پلتفرم Polymarket در تاریخ ۲۹ اکتبر ۲۰۲۶ با یک حادثه امنیتی جدی مواجه شد که در پی نفوذ به یک تأمین‌کننده خارجی (Third-party provider)، کاربران این پلتفرم بین‌المللی را در معرض سرقت دارایی از کیف پول‌هایشان قرار داد.
معامله‌گران از ناپدید شدن دارایی‌ها، برداشت‌های غیرمنتظره و بسته شدن موقعیت‌های معاملاتی (Positions) بدون اجازه خود گزارش داده‌اند. این شرکت به‌طور موقت معاملات را متوقف کرد و اعلام نمود که مشکل برطرف شده و متعهد به جبران خسارت کاربران آسیب‌دیده است.
جزئیات فنی حمله: تزریق اسکریپت مخرب
بررسی‌های فنی انجام شده توسط Hudson Rock نشان می‌دهد که یک اسکریپت مخرب JavaScript از طریق آدرس DebugBear (یک سرویس مانیتورینگ عملکرد وب‌سایت) که با Polymarket مرتبط بود، توزیع شده است. این کد به‌جای اندازه‌گیری عملکرد صفحه، به‌دنبال یافتن نشست‌های معاملاتی فعال (Active trading sessions) بود، اطلاعات حساب را بررسی می‌کرد و تلاش می‌کرد با استفاده از ابزارهای معاملاتی موجود در پلتفرم، دارایی‌ها را جابه‌جا کند.
این اسکریپت اطلاعات موجود در حافظه مرورگر (Browser storage) شامل جزئیات حساب، آدرس کیف پول و اعتبارنامه‌های API معاملاتی را می‌خواند. سپس در کامپوننت‌های React اپلیکیشن به‌دنبال کلاینت معاملاتی فعال و Signer (ابزاری که برای تایید عملیات کیف پول استفاده می‌شود) می‌گشت. این رویکرد به‌جای تکیه صرف بر سرقت رمز عبور، تلاش می‌کرد از دسترسی‌های موجود در یک نشست (Session) لاگین‌شده سوءاستفاده کند.
میزان خسارت و پاسخ به حادثه
گزارش‌ها حاکی از آن است که دست‌کم ۲.۷ میلیون دلار از ۷۱۰ کیف پول برداشت شده است. این رقم یک تخمین است و هنوز به‌صورت رسمی تأیید نشده است. Polymarket اعلام کرده است که کاربران آسیب‌دیده را جبران خسارت خواهد کرد.
توصیه‌های امنیتی برای کاربران و متخصصان
- تب‌های (Tabs) مرورگر که احتمالاً در معرض خطر هستند را فوراً ببندید.
- سفارش‌ها و تراکنش‌های اخیر کیف پول خود را از طریق کانال‌های رسمی بررسی کنید.
- درخواست‌های امضای (Signing requests) غیرمنتظره را بلافاصله رد کنید.
- هرگز عبارت بازیابی (Seed phrase) خود را با هیچ‌کس به اشتراک نگذارید.
- توجه داشته باشید که قطع کردن اتصال کیف پول به‌تنهایی، تراکنش‌های تکمیل‌شده یا تاییدیه (Approvals) موجود در بلاک‌چین را لغو نمی‌کند.
به‌روزرسانی (اکتبر 30, 2026 — BleepingComputer)
به‌روزرسانی:
در بررسی‌های تکمیلی، مشخص شده است که مهاجمان موفق به سرقت حدود ۲.۵ میلیون دلار (معادل ۲۸.۶ میلیون توکن POL) شده‌اند که این دارایی‌ها به یک کیف پول مشخص منتقل شده است.
محققان امنیتی، آدرس کیف پول مهاجم را 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 و آدرس اسکریپت مخرب JavaScript را cdn.debugbear[.]com/C7xcKKrjUnXK.js شناسایی کردند. این اسکریپت از طریق زیرساخت سرویس مانیتورینگ DebugBear توزیع شده بود.
پلتفرم Polymarket اعلام کرده است که تمامی کاربران آسیب‌دیده را جبران خسارت (Reimburse) خواهد کرد و در حال همکاری با نهادهای قانونی برای پیگیری این حادثه است.
به‌روزرسانی (اکتبر 30, 2026 — SecurityWeek)
به‌روزرسانی: گزارش‌های جدید از میزان خسارت ناشی از حمله زنجیره تأمین (Supply Chain Attack) به پلتفرم Polymarket منتشر شده است. برآوردها نشان می‌دهند که این حادثه منجر به سرقت مبالغی بین ۲.۱۹ تا ۲.۷۱ میلیون دلار شده است. این حمله که از طریق سرویس مانیتورینگ DebugBear انجام شد، تنها پلتفرم بین‌المللی این صرافی را هدف قرار داده و پلتفرم ایالات متحده (US platform) از آن در امان مانده است.
تحلیل‌های فنی نشان می‌دهد که اسکریپت مخرب JavaScript برخلاف تصور اولیه، اقدام به سرقت کلیدهای خصوصی (Private Keys) یا عبارت‌های بازیابی (Seed Phrases) نکرده است. در عوض، این حمله با سوءاستفاده از سطح دسترسی نشست‌های احراز شده (Authenticated Sessions) و ابزارهای موجود در مرورگر کاربر، اقدام به فروش موقعیت‌های معاملاتی یا انتقال مستقیم توکن‌ها به کیف پول مهاجم کرده است.
