Polymarket взломали на $3 млн: хакеры атаковали через сайт

Платформа прогнозов Polymarket официально признала — их взломали. Хакеры украли около $3 млн с кошельков пользователей. Они не ломали смарт-контракты или внутреннюю защиту платформы — вредоносный JavaScript-скрипт внедрили прямо в код официального сайта. 

Механика краж сработала так: 

• пользователь заходит на официальный сайт Polymarket;

• вместе с нормальной страницей в его браузер подгружается вредоносный скрипт;

• скрипт тихо запускает wallet drainer — программу, которая выкачивает крипту из кошелька; 

• открывается окно с просьбой подписать транзакцию, но под видом обычных действий ему подсовывают запрос на перевод средств хакерам; 

• человек нажимает «Подтвердить» и все токены улетают.

То есть жертвы сами подписывали перевод своих же средств скамерам, думая, что совершают обычные действия на платформе. 

Аналитики PeckShield выяснили, что хакеры не распылялись на мелкие балансы. Они били точечно — по крупным кошелькам. В итоге опустошили всего 11 адресов, но забрали 3 миллиона долларов. 

Что сделал Polymarket

Компания отреагировала быстро:

• Вырезали вредоносный код — отключили интеграцию со взломанным сторонним вендором.

• Запустили полный аудит — проверяют все внешние библиотеки и интеграции на сайте.

• Пообещали компенсации — менеджмент официально заявил, что вернет всем пострадавшим их средства из резервных фондов.

Polymarket отделался относительно легко — 11 пострадавших, 3 миллиона ущерба, обещания компенсаций. Но сам факт атаки показывает: даже топовые криптоплатформы уязвимы через обычные веб-компоненты. И пока разработчики не научатся лучше контролировать сторонние зависимости, такие инциденты будут повторяться.