איך קרתה המתקפה ב-3 מיליון דולר

האקרים חדרו לספק חיצוני לא מזוהה ששימש את פולימרקט עבור תחזוקת ממשק האתר. משם, הם החדירו קוד JavaScript זדוני לממשק, וביצעו מתקפת פישינג ממוקדת לעבר קבוצת משתמשים מצומצמת. חוזי החכמה (Smart Contracts) עצמם לא נפרצו – הפרצה הייתה נקודתית בממשק החיצוני .

פרטים טכניים חשובים כוללים:

• יעד: הקוד הזדוני כיוון לפחות מ-15 חשבונות. מבדיקת שרשרת הבלוקים (blockchain) של Bubblemaps עולה שנפרצו לפחות 11 ארנקים .
• נכסים שנגנבו: המטבע שנגנב היה pUSD (גרסה מגושרת של USDC על רשת Polygon). התוקפים גישרו את הכספים לרשת Ethereum והמירו אותם לכ-1,893 ETH .
• הערכת הנזק: אנליסט האבטחה העצמאי Specter העריך את ההפסד המאושר ב-2.94 מיליון דולר; פולימרקט ומקורות נוספים מעגלים את הסכום לכ-3 מיליון דולר .

מה עשתה פולימרקט כדי לעצור את המתקפה

תגובתה המיידית של פולימרקט, שפורסמה בחשבון ה-X (לשעבר טוויטר) שלה, כללה:

• בלימה מיידית: החברה עצרה את המתקפה, הסירה את התלות בספק החיצוני שנפרץ מממשק האתר .
• השבה מלאה: החברה התחייבה להחזיר את מלוא הכספים לכל המשתמשים שנפגעו .
• חקירה מתמשכת, אך פולימרקט סרבה לפרסם את שם הספק המעורב .

המהירות הייתה מרשימה – החברה איתרה ואישרה את המתקפה באותו הבוקר. אבל זו לא היתה הפעם הראשונה. באמצע מאי 2026 התרחשה מתקפה על ארנק פנימי של הפלטפורמה, שהביאה לגניבת כ-700,000 דולר בעקבות חשיפת מפתח פרטי . גם אז לא נגעו כספי המשתמשים ישירות, אך האירועים הצביעו על חולשות מתמשכות בתפעול הפלטפורמה – שאושרו בהמשך במתקפת שרשרת האספקה של יוני.

שערוריית השיווק המטעה: סרטונים מזויפים של זכיות

זמן קצר לפני המתקפה, ב-20 ביוני 2026, פרסם הוול סטריט ג'ורנל תחקיר מטלטל. על פי התחקיר, פולימרקט שילמה ליוצרי תוכן ברשתות חברתיות כדי להפיק סרטונים שבהם הם מציגים זכיות גדולות בפלטפורמה – אך מדובר היה בתרגיל מבוים .

ממצאי התחקיר:

• החוקרים בחנו 1,105 סרטונים על פולימרקט. 778 מתוכם הציגו הימורים מזויפים על אתרי העתקה – אף אחד מהם לא השתמש בפלטפורמה האמיתית .
• הסרטונים טענו להציג זכיות בסך כולל של 1.9 מיליון דולר .
• פולימרקט סיפקה ליוצרים חומרי הדרכה לצילום ההימורים .
• ב-26 ביוני 2026 – יום אחרי הפריצה – הגישה עמותת נציגות הצרכנים הארצית (National Association of Consumer Advocates) תביעה ייצוגית נגד פולימרקט. היא האשימה את הפלטפורמה בקמפיין שיווקי מטעה, בפרסום סמוי, ובמיקוד סטודנטים תוך הסתרת סיכויי ההפסד .
• פולימרקט הגיבה כי היא בודקת את תכני השיווק שלה .

איך המשברים מעצימים זה את זה

שתי הפרשיות יוצרות משבר אמון מצטבר בכמה מישורים:

לקחים רחבים יותר לפלטפורמות קריפטו

מתקפת שרשרת האספקה על פולימרקט היא חלק מדפוס רחב יותר בעולם האבטחה הקריפטוגרפי. מתקפות כאלה הולכות והופכות נפוצות יותר, משום שהן עוקפות את האבטחה החזקה של תשתיות הבלוקצ'יין. שיטת התקיפה – החדרת JavaScript זדוני דרך ספק חיצוני – מוכרת אך קשה למניעה ללא פיקוח קפדני על ספקים ובקרת תקינות קוד .

עבור משתמשים בכל פלטפורמת קריפטו, האירוע הזה מדגיש כמה לקחים מרכזיים:

• אבטחת חוזה חכם לבדה אינה מספיקה – יש להגן גם על הממשקים החיצוניים
• יש לנהל סיכוני ספק חיצוני כל הזמן, לא רק בבדיקת נאותות ראשונית
• אירועי אבטחה חוזרים במהירות מעידים על חולשות מערכתיות, לא על תקלות מבודדות

פולימרקט התחייבה להחזיר את כל הכספים, אך טרם פרסמה את שם הספק שנפרץ או פירוט על הצעדים למניעת אירועים עתידיים . ללא שקיפות ושיפור אבטחה משמעותי, הדרך לשיקום האמון תהיה ארוכה ותלולה.

איך קרתה המתקפה ב-3 מיליון דולר

האקרים חדרו לספק חיצוני לא מזוהה ששימש את פולימרקט עבור תחזוקת ממשק האתר. משם, הם החדירו קוד JavaScript זדוני לממשק, וביצעו מתקפת פישינג ממוקדת לעבר קבוצת משתמשים מצומצמת. חוזי החכמה (Smart Contracts) עצמם לא נפרצו – הפרצה הייתה נקודתית בממשק החיצוני .

פרטים טכניים חשובים כוללים:

• יעד: הקוד הזדוני כיוון לפחות מ-15 חשבונות. מבדיקת שרשרת הבלוקים (blockchain) של Bubblemaps עולה שנפרצו לפחות 11 ארנקים .
• נכסים שנגנבו: המטבע שנגנב היה pUSD (גרסה מגושרת של USDC על רשת Polygon). התוקפים גישרו את הכספים לרשת Ethereum והמירו אותם לכ-1,893 ETH .
• הערכת הנזק: אנליסט האבטחה העצמאי Specter העריך את ההפסד המאושר ב-2.94 מיליון דולר; פולימרקט ומקורות נוספים מעגלים את הסכום לכ-3 מיליון דולר .

מה עשתה פולימרקט כדי לעצור את המתקפה

תגובתה המיידית של פולימרקט, שפורסמה בחשבון ה-X (לשעבר טוויטר) שלה, כללה:

• בלימה מיידית: החברה עצרה את המתקפה, הסירה את התלות בספק החיצוני שנפרץ מממשק האתר .
• השבה מלאה: החברה התחייבה להחזיר את מלוא הכספים לכל המשתמשים שנפגעו .
• חקירה מתמשכת, אך פולימרקט סרבה לפרסם את שם הספק המעורב .

המהירות הייתה מרשימה – החברה איתרה ואישרה את המתקפה באותו הבוקר. אבל זו לא היתה הפעם הראשונה. באמצע מאי 2026 התרחשה מתקפה על ארנק פנימי של הפלטפורמה, שהביאה לגניבת כ-700,000 דולר בעקבות חשיפת מפתח פרטי . גם אז לא נגעו כספי המשתמשים ישירות, אך האירועים הצביעו על חולשות מתמשכות בתפעול הפלטפורמה – שאושרו בהמשך במתקפת שרשרת האספקה של יוני.

שערוריית השיווק המטעה: סרטונים מזויפים של זכיות

זמן קצר לפני המתקפה, ב-20 ביוני 2026, פרסם הוול סטריט ג'ורנל תחקיר מטלטל. על פי התחקיר, פולימרקט שילמה ליוצרי תוכן ברשתות חברתיות כדי להפיק סרטונים שבהם הם מציגים זכיות גדולות בפלטפורמה – אך מדובר היה בתרגיל מבוים .

ממצאי התחקיר:

• החוקרים בחנו 1,105 סרטונים על פולימרקט. 778 מתוכם הציגו הימורים מזויפים על אתרי העתקה – אף אחד מהם לא השתמש בפלטפורמה האמיתית .
• הסרטונים טענו להציג זכיות בסך כולל של 1.9 מיליון דולר .
• פולימרקט סיפקה ליוצרים חומרי הדרכה לצילום ההימורים .
• ב-26 ביוני 2026 – יום אחרי הפריצה – הגישה עמותת נציגות הצרכנים הארצית (National Association of Consumer Advocates) תביעה ייצוגית נגד פולימרקט. היא האשימה את הפלטפורמה בקמפיין שיווקי מטעה, בפרסום סמוי, ובמיקוד סטודנטים תוך הסתרת סיכויי ההפסד .
• פולימרקט הגיבה כי היא בודקת את תכני השיווק שלה .

איך המשברים מעצימים זה את זה

שתי הפרשיות יוצרות משבר אמון מצטבר בכמה מישורים:

לקחים רחבים יותר לפלטפורמות קריפטו

מתקפת שרשרת האספקה על פולימרקט היא חלק מדפוס רחב יותר בעולם האבטחה הקריפטוגרפי. מתקפות כאלה הולכות והופכות נפוצות יותר, משום שהן עוקפות את האבטחה החזקה של תשתיות הבלוקצ'יין. שיטת התקיפה – החדרת JavaScript זדוני דרך ספק חיצוני – מוכרת אך קשה למניעה ללא פיקוח קפדני על ספקים ובקרת תקינות קוד .

עבור משתמשים בכל פלטפורמת קריפטו, האירוע הזה מדגיש כמה לקחים מרכזיים:

• אבטחת חוזה חכם לבדה אינה מספיקה – יש להגן גם על הממשקים החיצוניים
• יש לנהל סיכוני ספק חיצוני כל הזמן, לא רק בבדיקת נאותות ראשונית
• אירועי אבטחה חוזרים במהירות מעידים על חולשות מערכתיות, לא על תקלות מבודדות

פולימרקט התחייבה להחזיר את כל הכספים, אך טרם פרסמה את שם הספק שנפרץ או פירוט על הצעדים למניעת אירועים עתידיים . ללא שקיפות ושיפור אבטחה משמעותי, הדרך לשיקום האמון תהיה ארוכה ותלולה.