Для: тех, кто пользуется Polymarket, и тех, кто управляет сайтами, которые загружают скрипты из внешних сервисов. Статья основана на официальной странице статуса Polymarket и сообщениях прессы и не описывает, как провести такую атаку.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
По состоянию на 31 октября 2026 годаПока неизвестно
- Официальная сумма потерь
- Число пострадавших пользователей
- Как будет проходить возмещение
- Как был скомпрометирован третий участник
Страница статуса Polymarket пометила инцидент как решенный 29 октября. Дальнейшего отчета, который мы смогли бы найти, на 31 октября она не публиковала. По сообщениям, поставщик велел своим клиентам удалить его скрипт.
Что делать пользователям сегодня
Проверьте свой аккаунт на официальном сайте
Откройте Polymarket, вводя адрес сами (а не по ссылке из сообщения), и просмотрите свои позиции, балансы и недавнюю активность за 29 октября. Если что-то не совпадает с тем, что делали вы, свяжитесь с Polymarket через канал поддержки, указанный на ее официальном сайте.
Не действуйте по сообщениям о возмещении
Страница статуса Polymarket говорит, что пострадавшим пользователям будет выплачена компенсация, но порядка подачи требований не дает. Мошенники часто пользуются такими моментами. Не нажимайте на ссылки в письмах, личных сообщениях или ответах, не подключайте кошелек к новому сайту и ничего не подписывайте, чтобы «получить» средства. Дождитесь объявления на официальном сайте или странице статуса.
Никогда не сообщайте фразу восстановления или закрытый ключ
Настоящей службе поддержки они не нужны. Это относится независимо от того, упоминается ли в сообщении Polymarket (Что такое фишинг?).
Используйте это как повод проверить собственную уязвимость
Этот сайт не дает финансовых советов. В общем случае средства, которые не нужны вам на торговой платформе, надежнее держать в другом месте, а то, что платформа компенсирует ущерб пользователям, не устраняет риск того, что ваш следующий вход станет целью мошенничества. Повторное использование паролей в разных сервисах — отдельный риск (как проверить, утек ли ваш пароль).
Что произошло (по данным Polymarket и прессы)
Официальное время ниже взято со страницы статуса Polymarket и переведено из UTC в восточное время (на странице указано UTC). Время, отмеченное как пресса, взято из сообщений прессы об анализе компании по исследованию безопасности, а не от Polymarket.
29 октября 2026, 13:50–13:56 по восточному времени (пресса)
Собственный анализ блокчейн-активности BleepingComputer показывает транзакции с предполагаемого кошелька злоумышленника, связанные с контрактом токена рынка предсказаний, между 13:50 и 13:56 по восточному времени.13:59 по восточному времени (пресса)
Пресса со ссылкой на компанию по исследованию безопасности сообщает, что производственная сборка Polymarket с временной меткой этого времени удалила интеграцию стороннего мониторинга.14:05 по восточному времени (Polymarket)
Страница статуса: биржа в режиме только отмены, действия релейера приостановлены на время расследования.14:37 по восточному времени (Polymarket)
Страница статуса: проблема выявлена и устранена; сторонний поставщик был скомпрометирован; передано правоохранительным органам; всем пострадавшим будет возмещен ущерб; торги временно приостановлены из чрезмерной предосторожности.Около 15:00 по восточному времени (Polymarket)
Ожидалось возобновление торгов; страница статуса пометила инцидент как решенный в 15:05 по восточному времени. Пресса сообщает, что торги возобновились примерно через час после остановки.
- Сервис
- Polymarket.com, международная платформа. Пресса сообщает, что платформа для США не была затронута; на странице Polymarket названа только международная платформа
- Что говорит Polymarket
- Сторонний поставщик был скомпрометирован; проблема выявлена и устранена; передано правоохранительным органам; пострадавшим пользователям будет выплачена компенсация
- Что сообщает пресса (не Polymarket)
- Поставщик — сервис мониторинга производительности сайтов, чей скрипт загружался на страницах Polymarket. Сообщаемое поведение: он действовал в аккаунтах вошедших в систему пользователей, продавая их позиции или перемещая токены позиций на адрес, выбранный злоумышленником. Исследовательская компания (по данным SecurityWeek) сказала, что не нашла кода, отправляющего злоумышленнику учетные данные, пароли, фразы восстановления или закрытые ключи; скрипт, по сообщениям, в основном использовал права вошедшей в систему сессии
- Сумма
- Polymarket не раскрывает. Пресса и аналитические компании проследили примерно от 2,2 до 2,7 млн долларов до предполагаемых кошельков. Меньшая цифра — это число исследовательской компании по активам одного кошелька, которое, по словам SecurityWeek, не является проверенной суммой. Мнение одной аналитической компании, о котором сообщает SecurityWeek: число адресов не равно числу пострадавших
- Реакция поставщика
- Пресса сообщает, что поставщик подтвердил инцидент безопасности и велел своим клиентам удалить его скрипт
Что известно и что пока нет
Состояние на 31 октября 2026 года.
| Пункт | Что сказано | Статус |
|---|---|---|
| Сторонний поставщик скомпрометирован | Страница статуса Polymarket, 29 октября | Подтверждено (Polymarket) |
| Торги остановлены и возобновлены | Временно остановлены в 14:37 по восточному времени; решено в 15:05 по восточному времени | Подтверждено (Polymarket) |
| Передача правоохранительным органам | Указано на странице статуса | Подтверждено (Polymarket) |
| Пользователям будет выплачена компенсация | «Пострадавшим пользователям будет выплачена компенсация» | Подтверждено (Polymarket), подробности не раскрыты |
| Тип поставщика | Сервис мониторинга производительности сайтов | Сообщения прессы (два издания) |
| Поведение скрипта | Продавал или перемещал активы вошедших в систему пользователей | Сообщения прессы, анализ исследовательской компании |
| Сумма | Прослежено примерно от 2,2 до 2,7 млн долларов | Оценка прессы, официальной цифры нет |
| Число пострадавших пользователей | Не указано | Не раскрыто |
| Как был скомпрометирован поставщик | Не указано | Расследуется (по данным прессы) |
| Кража паролей или фраз восстановления | Исследовательская компания не нашла кода, который их отправлял бы | Вывод третьей стороны; не подтверждено Polymarket |
Почему сторонний скрипт — риск на странице, где пользователь вошел в систему
Скрипт, который сайт загружает из внешнего сервиса, работает с тем же доступом, что и собственный код сайта. В общем случае на странице, где пользователь вошел в систему, такой скрипт может видеть то, что видит пользователь, и действовать с помощью уже имеющейся у пользователя сессии. Поэтому компрометация у внешнего поставщика может затронуть пользователей сайта без взлома серверов самого сайта. Это общая причина, а не дополнительная подробность об этом инциденте.
В публичных данных выделяются две особенности этого случая. Скрипт затронутого поставщика был инструментом мониторинга, который многие сайты добавляют для данных о производительности и который работает на каждой странице. И, по данным прессы, сборка Polymarket, удалившая интеграцию, имела временную метку примерно через 10 минут после первых подозрительных транзакций, что показывает, как быстро может закончиться уязвимость, когда сайт может отключить скрипт.
Для операторов сайтов: три проверки на основе публичных сведений
Polymarket не опубликовала причину, поэтому этот раздел не оценивает ее меры. Он использует только факты выше.
Составьте перечень всех внешних скриптов на страницах, где пользователи вошли в систему
Включите аналитику, мониторинг, виджеты чата и менеджеры тегов. Для каждого запишите, кто им владеет, зачем он здесь и кто может его отключить. Удалите все ненужные, особенно на страницах, которые перемещают деньги или меняют настройки аккаунта. См. заголовки безопасности, которые все еще важны.
Ограничьте то, что могут делать внешние скрипты
Политика безопасности контента может ограничить, откуда загружаются скрипты и куда они могут отправлять данные. Проверки целостности подресурсов помогают, когда скрипт отдается как фиксированный файл, но не помогают, когда поставщик законно меняет файл, поэтому для самых рискованных страниц рассмотрите отдачу скрипта со своего домена после проверки или отказ от его загрузки вовсе.
Не позволяйте одной сессии разрешать действия с крупными суммами
Требуйте нового подтверждения (запрос подписи, второй фактор или задержку с уведомлением) для продаж, выводов и смены адресов. Тогда скрипт, способный использовать только существующую сессию, не сможет тихо их завершить.
Мнение этого сайта: важнее всего первые минуты
По данным прессы, сборка, удалившая интеграцию, была сделана примерно через 10 минут после первых подозрительных транзакций. Документированный способ быстро отключить любой внешний скрипт и оповещение о необычных схемах транзакций превращают долгий инцидент в короткий.
Скрипт стороннего поставщика был скомпрометирован
↓→
Какие внешние скрипты загружаются там, где пользователи вошли в систему?
Скрипт действовал через сессии вошедших пользователей (пресса)
↓→
Требуют ли действия с крупными суммами нового подтверждения?
Сборка, удалившая его, примерно через 10 минут (пресса)
↓→
Можете ли вы быстро отключить любой внешний скрипт?
Источники (публичные сведения)
- Страница статуса Polymarket, «Polymarket exchange disruption» (29 октября 2026) — status.polymarket.com
- BleepingComputer, «Polymarket halts trading after crypto-draining script breach, $2.5M traced» (октябрь 2026) — bleepingcomputer.com
- SecurityWeek, «$2 million drained from Polymarket traders in new supply chain attack» (30 октября 2026) — securityweek.com
Сообщения прессы использованы для типа поставщика, сообщаемого поведения скрипта и сумм и отмечены как таковые выше. Пресса также цитирует заявление компании; для официальных формулировок мы опираемся на страницу статуса.
История обновлений
2026-10-31: Первая версия, основанная на странице статуса Polymarket и двух сообщениях прессы. Мы обновим эту статью, когда Polymarket опубликует сумму потерь, порядок возмещения или причину.
Читайте далее
- Инцидент того же рода: Возможная утечка данных карт в интернет-магазине APORITO (RIZAP)
- Кража криптовалюты: Кража криптовалюты у Bitget
- Другие инциденты 2026 года: Утечки данных и кибератаки в 2026 году