Phishing w Polymarket: użytkownicy stracili ponad 3 mln USD

Pod koniec czerwca 2026 r. użytkownicy platformy Polymarket stracili około 3,1 mln USD w tokenie PUSD w wyniku ataku phishingowego wykorzystującego złośliwy mechanizm delegowanego wykonania EIP‑7702.

Dane narzędzi monitorujących łańcuch bloków wskazały, że napastnicy skonwertowali skradzione PUSD na USDC.e za pośrednictwem Relay, przenieśli środki z sieci Polygon na Ethereum, wymienili je na ETH i skonsolidowali aktywa na kilku nowych adresach.

Analizy AMLBot i firmy PeckShield oszacowały, że na trzech nowo utworzonych adresach znajduje się łącznie około 1 891,9 ETH. Największy z adresów przechowuje około 1 788,5 ETH.

Polymarket wskazał, że przyczyną incydentu było włamanie do zewnętrznego dostawcy, który zintegrował złośliwy skrypt z częścią interfejsu webowego udostępnianą użytkownikom. W oświadczeniu platformy czytamy: „Zlokalizowaliśmy problem i usunęliśmy skompromitowaną zależność. Obecnie kontaktujemy się z poszkodowanymi użytkownikami i w pełni zrekompensujemy ich straty”.

Jeden z poszkodowanych użytkowników posługujący się pseudonimem Ash zgłosił nieautoryzowane pobranie środków i opublikował adresy portfeli, które uznał za powiązane z atakiem. Analiza on‑chain pozwoliła na śledzenie ścieżki konwersji i przeniesienia aktywów oraz zidentyfikowanie głównych adresów odbiorczych.

Polymarket zapowiedział pełną rekompensatę dla poszkodowanych i poinformował o usunięciu skompromitowanej zależności z interfejsu. Firma zapowiedziała również zaostrzenie procedur weryfikacji użytkowników, w tym wzmocnienie kontroli przeciwdziałania praniu pieniędzy oraz wprowadzenie ograniczeń geograficznych dostępu do serwisu.

Analizy i śledztwa prowadzone przez niezależne zespoły oraz narzędzia AML trwają. Służby zajmujące się cyberbezpieczeństwem obserwują ruch środków, a Polymarket deklaruje współpracę z użytkownikami i regulatorem przy wyjaśnianiu incydentu.