Расследование кибератаки на крупнейшую платформу биржи предсказаний Polymarket, в результате которой 29 октября со счетов пользователей исчезло более 2,7 миллиона долларов, обнаружило серьезную брешь в архитектуре современных криптовалютных бирж. Злоумышленникам не понадобилось находить уязвимости в сложных смарт-контрактах или взламывать кошельки. Деньги были украдены прямо “на глазах” у системы защиты - через активные браузерные сессии ничего не подозревающих пользователей. К расследованию инцидента уже подключились правоохранительные органы Великобритании.
Точкой входа стала британская ИТ-компания DebugBear, предоставляющая услуги мониторинга производительности сайтов. В нормальных условиях ее скрипт просто измеряет скорость загрузки страниц. Однако хакеры получили доступ к инфраструктуре провайдера и подменили легитимный файл на сервере вредоносным JavaScript-кодом. Платформа Polymarket, доверявшая этому инструменту, сама загрузила «троянского коня» в браузеры своих пользователей.
Оказавшись внутри активной сессии, алгоритм действовал молниеносно. Он сканировал локальное хранилище браузера на наличие учетных данных API и брал на себя управление торговым клиентом. Поскольку сессия уже была верифицирована, платформа воспринимала эти действия как легитимные команды самого владельца аккаунта. Скрипт в фоновом режиме продавал позиции трейдеров и выводил активы. Всего за один час, в период с 17:10 до 18:10 UTC, аналитики Bitquery зафиксировали 985 несанкционированных транзакций.
Жертвами взлома стали 737 аккаунтов, однако почти половина всей украденной суммы (около 43%) пришлась всего на четыре крупных счета, при этом максимальная разовая потеря составила более 358 тысяч долларов. Еще у 33 пользователей хакеры похитили непосредственно доли в пулах предсказаний. Выведенные средства, преимущественно в токенах POL, преступники начали оперативно переводить в сеть Ethereum через несколько кроссчейн-мостов, чтобы максимально запутать цифровые следы и усложнить возврат активов.
Руководство Polymarket отреагировало в начале седьмого вечера по всемирному времени, переведя торги в режим отмены ордеров и приостановив работу. Спустя час функционал восстановили, а вредоносный скрипт мониторинга был удален из кода сайта. Представители биржи заверили, что проблема локализована, и пообещали в полном объеме компенсировать убытки всем пострадавшим. Однако специалисты из блокчейн-компаний отмечают, что даже после официального сообщения об устранении угрозы был зафиксирован как минимум один странный вывод средств на сумму около 11 долларов, требующий дополнительного изучения.
Для Polymarket этот инцидент стал серьезным репутационным ударом, обнажившим системную проблему управления рисками. В июне платформа уже потеряла около 3 миллионов долларов из-за абсолютно идентичной атаки через скомпрометированного стороннего поставщика, а в мае лишилась 700 тысяч из-за утечки закрытого ключа.
Инцидент с Polymarket оказался не единственным ударом по безопасности криптоиндустрии 29 октября: в этот же день биржа Binance подверглась крупнейшей атаке в истории, лишившись 6,4 млрд долларов. По данным блокчейн-аналитиков, северокорейская хакерская группировка TraderTraitor взломала рабочий ноутбук DevOps-инженера Binance, получив контроль над инфраструктурой подписи транзакций. Массовый вывод активов из «горячих» кошельков занял всего 20 минут. Как и в случае с Polymarket, руководство Binance пообещало, что балансы рядовых пользователей не пострадают, а все потери биржа компенсирует из собственного страхового фонда.
Ольга Божкова