รายละเอียดทางเทคนิคที่สำคัญ:

• เป้าหมาย: โค้ดอันตรายกำหนดเป้าหมายไปที่บัญชี น้อยกว่า 15 บัญชี ข้อมูลบนเชนจาก Bubblemaps ระบุว่ามีวอลเล็ตถูกดูดเงินอย่างน้อย 11 วอลเล็ต
• ทรัพย์สินที่ถูกขโมย: เหรียญ pUSD (USDC ที่ Polymarket เชื่อมไว้บน Polygon) แฮกเกอร์ย้ายเงินจาก Polygon ไปยัง Ethereum และแลกเป็น ประมาณ 1,893 ETH
• มูลค่าความเสียหาย: นักวิเคราะห์ความปลอดภัยอิสระ Specter ประเมินความเสียหายที่ 2.94 ล้านดอลลาร์ ขณะที่ Polymarket และแหล่งข่าวอื่นๆ ปัดเป็นตัวเลขกลมๆ ประมาณ 3 ล้านดอลลาร์

การโจมตีนี้ชี้ให้เห็นจุดอ่อนคลาสสิกของแพลตฟอร์มคริปโต: แม้สัญญาอัจฉริยะจะปลอดภัยแค่ไหน แต่การพึ่งพาบริการจากภายนอกก็สามารถสร้างช่องโหว่ได้ ผู้ใช้ที่เข้าเว็บไซต์จริงของ Polymarket ถูกหลอกให้ยืนยันธุรกรรมปลอม เพราะโค้ดอันตรายทำงานบนโดเมนของแพลตฟอร์มจริง

มาตรการที่ Polymarket ดำเนินการ

Polymarket ประกาศโต้ตอบบน X/Twitter ทันที ดังนี้:

• ควบคุมและลบ ผู้ให้บริการภายนอกที่ถูกเจาะระบบออกจากส่วนหน้าของเว็บไซต์
• ชดใช้เต็มจำนวน ให้ผู้ใช้ที่ได้รับผลกระทบทั้งหมด
• อยู่ระหว่างการสอบสวน แต่ปฏิเสธที่จะเปิดเผยชื่อผู้ให้บริการรายนั้น

แม้การตอบสนองจะรวดเร็ว (ตรวจพบและยืนยันการโจมตีในเช้าวันเดียวกัน) แต่นี่คือ เหตุการณ์ด้านความปลอดภัยครั้งที่สอง ของ Polymarket ในเวลาไม่ถึงสองเดือน ก่อนหน้านี้ในกลางเดือนพฤษภาคม 2569 มีการแฮกวอลเล็ตภายในทำให้เสียหายประมาณ 700,000 ดอลลาร์ จากการรั่วไหลของคีย์ส่วนตัว เหตุการณ์ครั้งก่อนไม่กระทบเงินผู้ใช้โดยตรง แต่ก็ส่งสัญญาณถึงจุดอ่อนด้านความปลอดภัยในการปฏิบัติงาน ซึ่งการโจมตีในเดือนมิถุนายนนี้ยิ่งตอกย้ำ

ฉากหลัง: คลิปปลอมที่ถูกเปิดโปง

เพียงไม่กี่วันก่อนถูกแฮก ในวันที่ 20 มิถุนายน 2569 หนังสือพิมพ์ วอลล์สตรีทเจอร์นัล ตีพิมพ์ข่าวสืบสวนชิ้นโบแดง เปิดเผยว่า Polymarket จ่ายเงินให้ครีเอเตอร์บนโลกออนไลน์เพื่อผลิตคลิปวิดีโอที่แสร้งว่าผู้ใช้ชนะเดิมพันก้อนโต บนแพลตฟอร์ม

ประเด็นสำคัญจากการสืบสวนของ WSJ:

• นักวิเคราะห์ตรวจสอบ คลิปวิดีโอ 1,105 คลิป เกี่ยวกับ Polymarket บนโซเชียลมีเดีย 778 คลิป เป็นการเดิมพันปลอม บนเว็บไซต์เลียนแบบ — ไม่มีคลิปไหนใช้เว็บ Polymarket จริงเลย
• คลิปเหล่านั้นรวมกันแสร้งว่ามีเงินรางวัลรวม 1.9 ล้านดอลลาร์
• Polymarket จัดเตรียม เอกสารคำแนะนำ วิธีการแสร้งเดิมพันให้ครีเอเตอร์
• ในวันที่ 26 มิถุนายน 2569 — วันหลังจากถูกแฮก — สมาคมพิทักษ์สิทธิผู้บริโภคแห่งชาติ (National Association of Consumer Advocates) ยื่นฟ้อง Polymarket ข้อหาวางแผนการตลาดหลอกลวง จ่ายค่าโฆษณาแฝง และมุ่งเป้าหมายไปที่นักศึกษาวิทยาลัยพร้อมทั้งปิดบังความน่าจะเป็นในการแพ้
• Polymarket ตอบโต้ว่ากำลัง ตรวจสอบเนื้อหาส่งเสริมการขาย ของตน

รายงานของ WSJ ระบุรายละเอียดว่า Virality บริษัททำการตลาดเป็นผู้จัดการเครือข่ายครีเอเตอร์ โดยจ่ายค่าจ้างให้ครีเอเตอร์เดือนละ 2,000 – 3,000 ดอลลาร์ โดยมีเงื่อนไขว่าผู้ชมของครีเอเตอร์อย่างน้อย 60% ต้องอยู่ในสหรัฐฯ ทั้งที่สถานะทางกฎหมายของตลาดพยากรณ์ยังคลุมเครือ

วิกฤตซ้อนวิกฤต: ความเสียหายทวีคูณอย่างไร

เหตุการณ์ทั้งสองที่เกิดขึ้นติดๆ กัน สร้างวิกฤตความไว้วางใจแบบทวีคูณในหลายมิติ:

จังหวะเวลาสำคัญยิ่ง: การโจมตีเกิดขึ้น 5 วัน หลังจาก ข่าวสืบสวนของ WSJ หมายความว่าความล้มเหลวด้านความปลอดภัยนี้ยิ่งตอกย้ำคำวิจารณ์ว่า Polymarket มีมาตรฐานการดำเนินงานและจริยธรรมที่อันตรายเกินไป ตอนนี้บริษัทต้องเผชิญ วิกฤตด้านความปลอดภัย กฎหมาย และชื่อเสียงพร้อมกัน โดยไม่มีหนทางชัดเจนในการฟื้นฟูความเชื่อมั่น

บทเรียนกว้างๆ สำหรับแพลตฟอร์มคริปโต

การโจมตี Polymarket ครั้งนี้เป็นส่วนหนึ่งของรูปแบบที่กว้างขึ้นในวงการรักษาความปลอดภัยคริปโต การโจมตีห่วงโซ่อุปทานที่มุ่งเป้าไปที่ผู้ให้บริการภายนอกกำลังเกิดขึ้นบ่อยขึ้น เพราะเป็นการเลี่ยงระบบรักษาความปลอดภัยที่แข็งแกร่งของโครงสร้างพื้นฐานบล็อกเชน วิธีการโจมตี — การฉีด JavaScript ผ่านผู้ให้บริการส่วนหน้าที่ถูกเจาะ — เป็นที่รู้จักกันดีแต่ยากจะป้องกันได้หากไม่มีการตรวจสอบผู้ให้บริการอย่างเข้มงวดและควบคุมความสมบูรณ์ของโค้ด

สำหรับผู้ใช้ที่โต้ตอบกับแพลตฟอร์มคริปโตใดๆ เหตุการณ์ Polymarket ตอกย้ำบทเรียนสำคัญ:

• ความปลอดภัยของสัญญาอัจฉริยะยังไม่พอ หากส่วนหน้าของเว็บไซต์ที่พึ่งพาบริการภายนอกถูกบุกรุก
• ความเสี่ยงจากผู้ให้บริการภายนอก ต้องมีการติดตามอย่างต่อเนื่อง ไม่ใช่แค่ตรวจสอบสถานะเบื้องต้น
• เหตุการณ์ด้านความปลอดภัยที่เกิดถี่ๆ บ่งชี้ถึงจุดอ่อนเชิงระบบ ไม่ใช่ความล้มเหลวแบบแยกส่วน

กรณีของ Polymarket ยังชี้ให้เห็นถึงความเสียหายต่อชื่อเสียงที่ตามมาเมื่อความล้มเหลวด้านความปลอดภัยเกิดขึ้นทันทีหลังจากถูกเปิดโปงเรื่องการตลาดหลอกลวง ผู้ใช้อาจตั้งคำถามว่า: หากแพลตฟอร์มยินดีหลอกลวงสาธารณชนเกี่ยวกับผลการเดิมพัน แล้วพวกเขาจะไม่หลอกลวงเรื่องอื่นอีกหรือ?

Polymarket สัญญาจะคืนเงินให้ผู้ใช้ที่ได้รับผลกระทบทั้งหมด แต่บริษัทยังไม่เปิดเผยชื่อผู้ให้บริการที่ถูกเจาะ หรือให้รายละเอียดว่าการป้องกันในอนาคตจะเป็นอย่างไร หากปราศจากความโปร่งใสและการปรับปรุงความปลอดภัยที่มีความหมาย การสร้างความเชื่อมั่นของผู้ใช้กลับคืนมาจะเป็นเรื่องยากยิ่ง

รายละเอียดทางเทคนิคที่สำคัญ:

• เป้าหมาย: โค้ดอันตรายกำหนดเป้าหมายไปที่บัญชี น้อยกว่า 15 บัญชี ข้อมูลบนเชนจาก Bubblemaps ระบุว่ามีวอลเล็ตถูกดูดเงินอย่างน้อย 11 วอลเล็ต
• ทรัพย์สินที่ถูกขโมย: เหรียญ pUSD (USDC ที่ Polymarket เชื่อมไว้บน Polygon) แฮกเกอร์ย้ายเงินจาก Polygon ไปยัง Ethereum และแลกเป็น ประมาณ 1,893 ETH
• มูลค่าความเสียหาย: นักวิเคราะห์ความปลอดภัยอิสระ Specter ประเมินความเสียหายที่ 2.94 ล้านดอลลาร์ ขณะที่ Polymarket และแหล่งข่าวอื่นๆ ปัดเป็นตัวเลขกลมๆ ประมาณ 3 ล้านดอลลาร์

การโจมตีนี้ชี้ให้เห็นจุดอ่อนคลาสสิกของแพลตฟอร์มคริปโต: แม้สัญญาอัจฉริยะจะปลอดภัยแค่ไหน แต่การพึ่งพาบริการจากภายนอกก็สามารถสร้างช่องโหว่ได้ ผู้ใช้ที่เข้าเว็บไซต์จริงของ Polymarket ถูกหลอกให้ยืนยันธุรกรรมปลอม เพราะโค้ดอันตรายทำงานบนโดเมนของแพลตฟอร์มจริง

มาตรการที่ Polymarket ดำเนินการ

Polymarket ประกาศโต้ตอบบน X/Twitter ทันที ดังนี้:

• ควบคุมและลบ ผู้ให้บริการภายนอกที่ถูกเจาะระบบออกจากส่วนหน้าของเว็บไซต์
• ชดใช้เต็มจำนวน ให้ผู้ใช้ที่ได้รับผลกระทบทั้งหมด
• อยู่ระหว่างการสอบสวน แต่ปฏิเสธที่จะเปิดเผยชื่อผู้ให้บริการรายนั้น

แม้การตอบสนองจะรวดเร็ว (ตรวจพบและยืนยันการโจมตีในเช้าวันเดียวกัน) แต่นี่คือ เหตุการณ์ด้านความปลอดภัยครั้งที่สอง ของ Polymarket ในเวลาไม่ถึงสองเดือน ก่อนหน้านี้ในกลางเดือนพฤษภาคม 2569 มีการแฮกวอลเล็ตภายในทำให้เสียหายประมาณ 700,000 ดอลลาร์ จากการรั่วไหลของคีย์ส่วนตัว เหตุการณ์ครั้งก่อนไม่กระทบเงินผู้ใช้โดยตรง แต่ก็ส่งสัญญาณถึงจุดอ่อนด้านความปลอดภัยในการปฏิบัติงาน ซึ่งการโจมตีในเดือนมิถุนายนนี้ยิ่งตอกย้ำ

ฉากหลัง: คลิปปลอมที่ถูกเปิดโปง

เพียงไม่กี่วันก่อนถูกแฮก ในวันที่ 20 มิถุนายน 2569 หนังสือพิมพ์ วอลล์สตรีทเจอร์นัล ตีพิมพ์ข่าวสืบสวนชิ้นโบแดง เปิดเผยว่า Polymarket จ่ายเงินให้ครีเอเตอร์บนโลกออนไลน์เพื่อผลิตคลิปวิดีโอที่แสร้งว่าผู้ใช้ชนะเดิมพันก้อนโต บนแพลตฟอร์ม

ประเด็นสำคัญจากการสืบสวนของ WSJ:

• นักวิเคราะห์ตรวจสอบ คลิปวิดีโอ 1,105 คลิป เกี่ยวกับ Polymarket บนโซเชียลมีเดีย 778 คลิป เป็นการเดิมพันปลอม บนเว็บไซต์เลียนแบบ — ไม่มีคลิปไหนใช้เว็บ Polymarket จริงเลย
• คลิปเหล่านั้นรวมกันแสร้งว่ามีเงินรางวัลรวม 1.9 ล้านดอลลาร์
• Polymarket จัดเตรียม เอกสารคำแนะนำ วิธีการแสร้งเดิมพันให้ครีเอเตอร์
• ในวันที่ 26 มิถุนายน 2569 — วันหลังจากถูกแฮก — สมาคมพิทักษ์สิทธิผู้บริโภคแห่งชาติ (National Association of Consumer Advocates) ยื่นฟ้อง Polymarket ข้อหาวางแผนการตลาดหลอกลวง จ่ายค่าโฆษณาแฝง และมุ่งเป้าหมายไปที่นักศึกษาวิทยาลัยพร้อมทั้งปิดบังความน่าจะเป็นในการแพ้
• Polymarket ตอบโต้ว่ากำลัง ตรวจสอบเนื้อหาส่งเสริมการขาย ของตน

รายงานของ WSJ ระบุรายละเอียดว่า Virality บริษัททำการตลาดเป็นผู้จัดการเครือข่ายครีเอเตอร์ โดยจ่ายค่าจ้างให้ครีเอเตอร์เดือนละ 2,000 – 3,000 ดอลลาร์ โดยมีเงื่อนไขว่าผู้ชมของครีเอเตอร์อย่างน้อย 60% ต้องอยู่ในสหรัฐฯ ทั้งที่สถานะทางกฎหมายของตลาดพยากรณ์ยังคลุมเครือ

วิกฤตซ้อนวิกฤต: ความเสียหายทวีคูณอย่างไร

เหตุการณ์ทั้งสองที่เกิดขึ้นติดๆ กัน สร้างวิกฤตความไว้วางใจแบบทวีคูณในหลายมิติ:

จังหวะเวลาสำคัญยิ่ง: การโจมตีเกิดขึ้น 5 วัน หลังจาก ข่าวสืบสวนของ WSJ หมายความว่าความล้มเหลวด้านความปลอดภัยนี้ยิ่งตอกย้ำคำวิจารณ์ว่า Polymarket มีมาตรฐานการดำเนินงานและจริยธรรมที่อันตรายเกินไป ตอนนี้บริษัทต้องเผชิญ วิกฤตด้านความปลอดภัย กฎหมาย และชื่อเสียงพร้อมกัน โดยไม่มีหนทางชัดเจนในการฟื้นฟูความเชื่อมั่น

บทเรียนกว้างๆ สำหรับแพลตฟอร์มคริปโต

การโจมตี Polymarket ครั้งนี้เป็นส่วนหนึ่งของรูปแบบที่กว้างขึ้นในวงการรักษาความปลอดภัยคริปโต การโจมตีห่วงโซ่อุปทานที่มุ่งเป้าไปที่ผู้ให้บริการภายนอกกำลังเกิดขึ้นบ่อยขึ้น เพราะเป็นการเลี่ยงระบบรักษาความปลอดภัยที่แข็งแกร่งของโครงสร้างพื้นฐานบล็อกเชน วิธีการโจมตี — การฉีด JavaScript ผ่านผู้ให้บริการส่วนหน้าที่ถูกเจาะ — เป็นที่รู้จักกันดีแต่ยากจะป้องกันได้หากไม่มีการตรวจสอบผู้ให้บริการอย่างเข้มงวดและควบคุมความสมบูรณ์ของโค้ด

สำหรับผู้ใช้ที่โต้ตอบกับแพลตฟอร์มคริปโตใดๆ เหตุการณ์ Polymarket ตอกย้ำบทเรียนสำคัญ:

• ความปลอดภัยของสัญญาอัจฉริยะยังไม่พอ หากส่วนหน้าของเว็บไซต์ที่พึ่งพาบริการภายนอกถูกบุกรุก
• ความเสี่ยงจากผู้ให้บริการภายนอก ต้องมีการติดตามอย่างต่อเนื่อง ไม่ใช่แค่ตรวจสอบสถานะเบื้องต้น
• เหตุการณ์ด้านความปลอดภัยที่เกิดถี่ๆ บ่งชี้ถึงจุดอ่อนเชิงระบบ ไม่ใช่ความล้มเหลวแบบแยกส่วน

กรณีของ Polymarket ยังชี้ให้เห็นถึงความเสียหายต่อชื่อเสียงที่ตามมาเมื่อความล้มเหลวด้านความปลอดภัยเกิดขึ้นทันทีหลังจากถูกเปิดโปงเรื่องการตลาดหลอกลวง ผู้ใช้อาจตั้งคำถามว่า: หากแพลตฟอร์มยินดีหลอกลวงสาธารณชนเกี่ยวกับผลการเดิมพัน แล้วพวกเขาจะไม่หลอกลวงเรื่องอื่นอีกหรือ?

Polymarket สัญญาจะคืนเงินให้ผู้ใช้ที่ได้รับผลกระทบทั้งหมด แต่บริษัทยังไม่เปิดเผยชื่อผู้ให้บริการที่ถูกเจาะ หรือให้รายละเอียดว่าการป้องกันในอนาคตจะเป็นอย่างไร หากปราศจากความโปร่งใสและการปรับปรุงความปลอดภัยที่มีความหมาย การสร้างความเชื่อมั่นของผู้ใช้กลับคืนมาจะเป็นเรื่องยากยิ่ง