом мониторинга DebugBear — неприятное напоминание для любой продуктовой команды: цепочка поставки в вебе давно шире собственного репозитория.
Вечером 29 октября 2026 года Polymarket сообщила, что обнаружила и устранила проблему на международной платформе, возникшую из-за компрометации внешнего поставщика. Площадка временно остановила торги в качестве меры предосторожности, затем возобновила их и пообещала полностью компенсировать потери пострадавшим. Как сообщает vc.ru, материалы по инциденту передали правоохранительным органам.
По информации The Wall Street Journal, речь идёт более чем о $2,5 млн, выведенных со счетов пользователей. Оценки аналитических сервисов Betting Intelligence и Polysights, которые приводит CNBC, чуть выше: не менее $2,7 млн и 710 кошельков. Разница в подсчётах для таких инцидентов обычна: публичные блокчейн-транзакции позволяют видеть движение средств, но не всегда сразу дают полную картину по владельцам адресов, возвратам и связанным операциям.
Источник WSJ, знакомый с ситуацией, связал уязвимость с DebugBear — сервисом мониторинга производительности сайтов, которым пользовался сайт Polymarket. Сам DebugBear сообщил в X о «инциденте безопасности» и заявил, что будет напрямую работать с затронутыми клиентами. Компания базируется в Великобритании; туда, по данным источника издания, Polymarket также передала информацию для правоохранителей. На запросы СМИ DebugBear не ответила.
Это важная деталь: мониторинг производительности обычно воспринимают как техническую обвязку, а не как компонент, способный повлиять на деньги пользователей. Но любой сторонний скрипт, аналитический агент, тег-менеджер или виджет, работающий в браузере, оказывается внутри доверенной зоны страницы. Если поставщик скомпрометирован, атакующий потенциально может получить доступ к данным сессии, подменить интерфейс или заставить пользователя подтвердить нежелательное действие. Конкретный технический механизм атаки Polymarket публично не раскрыла, поэтому превращать версию об уязвимости DebugBear в окончательный технический диагноз пока рано.
Взлом Polymarket особенно показателен для криптосервисов и финансовых продуктов. У обычного интернет-магазина компрометация фронтенда может означать утечку данных и долгий разбор с платёжным провайдером. На платформе, где пользователь взаимодействует с криптокошельком, цена нескольких секунд доверия к интерфейсу может измеряться переводом активов, который затем сложно отменить. Обещание возместить ущерб снижает прямые потери клиентов, но не снимает вопросов к модели контроля подрядчиков и к тому, какие права им были доступны.
Для разработчиков здесь нет экзотического рецепта: нужно относиться к внешним зависимостям как к части собственной поверхности атаки. Полезно инвентаризировать все сторонние скрипты на критичных страницах, ограничивать их доступ через Content Security Policy, проверять изменения в подключаемом коде и разделять страницы аналитики, логина и операций с активами. Бизнесу стоит заранее договориться, кто и как принимает решение о приостановке операций, как уведомляются пользователи и из какого резерва выплачивается компенсация. В подобных историях скорость коммуникации — не PR-деталь, а часть управления ущербом.
Платформы рынков предсказаний зарабатывают доверие не только ликвидностью и удобным интерфейсом, но и способностью безопасно проводить операции в момент, когда у пользователя уже открыт кошелёк. Взлом Polymarket покажет, насколько зрелой стала эта инфраструктура: итоговая оценка будет зависеть от результатов расследования, прозрачности компенсаций и того, изменит ли площадка правила работы с внешними поставщиками после инцидента.
