В четверг, 29 октября, трейдеры начали сообщать о выводах, которых не делали. Polymarket остановила торги на международной бирже, а затем подтвердила, что проблема связана со взломом стороннего поставщика данных. Торги возобновили в 15:00 по восточному времени.
Что произошло
Источник CNBC, знакомый с ситуацией, назвал провайдера — DebugBear, сервис мониторинга производительности сайтов. DebugBear подтвердил в X, что в четверг пострадал от инцидента безопасности, но подробностей не раскрыл. Поскольку компания базируется в Великобритании, Polymarket передала разбирательство британским правоохранителям.
Сколько именно пользователей затронуто, не сообщается. Аналитики Betting Intelligence и Polysights по открытым данным насчитали один аккаунт, который вывел не менее $2,7 млн через 710 других кошельков. Polymarket заявила, что вернёт $3,9 млн: $2,7 млн украденных средств и $1,2 млн компенсации за потери из-за паузы. К вечеру пятницы, 30 октября, компания отчиталась о возврате 95% кошельков. Тем, у кого забрали больше $10 000, нужно подписать форму согласия.
Американская площадка Polymarket не пострадала. Международная работает как DeFi-приложение на Polygon и не регулируется в США.
Контекст
Это не первый подобный случай: в июне Polymarket уже сообщала о компрометации стороннего вендора и возврате средств. Нынешний инцидент случился за несколько дней до промежуточных выборов в США 3 ноября, когда объёмы торгов традиционно растут.
Что делать
Пользователям стоит проверить, какие кошельки подключены к Polymarket, и отозвать разрешения, которые больше не нужны. Фишинг и поддельные «страницы возврата» после таких новостей — обычное дело: все компенсации Polymarket проводит сама, подписывать транзакции по ссылкам из чатов не нужно.
On Thursday, 29 October, traders began reporting withdrawals they had not made. Polymarket halted trading on its international exchange and later confirmed the problem stemmed from a breach at a third-party data provider. Trading resumed at 3 p.m. ET.
What happened
A person familiar with the matter told CNBC the provider was DebugBear, a website performance monitoring service. DebugBear said on X that it suffered a security incident on Thursday but gave no details. Because the company is based in the UK, Polymarket referred the matter to British law enforcement.
The number of affected users is unclear. Analysts at Betting Intelligence and Polysights, reviewing public data, counted one account that withdrew at least $2.7 million across 710 other wallets. Polymarket said it would return $3.9 million: $2.7 million in stolen funds plus $1.2 million to cover pause-related losses. By Friday afternoon, 30 October, it reported 95% of affected wallets refunded. Users who lost more than $10,000 must sign a release form.
Polymarket’s US platform was not compromised. The international exchange runs as a DeFi application on Polygon and is not regulated in the US.
Context
This is not the first such case: in June, Polymarket reported a compromised third-party vendor and refunded users. The latest incident came days before the 3 November US midterms, when trading volumes typically rise.
What to do
Users should review which wallets are connected to Polymarket and revoke approvals they no longer need. Phishing and fake “refund pages” are routine after news like this: Polymarket handles refunds itself, and there is no reason to sign transactions from links received in chats.