Атака на Polymarket: как хакеры украли $3 млн через стороннего подрядчика и почему скандал с фальшивыми выигрышами только усугубил кризис

25 июня 2026 года платформа для ставок на исход событий Polymarket подверглась атаке на цепочку поставок (supply-chain attack), в результате которой было похищено около $3 млн средств пользователей. Инцидент произошёл всего через пять дней после того, как расследование The Wall Street Journal раскрыло, что платформа платила создателям контента за съёмку фальшивых видео с выигрышами . Такое стечение обстоятельств превратило серьёзный сбой в системе безопасности в кризис доверия, подняв вопросы об операционной целостности, управлении сторонними поставщиками и защите пользователей.

Как произошёл взлом на $3 млн

Злоумышленники скомпрометировали неопознанного стороннего подрядчика, чей код использовался в интерфейсе сайта Polymarket. Получив доступ, они внедрили вредоносный JavaScript на фронтенд платформы, который позволял проводить фишинговые атаки на часть пользователей. Смарт-контракты и блокчейн-инфраструктура, лежащие в основе Polymarket, не были взломаны — уязвимость была исключительно на уровне цепочки поставок фронтенда .

Ключевые технические детали:

• Цель: Вредоносный скрипт был нацелен на менее чем 15 аккаунтов; данные блокчейна от Bubblemaps указывают как минимум на 11 опустошённых кошельков .
• Похищенные активы: Украденный актив — pUSD (мостовая версия USDC от Polymarket в сети Polygon). Злоумышленники перевели средства из Polygon в Ethereum и обменяли их примерно на 1,893 ETH .
• Оценка ущерба: Независимый аналитик безопасности Specter оценил подтверждённые потери в $2.94 млн, в то время как Polymarket и многие источники округляют сумму до $3 млн .

Атака использовала классическую уязвимость криптоплатформ: даже при безопасных блокчейн-смарт-контрактах зависимость от сторонних компонентов может привести к появлению уязвимостей. Пользователи, взаимодействовавшие с легитимным сайтом Polymarket, были обмануты и одобрили мошеннические транзакции, поскольку вредоносный код выполнялся на реальном домене платформы .

Меры безопасности, предпринятые Polymarket

Немедленная реакция Polymarket, о которой было объявлено в соцсети X/Twitter, включала:

• Локализацию и удаление скомпрометированного стороннего компонента из фронтенда
• Полное возмещение ущерба всем пострадавшим пользователям
• Проведение расследования, хотя Polymarket отказалась назвать скомпрометированного подрядчика

Реакция была быстрой — компания обнаружила и подтвердила взлом тем же утром. Однако это был второй инцидент безопасности на Polymarket менее чем за два месяца. В середине мая 2026 года из-за компрометации закрытого ключа был взломан внутренний кошелёк, что привело к потерям примерно в $700,000 . Тот инцидент не затронул средства пользователей напрямую, но указал на слабости в операционной безопасности Polymarket, которые июньская атака на цепочку поставок подтвердила.

Скандал с обманным маркетингом

Всего за несколько дней до взлома, 20 июня 2026 года, The Wall Street Journal опубликовал сенсационное расследование, в котором утверждалось, что Polymarket платил создателям контента в соцсетях за производство видео, где они якобы выигрывали крупные суммы на платформе .

Основные выводы расследования WSJ:

• Аналитики изучили 1,105 видео о Polymarket в социальных сетях. 778 из них показывали фальшивые ставки на поддельных сайтах-клонах — ни одно не использовало реальную биржу Polymarket .
• В этих видео в общей сложности якобы были показаны выигрыши на сумму $1.9 млн .
• Polymarket предоставлял создателям инструкции по тому, как инсценировать ставки .
• 26 июня 2026 года — на следующий день после взлома — Национальная ассоциация защиты прав потребителей (National Association of Consumer Advocates) подала иск, обвинив Polymarket в организации обманной маркетинговой схемы, оплате скрытой рекламы и агрессивном привлечении студентов колледжей при сокрытии вероятностей проигрыша .
• Polymarket ответил, что проводит аудит своего рекламного контента .

В отчёте WSJ также упоминалось, что маркетинговый подрядчик Virality управлял сетью создателей и платил им от $2,000 до $3,000 в месяц. Выплаты были обусловлены тем, что не менее 60% их аудитории находилось в США, несмотря на неопределённость регулирования рынков прогнозов .

Как эти кризисы усугубляют друг друга

Последовательность скандалов создаёт нарастающий кризис доверия по нескольким направлениям:

Аспект	Влияние
Доверие к безопасности	Два взлома за два месяца — взлом внутреннего кошелька в мае и атака на цепочку поставок в июне — демонстрируют неадекватное управление рисками от сторонних подрядчиков
Операционная честность	Скандал с фальшивыми видео показывает, что Polymarket добровольно вводил общественность в заблуждение относительно результатов ставок. Теперь у пользователей есть основания сомневаться в подлинности любого рекламного контента или даже рыночных данных
Регуляторные риски	Иск ассоциации потребителей в сочетании со взломом усиливает аргументы в пользу регуляторных мер. Polymarket и ранее находился под пристальным вниманием CFTC и действует в рамках соглашения с SEC на $1.4 млрд от 2024 года за работу незарегистрированной биржи
Доверие пользователей	Платформа, которая как фабрикует выигрыши, так и не может защитить свой фронтенд от известного типа атак (внедрение JS через цепочку поставок), даёт пользователям мало причин доверять ей свои реальные средства

Время имеет значение: взлом произошёл через пять дней после публикации расследования WSJ, поэтому сбой в безопасности немедленно подтвердил опасения критиков, утверждавших, что операционные и этические стандарты Polymarket опасно низки. Компания теперь столкнулась с одновременным кризисом безопасности, юридическим и репутационным кризисом, не имея чёткого пути к восстановлению доверия пользователей.

Более широкие последствия для криптоплатформ

Атака на цепочку поставок Polymarket является частью более широкой тенденции в сфере кибербезопасности криптовалют. Атаки на цепочку поставок, нацеленные на сторонних подрядчиков, становятся всё более распространёнными, поскольку они обходят надёжную защиту блокчейн-инфраструктуры. Вектор атаки — внедрение вредоносного JavaScript через скомпрометированную зависимость фронтенда — хорошо известен, но его трудно предотвратить без тщательной проверки поставщиков и контроля целостности кода .

Для пользователей, взаимодействующих с любыми криптоплатформами, инцидент с Polymarket подчёркивает несколько уроков:

• Безопасности смарт-контрактов недостаточно, если скомпрометированы зависимости фронтенда
• Риски от сторонних подрядчиков требуют постоянного мониторинга, а не только предварительной проверки
• Несколько инцидентов безопасности за короткий промежуток времени указывают на системные слабости, а не на изолированные сбои

Polymarket обязался возместить ущерб всем пострадавшим пользователям, но компания не назвала скомпрометированного подрядчика и не предоставила подробностей о том, как предотвратить подобные инциденты в будущем . Без прозрачности и значительных улучшений в области безопасности восстановление доверия пользователей будет крайне сложной задачей.