Polymarket подтвердила кражу до $700 тыс. с внутреннего кошелька — средства пользователей не пострадали

Polymarket сообщила о компрометации внутреннего кошелька "top-up", который использовался для пополнения пула выплат вознаграждений. По данным компании, злоумышленники вывели до $700 тыс. после утечки приватного ключа, при этом балансы пользователей и исходы рынков затронуты не были. 22 мая ончейн-исследователь ZachXBT обратил внимание на подозрительный вывод средств, связанный с инфраструктурой Polymarket в сети Polygon. Первичная оценка составляла более $520 тыс., списанных с адресов, ассоциируемых с платформой прогнозов. Позже разработчики Polymarket подтвердили инцидент в X, уточнив, что речь идет о кошельке для внутренних "подпиток" вознаграждений, а не о контрактах или ключевой инфраструктуре. Компания заявила, что средства пользователей и процесс определения результатов рынков остаются в безопасности. Примерно через час после первых сообщений аналитическая платформа Bubblemaps оценила ущерб в районе $700 тыс. По ее данным, похищенные средства были распределены по 16 адресам и далее направлялись через централизованные биржи и другие сервисы. Bubblemaps также сообщила, что подозрительные выводы впоследствии прекратились. Независимые наблюдатели и компании по кибербезопасности в целом сходятся во мнении, что произошел провал операционной безопасности, а не взлом протокола. Энди Яцзинь Чжоу, доцент Китайского университета Гонконга и сооснователь BlockSec, заявил Decrypt, что собранные данные указывают на компрометацию приватного ключа административного кошелька, а не на ошибку в логике адаптер-контрактов или в инфраструктуре рынка прогнозов. Похожую оценку дала Cyvers, отметив, что инцидент затронул административные/операционные кошельки, а не базовые расчетные контракты, и вновь подчеркнув системный риск, связанный с привилегированными кошельками и управлением ключами. Руководитель по стратегии инфраструктурной компании Horizontal Systems Дэн Дадыбайо связал эпизод с более широким трендом: атакующие все чаще нацеливаются на операционные уровни — админ-кошельки, права доступа и процессы подписи — вместо прямых атак на смарт-контракты. Базовые контракты Polymarket, фиксирующие ставки и закрывающие рынки, опираются на внешние сервисы для подтверждения исходов. Поскольку скомпрометированный кошелек использовался только для выплат вознаграждений, компания утверждает, что расчеты по рынкам и пользовательские балансы не пострадали. Случай подчеркивает общую для отрасли проблему: даже при устойчивых смарт-контрактах слабое управление ключами, недостаточный контроль доступа и нехватка мониторинга привилегированных кошельков могут привести к существенным потерям. Polymarket и ончейн-аналитики продолжают отслеживать дальнейшее движение средств. Decrypt запросил у Polymarket дополнительные комментарии. История развивается и будет обновляться по мере поступления новой информации.