Polymarket потерял $2,7 млн через подмену DNS стороннего сервиса
Атака на Polymarket 29 октября 2026 года произошла не через взлом смарт-контрактов платформы. Злоумышленники получили возможность изменить DNS-записи стороннего сервиса мониторинга DebugBear через его регистратора домена, после чего доверенный JavaScript на сайте Polymarket был заменен вредоносным. Скрипт использовал уже активные пользовательские сессии для продажи позиций и вывода средств. Polymarket сообщает примерно о $2,7 млн прямых потерь и 726 затронутых кошельках, а общий объем компенсаций с учетом последствий остановки торгов составит $3,9 млн.Как сторонний сервис превратился в точку входа
Polymarket использовал внешний скрипт для мониторинга производительности сайта. По официальному постмортему Polymarket, 29 октября код стороннего поставщика был заменен версией, специально предназначенной для атаки на пользователей площадки.Позднее DebugBear уточнил первоначальный вектор. В сообщении компании говорится, что DNS-записи ее домена были скомпрометированы через регистратора. При этом DebugBear не обнаружил признаков проникновения в собственные внутренние системы.
Это принципиальное различие. Злоумышленникам не обязательно было получать доступ к серверам Polymarket или изменять код самой платформы. Браузер пользователя продолжал обращаться к домену внешнего сервиса, которому сайт уже доверял, но после подмены DNS за этим адресом оказался другой контент.
Как именно атакующие получили возможность менять DNS через регистратора DebugBear, компания пока публично не установила. Поэтому утверждать, что был взломан сам регистратор, его сотрудник или непосредственно учетная запись DebugBear у регистратора, оснований пока нет.
Вредоносный код использовал уже открытые сессии
После загрузки на страницу вредоносный скрипт проверял активную сессию Polymarket и мог взаимодействовать с доступными через нее торговыми функциями. Платформа сообщает, что таким способом у части пользователей принудительно продавались позиции и перемещались средства из кошельков.То есть основная атака происходила на уровне веб-интерфейса и доверия браузера к загруженному стороннему коду. Публичных свидетельств взлома основных смарт-контрактов Polymarket в этом эпизоде нет.
Ончейн-анализ также показывает, что выводы выглядели как операции с действительными разрешениями и проходили через штатную инфраструктуру площадки. Это объясняет, почему атака могла обходиться без непосредственного извлечения приватных ключей пользовательских кошельков.
Механизм заметно отличается от недавно разобранного PavRC взлома Binance на $6,3 млрд. Там расследование касается компрометации инфраструктуры горячих кошельков и системы авторизации. В случае Polymarket слабым звеном оказался внешний код, выполнявшийся непосредственно в браузерах пользователей.
Сколько украли и сколько кошельков пострадало
Polymarket оценивает прямой ущерб примерно в $2,7 млн и сообщает о 726 затронутых кошельках. К 30 октября полностью компенсированы были 689 из них, а выплаты оставшимся 37 проходили дополнительную проверку. В официальном постмортеме этот показатель округлен до 95% полностью компенсированных кошельков.Независимый анализ Bitquery дает немного другие цифры - $2,73 млн и 737 опустошенных аккаунтов. Такое расхождение не обязательно означает противоречие: аналитики считают операции по блокчейну, тогда как Polymarket определяет пострадавшие кошельки на основании собственных данных о пользователях и торговых сессиях.
Поэтому для числа официально признанных пострадавших PavRC использует показатель Polymarket - 726 кошельков. Для общей стоимости кражи обе оценки практически совпадают и находятся около $2,7 млн.
Почему Polymarket возвращает $3,9 млн при краже $2,7 млн
Общие выплаты больше непосредственно похищенной суммы. Polymarket заявил о возврате $3,9 млн пользователям: около $2,7 млн приходится на прямые потери от атаки, еще примерно $1,2 млн - на последствия остановки торгов и принудительного изменения позиций.Платформа временно перевела биржу в режим отмены ордеров и остановила relayer, чтобы прекратить дальнейший вывод. После удаления стороннего скрипта были очищены кэши и сброшены активные пользовательские сессии, затем торговля возобновилась.
По состоянию на последний официальный постмортем Polymarket сообщал о компенсации 95% затронутых кошельков. Более позднего первичного сообщения, подтверждающего завершение выплат всем оставшимся пользователям, PavRC не обнаружил.
Это уже второй подобный инцидент Polymarket за 2026 год
Схема с компрометацией стороннего JavaScript для Polymarket не новая. В июне 2026 года другой внешний поставщик также был скомпрометирован, после чего вредоносный код попал во фронтенд площадки.По данным CoinDesk, итоговая оценка июньских потерь выросла примерно до $3,1 млн. Тогда Polymarket также обещал полностью компенсировать пострадавшим средства.
Повторение сходного класса атак через несколько месяцев делает нынешний случай важнее обычной кражи на $2,7 млн. Проблема находится не только в конкретном поставщике, а в самой модели доверия стороннему коду, который выполняется на странице с активной финансовой сессией пользователя.
Что Polymarket изменил после атаки
После инцидента Polymarket заявил об усилении контроля за сторонними скриптами. Среди названных мер - более строгая Content Security Policy, закрепление конкретных версий внешнего кода, дополнительная изоляция и непрерывный контроль его целостности.Сам DebugBear 3 ноября сообщил, что сервис снова работает и прием электронной почты восстановлен. Поэтому первоначальное сообщение о невозможности получать письма уже не описывает текущее состояние компании.
Главный вывод инцидента шире Polymarket и DebugBear: доверенный внешний JavaScript на странице, где пользователь уже авторизован и имеет финансовые полномочия, становится частью границы безопасности самого сервиса. Компрометация DNS поставщика может в таком случае превратить обычный аналитический скрипт в канал атаки, даже если основные серверы и блокчейн-контракты платформы остаются исправными.
Итог
Атака 29 октября не была классическим взломом смарт-контрактов Polymarket. По текущей версии, злоумышленники получили контроль над DNS-записями DebugBear через регистратора и использовали доверенную стороннюю зависимость для доставки вредоносного JavaScript пользователям Polymarket.Платформа признает около $2,7 млн прямых потерь и 726 пострадавших кошельков. Общие компенсации с учетом последствий остановки торгов составят $3,9 млн. При этом остается неизвестным первоначальный способ получения доступа к управлению DNS DebugBear - именно этот вопрос пока является главным незакрытым звеном расследования.
Редакция PavRC