ב־29 באוקטובר 2026 עצרה Polymarket את המסחר בבורסה הבינלאומית שלה למשך כמעט שעה, לאחר שמשתמשים דיווחו שכספים נעלמו מחשבונותיהם. החברה מסרה שספק צד שלישי נפגע, הודיעה שהבעיה תוקנה והבטיחה לפצות את כל הסוחרים שנפגעו.
7
13
16
איך התרחשה הפרצה?
דיווחים וניתוחים טכניים קשרו את הקוד הזדוני לסקריפט של DebugBear, שירות לניטור ביצועי אתרים ששולב באתר Polymarket. חוקרי אבטחה דיווחו שמצאו בקובץ קוד שנועד לנקז ארנקים, וכי כתובת של ארנק חשוד הוטמעה בו ככתובת חלופית לקבלת כספים.
1
2
6
עם זאת, אין במידע שפורסם תמונה מלאה שמאמתת את כל שלבי התקיפה. בפרט, לא ניתן לקבוע בוודאות כיצד נאספו פרטי הגישה או הרשאות המשתמשים, האם כל הפוזיציות נמכרו בהנחה, ומה היה מסלול הכסף בכל חשבון שנפגע. חלק מהסוחרים דיווחו על הפסדים, אך Polymarket לא פרסמה מספר סופי של נפגעים או של סכום שנגנב.
7
16
המסחר נעצר — ואז חזר
בזמן הבדיקה העבירה Polymarket את הבורסה הבינלאומית למצב „ביטול בלבד”: משתמשים יכלו לבטל פקודות קיימות, אך לא להגיש פקודות קנייה או מכירה חדשות. החברה גם השהתה את פעילות ה־relayer — רכיב שמסייע בביצוע פעולות בפלטפורמה. המקורות הזמינים אינם מפרטים בדיוק אילו פעולות נוספות, כגון העברות אסימונים או אישורי הוצאה, נחסמו.
5
12
14
המסחר חודש בסביבות 15:00 לפי שעון החוף המזרחי בארה״ב, לאחר השבתה של כמעט שעה. הדיווחים תיארו את האירוע כפגיעה בבורסה הבינלאומית; לא דווח על פגיעה מקבילה בפלטפורמה האמריקאית.
5
9
16
מה מראים נתוני הבלוקצ'יין?
דיווחים המבוססים על נתוני Arkham תיארו כתובת של תוקף חשוד שהמירה מטבעות USDC.e ו־USDC ל־POL. בשלב מסוים הוחזקו בה POL בשווי של כ־2.65 מיליון דולר, ובהמשך דווח שהכספים הועברו ממנה. זהו נתון על שווי הנכסים שנצפה בכתובת בזמן מסוים — לא הוכחה לסכום הסופי שנגנב או להפסדי כלל המשתמשים.
4
5
14
חברת הסייבר Hudson Rock דיווחה שהכתובת הוגדרה בקוד ככתובת חלופית לקבלת כספים.
1
2 בניתוח טכני אחר הוצגה גם תמונת מצב שבה נמצאו בכתובת כ־2.18 מיליון דולר ב־POL, בנקודת זמן שונה.
3
ההפסדים והתגובה של Polymarket
סוחרים אחדים טענו שהפסידו סכומים גדולים: אחד דיווח על 800 אלף דולר, ואמר שחבר שלו איבד 600 אלף דולר נוספים. מדובר בטענות שפורסמו, ולא בסכומים שאומתו באופן עצמאי או אושרו על ידי Polymarket.
Polymarket אמרה שתפצה את כל המשתמשים שנפגעו, ומסרה שהפנתה את המקרה לרשויות אכיפת החוק. CNBC דיווחה שהעניין הועבר לרשויות בבריטניה. נכון לדיווחים שפורסמו, החברה לא מסרה כמה חשבונות נפגעו או מהו סכום ההפסדים הכולל.
9
13
16
בנפרד מהפריצה, Polymarket בדקה הימורים חשודים ומתוזמנים היטב סביב הבחירות בישראל, ובהם הימורים של מאות חשבונות חדשים שנפתחו זמן קצר לפני סגירת הקלפיות. אין במידע הזמין ראיה לכך שהבדיקה הזאת קשורה למתקפת הסייבר.
17
18
הפרטים שהוזכרו לגבי גניבה קודמת ביוני, הטענה שזו תקרית האבטחה השלישית השנה, שווי של 21 מיליארד דולר, עלייה צפויה במסחר לקראת בחירות האמצע בארה״ב או חקירה של הימורים הקשורים אליהן אינם מבוססים דיים במקורות שנבדקו, ולכן אין להציגם כעובדות מאומתות.