कैसे हुआ $3 मिलियन का हैक?

हमलावरों ने एक अज्ञात तीसरे पक्ष के वेंडर से समझौता किया, जिस पर Polymarket अपनी वेबसाइट के फ्रंटएंड के लिए निर्भर था। वहां से, उन्होंने Polymarket के फ्रंटएंड में मैलिशियस JavaScript कोड इंजेक्ट किया, जिससे यूजर्स के एक छोटे समूह के लिए फिशिंग-शैली का हमला किया गया। प्लेटफॉर्म के कोर स्मार्ट कॉन्ट्रैक्ट और ब्लॉकचेन इन्फ्रास्ट्रक्चर से कोई छेड़छाड़ नहीं की गई।

मुख्य तकनीकी विवरण इस प्रकार हैं:

• लक्ष्य: मैलिशियस स्क्रिप्ट ने 15 से कम अकाउंट्स को निशाना बनाया; Bubblemaps के ऑन-चेन डेटा से पता चलता है कि कम से कम 11 वॉलेट्स से फंड निकाले गए ।
• चुराई गई संपत्ति: चुराई गई संपत्ति pUSD (Polygon पर Polymarket का ब्रिज्ड USDC) थी। हैकर्स ने फंड को Polygon से Ethereum पर ब्रिज किया और उन्हें लगभग 1,893 ETH में बदल दिया ।
• नुकसान का अनुमान: स्वतंत्र सुरक्षा विश्लेषक Specter ने पुष्टि की गई हानि $2.94 मिलियन बताई, जबकि Polymarket और कई अन्य स्रोत इसे लगभग $3 मिलियन बताते हैं ।

हमले ने क्रिप्टो प्लेटफॉर्म की एक क्लासिक कमजोरी का फायदा उठाया: भले ही ब्लॉकचेन स्मार्ट कॉन्ट्रैक्ट सुरक्षित हों, तीसरे पक्ष की निर्भरताएं कमजोरियां पैदा कर सकती हैं। वैध Polymarket वेबसाइट के साथ बातचीत करने वाले यूजर्स को धोखाधड़ी वाले लेन-देन को मंजूरी देने के लिए बरगलाया गया क्योंकि दुर्भावनापूर्ण कोड वास्तविक प्लेटफॉर्म डोमेन पर चल रहा था ।

Polymarket द्वारा उठाए गए सुरक्षा उपाय

एक्स/ट्विटर पर घोषित Polymarket की तत्काल प्रतिक्रिया में शामिल थे:

• रोकथाम और हटाना: अपने फ्रंटएंड से समझौता किए गए तीसरे पक्ष की निर्भरता को हटाना
• पूर्ण रिफंड: सभी प्रभावित यूजर्स को पूरा रिफंड देने की प्रतिबद्धता
• एक जारी जांच, हालांकि Polymarket ने शामिल वेंडर का नाम बताने से इनकार कर दिया

कंपनी ने उसी सुबह उल्लंघन का पता लगा लिया था और इसकी पुष्टि कर दी थी। हालांकि, यह दो महीने से भी कम समय में Polymarket की दूसरी सुरक्षा घटना थी। मई 2026 के मध्य में, एक आंतरिक वॉलेट हैक में प्राइवेट की से समझौता होने के बाद लगभग $700,000 का नुकसान हुआ था । उस पिछली घटना ने सीधे तौर पर यूजर्स के फंड को प्रभावित नहीं किया था, लेकिन इसने Polymarket की परिचालन सुरक्षा में कमजोरियों का संकेत दिया था, जिसकी पुष्टि जून के सप्लाई-चेन हमले ने कर दी।

भ्रामक मार्केटिंग स्कैंडल

हैक से कुछ ही दिन पहले, 20 जून, 2026 को, वॉल स्ट्रीट जर्नल ने एक बड़ी जांच प्रकाशित की, जिसमें खुलासा हुआ कि Polymarket ने सोशल मीडिया क्रिएटर्स को ऐसे वीडियो बनाने के लिए भुगतान किया था जो झूठा दिखाते थे कि यूजर्स प्लेटफॉर्म पर बड़ी रकम जीत रहे हैं ।

WSJ जांच के मुख्य निष्कर्ष:

• विश्लेषकों ने सोशल प्लेटफॉर्म पर Polymarket के बारे में 1,105 वीडियो की समीक्षा की। उनमें से 778 ने नकली सट्टे (fake bets) दिखाए जो क्लोन साइटों पर थे - किसी ने भी वास्तविक Polymarket एक्सचेंज का उपयोग नहीं किया ।
• वीडियो में सामूहिक रूप से $1.9 मिलियन की जीत दिखाने का दावा किया गया था ।
• Polymarket ने क्रिएटर्स को सट्टे लगाने के नाटक करने के लिए निर्देशात्मक सामग्री प्रदान की ।
• 26 जून, 2026 को - हैक के अगले दिन - नेशनल एसोसिएशन ऑफ कंज्यूमर एडवोकेट्स ने एक मुकदमा दायर कर Polymarket पर एक भ्रामक मार्केटिंग योजना चलाने, गुप्त विज्ञापनों के लिए भुगतान करने, और कॉलेज के छात्रों को आक्रामक रूप से निशाना बनाने का आरोप लगाया ।
• Polymarket ने जवाब में कहा कि वह अपनी प्रचार सामग्री का ऑडिट कर रहा है ।

WSJ रिपोर्ट में विस्तार से बताया गया कि कैसे एक मार्केटिंग कॉन्ट्रैक्टर, Virality, क्रिएटर नेटवर्क का प्रबंधन करता था और क्रिएटर्स को मासिक $2,000 से $3,000 का भुगतान करता था - भुगतान इस शर्त पर कि उनके कम से कम 60% दर्शक अमेरिका में आधारित हों ।

कैसे ये संकट एक-दूसरे को बढ़ाते हैं?

एक के बाद एक आए इन स्कैंडलों ने कई आयामों पर एक बड़ा विश्वास संकट पैदा कर दिया है:

समय महत्वपूर्ण है: हैक WSJ जांच के पांच दिन बाद हुआ, जिसका अर्थ है कि सुरक्षा विफलता ने तुरंत उन आलोचकों को सही साबित कर दिया जो तर्क देते थे कि Polymarket के परिचालन और नैतिक मानक खतरनाक रूप से ढीले थे। कंपनी अब एक साथ सुरक्षा, कानूनी और प्रतिष्ठा संबंधी संकट का सामना कर रही है, जिससे यूजर्स का विश्वास बहाल करने का कोई स्पष्ट रास्ता नहीं दिखता।

क्रिप्टो प्लेटफॉर्म के लिए व्यापक निहितार्थ

Polymarket का सप्लाई-चेन हैक क्रिप्टो सुरक्षा में एक व्यापक पैटर्न का हिस्सा है। तीसरे पक्ष के वेंडरों को लक्षित करने वाले सप्लाई-चेन हमले तेजी से आम हो रहे हैं क्योंकि वे ब्लॉकचेन बुनियादी ढांचे की मजबूत सुरक्षा को दरकिनार कर देते हैं। हमले का तरीका - एक समझौता किए गए फ्रंटएंड डिपेंडेंसी के माध्यम से मैलिशियस JavaScript इंजेक्शन - सर्वविदित है लेकिन सख्त वेंडर जांच और कोड अखंडता नियंत्रणों के बिना रोकना मुश्किल है ।

किसी भी क्रिप्टो प्लेटफॉर्म के साथ बातचीत करने वाले यूजर्स के लिए, Polymarket की घटना कई सबक सिखाती है:

• स्मार्ट कॉन्ट्रैक्ट सुरक्षा पर्याप्त नहीं है यदि फ्रंटएंड निर्भरताओं से समझौता किया जाता है
• तीसरे पक्ष के विक्रेता जोखिम के लिए निरंतर निगरानी की आवश्यकता होती है, न कि केवल शुरुआती परिश्रम की
• तेजी से लगातार होने वाली सुरक्षा घटनाएं पृथक विफलताओं के बजाय प्रणालीगत कमजोरियों का सुझाव देती हैं

Polymarket मामला उस प्रतिष्ठा क्षति को भी उजागर करता है जो तब होती है जब सुरक्षा विफलताएं भ्रामक मार्केटिंग के उजागर होने के तुरंत बाद आती हैं। यूजर्स सोच सकते हैं: यदि कोई प्लेटफॉर्म जीतने के परिणामों के बारे में जनता को धोखा देने को तैयार है, तो वह और किस बारे में धोखा देने को तैयार है?

Polymarket ने सभी प्रभावित यूजर्स को रिफंड करने का संकल्प लिया है, लेकिन कंपनी ने समझौता किए गए वेंडर का नाम नहीं बताया है या यह विस्तृत जानकारी नहीं दी है कि यह उल्लंघन भविष्य की घटनाओं को कैसे रोकेगा । पारदर्शिता और सार्थक सुरक्षा सुधारों के बिना, उपयोगकर्ता का विश्वास फिर से हासिल करना एक कठिन चढ़ाई होगी।

कैसे हुआ $3 मिलियन का हैक?

हमलावरों ने एक अज्ञात तीसरे पक्ष के वेंडर से समझौता किया, जिस पर Polymarket अपनी वेबसाइट के फ्रंटएंड के लिए निर्भर था। वहां से, उन्होंने Polymarket के फ्रंटएंड में मैलिशियस JavaScript कोड इंजेक्ट किया, जिससे यूजर्स के एक छोटे समूह के लिए फिशिंग-शैली का हमला किया गया। प्लेटफॉर्म के कोर स्मार्ट कॉन्ट्रैक्ट और ब्लॉकचेन इन्फ्रास्ट्रक्चर से कोई छेड़छाड़ नहीं की गई।

मुख्य तकनीकी विवरण इस प्रकार हैं:

• लक्ष्य: मैलिशियस स्क्रिप्ट ने 15 से कम अकाउंट्स को निशाना बनाया; Bubblemaps के ऑन-चेन डेटा से पता चलता है कि कम से कम 11 वॉलेट्स से फंड निकाले गए ।
• चुराई गई संपत्ति: चुराई गई संपत्ति pUSD (Polygon पर Polymarket का ब्रिज्ड USDC) थी। हैकर्स ने फंड को Polygon से Ethereum पर ब्रिज किया और उन्हें लगभग 1,893 ETH में बदल दिया ।
• नुकसान का अनुमान: स्वतंत्र सुरक्षा विश्लेषक Specter ने पुष्टि की गई हानि $2.94 मिलियन बताई, जबकि Polymarket और कई अन्य स्रोत इसे लगभग $3 मिलियन बताते हैं ।

हमले ने क्रिप्टो प्लेटफॉर्म की एक क्लासिक कमजोरी का फायदा उठाया: भले ही ब्लॉकचेन स्मार्ट कॉन्ट्रैक्ट सुरक्षित हों, तीसरे पक्ष की निर्भरताएं कमजोरियां पैदा कर सकती हैं। वैध Polymarket वेबसाइट के साथ बातचीत करने वाले यूजर्स को धोखाधड़ी वाले लेन-देन को मंजूरी देने के लिए बरगलाया गया क्योंकि दुर्भावनापूर्ण कोड वास्तविक प्लेटफॉर्म डोमेन पर चल रहा था ।

Polymarket द्वारा उठाए गए सुरक्षा उपाय

एक्स/ट्विटर पर घोषित Polymarket की तत्काल प्रतिक्रिया में शामिल थे:

• रोकथाम और हटाना: अपने फ्रंटएंड से समझौता किए गए तीसरे पक्ष की निर्भरता को हटाना
• पूर्ण रिफंड: सभी प्रभावित यूजर्स को पूरा रिफंड देने की प्रतिबद्धता
• एक जारी जांच, हालांकि Polymarket ने शामिल वेंडर का नाम बताने से इनकार कर दिया

कंपनी ने उसी सुबह उल्लंघन का पता लगा लिया था और इसकी पुष्टि कर दी थी। हालांकि, यह दो महीने से भी कम समय में Polymarket की दूसरी सुरक्षा घटना थी। मई 2026 के मध्य में, एक आंतरिक वॉलेट हैक में प्राइवेट की से समझौता होने के बाद लगभग $700,000 का नुकसान हुआ था । उस पिछली घटना ने सीधे तौर पर यूजर्स के फंड को प्रभावित नहीं किया था, लेकिन इसने Polymarket की परिचालन सुरक्षा में कमजोरियों का संकेत दिया था, जिसकी पुष्टि जून के सप्लाई-चेन हमले ने कर दी।

भ्रामक मार्केटिंग स्कैंडल

हैक से कुछ ही दिन पहले, 20 जून, 2026 को, वॉल स्ट्रीट जर्नल ने एक बड़ी जांच प्रकाशित की, जिसमें खुलासा हुआ कि Polymarket ने सोशल मीडिया क्रिएटर्स को ऐसे वीडियो बनाने के लिए भुगतान किया था जो झूठा दिखाते थे कि यूजर्स प्लेटफॉर्म पर बड़ी रकम जीत रहे हैं ।

WSJ जांच के मुख्य निष्कर्ष:

• विश्लेषकों ने सोशल प्लेटफॉर्म पर Polymarket के बारे में 1,105 वीडियो की समीक्षा की। उनमें से 778 ने नकली सट्टे (fake bets) दिखाए जो क्लोन साइटों पर थे - किसी ने भी वास्तविक Polymarket एक्सचेंज का उपयोग नहीं किया ।
• वीडियो में सामूहिक रूप से $1.9 मिलियन की जीत दिखाने का दावा किया गया था ।
• Polymarket ने क्रिएटर्स को सट्टे लगाने के नाटक करने के लिए निर्देशात्मक सामग्री प्रदान की ।
• 26 जून, 2026 को - हैक के अगले दिन - नेशनल एसोसिएशन ऑफ कंज्यूमर एडवोकेट्स ने एक मुकदमा दायर कर Polymarket पर एक भ्रामक मार्केटिंग योजना चलाने, गुप्त विज्ञापनों के लिए भुगतान करने, और कॉलेज के छात्रों को आक्रामक रूप से निशाना बनाने का आरोप लगाया ।
• Polymarket ने जवाब में कहा कि वह अपनी प्रचार सामग्री का ऑडिट कर रहा है ।

WSJ रिपोर्ट में विस्तार से बताया गया कि कैसे एक मार्केटिंग कॉन्ट्रैक्टर, Virality, क्रिएटर नेटवर्क का प्रबंधन करता था और क्रिएटर्स को मासिक $2,000 से $3,000 का भुगतान करता था - भुगतान इस शर्त पर कि उनके कम से कम 60% दर्शक अमेरिका में आधारित हों ।

कैसे ये संकट एक-दूसरे को बढ़ाते हैं?

एक के बाद एक आए इन स्कैंडलों ने कई आयामों पर एक बड़ा विश्वास संकट पैदा कर दिया है:

समय महत्वपूर्ण है: हैक WSJ जांच के पांच दिन बाद हुआ, जिसका अर्थ है कि सुरक्षा विफलता ने तुरंत उन आलोचकों को सही साबित कर दिया जो तर्क देते थे कि Polymarket के परिचालन और नैतिक मानक खतरनाक रूप से ढीले थे। कंपनी अब एक साथ सुरक्षा, कानूनी और प्रतिष्ठा संबंधी संकट का सामना कर रही है, जिससे यूजर्स का विश्वास बहाल करने का कोई स्पष्ट रास्ता नहीं दिखता।

क्रिप्टो प्लेटफॉर्म के लिए व्यापक निहितार्थ

Polymarket का सप्लाई-चेन हैक क्रिप्टो सुरक्षा में एक व्यापक पैटर्न का हिस्सा है। तीसरे पक्ष के वेंडरों को लक्षित करने वाले सप्लाई-चेन हमले तेजी से आम हो रहे हैं क्योंकि वे ब्लॉकचेन बुनियादी ढांचे की मजबूत सुरक्षा को दरकिनार कर देते हैं। हमले का तरीका - एक समझौता किए गए फ्रंटएंड डिपेंडेंसी के माध्यम से मैलिशियस JavaScript इंजेक्शन - सर्वविदित है लेकिन सख्त वेंडर जांच और कोड अखंडता नियंत्रणों के बिना रोकना मुश्किल है ।

किसी भी क्रिप्टो प्लेटफॉर्म के साथ बातचीत करने वाले यूजर्स के लिए, Polymarket की घटना कई सबक सिखाती है:

• स्मार्ट कॉन्ट्रैक्ट सुरक्षा पर्याप्त नहीं है यदि फ्रंटएंड निर्भरताओं से समझौता किया जाता है
• तीसरे पक्ष के विक्रेता जोखिम के लिए निरंतर निगरानी की आवश्यकता होती है, न कि केवल शुरुआती परिश्रम की
• तेजी से लगातार होने वाली सुरक्षा घटनाएं पृथक विफलताओं के बजाय प्रणालीगत कमजोरियों का सुझाव देती हैं

Polymarket मामला उस प्रतिष्ठा क्षति को भी उजागर करता है जो तब होती है जब सुरक्षा विफलताएं भ्रामक मार्केटिंग के उजागर होने के तुरंत बाद आती हैं। यूजर्स सोच सकते हैं: यदि कोई प्लेटफॉर्म जीतने के परिणामों के बारे में जनता को धोखा देने को तैयार है, तो वह और किस बारे में धोखा देने को तैयार है?

Polymarket ने सभी प्रभावित यूजर्स को रिफंड करने का संकल्प लिया है, लेकिन कंपनी ने समझौता किए गए वेंडर का नाम नहीं बताया है या यह विस्तृत जानकारी नहीं दी है कि यह उल्लंघन भविष्य की घटनाओं को कैसे रोकेगा । पारदर्शिता और सार्थक सुरक्षा सुधारों के बिना, उपयोगकर्ता का विश्वास फिर से हासिल करना एक कठिन चढ़ाई होगी।