Polymarket 30 октября опубликовала постмортем атаки на международную платформу, произошедшей днём ранее. Сторонний поставщик загрузил на сайт скрипт мониторинга производительности, который злоумышленник подменил вредоносной версией. У части людей, державших Polymarket.com открытым в короткий период атаки, скрипт использовал активную сессию, чтобы продавать позиции и переводить средства из кошелька.

Это была компрометация веб-интерфейса и пользовательских сессий, а не блокчейна Polygon. В первом материале об инциденте DOK приводил технический разбор Hudson Rock, связавший вредоносный код с сервисом DebugBear. Polymarket и в постмортеме не назвала поставщика: компания лишь сообщила, что он публично подтвердил компрометацию.

Площадка удалила скрипт, очистила кэши, остановила торги и ретранслятор операций, а после проверки возобновила работу и сбросила все активные сеансы входа. Теперь сторонние скрипты планируют запускать с более жёсткой политикой загрузки, фиксированными версиями и изоляцией; расследование передано правоохранительным органам.

По данным Polymarket на вторую половину 30 октября, 95% затронутых кошельков уже получили полное возмещение. Общая сумма возвратов составляет $3,9 млн: $2,7 млн относятся к украденным средствам и принудительно проданным позициям, ещё $1,2 млн — к убыткам из-за остановки торгов. Площадка определяла получателей по данным блокчейна и своей торговой системы без заявок; для спорных случаев оставлена форма проверки.

Компания не раскрыла число затронутых кошельков, точную продолжительность вредоносной загрузки, способ взлома поставщика и личность атакующего. Поэтому выплаты устанавливают масштаб признанной компенсации, но ещё не дают полного технического разбора цепочки компрометации.