По данным Bitquery, за час злоумышленники провели 985 операций по выводу средств.
На четыре счета пришлось около 43% общего ущерба. Крупнейшее отдельное списание составило $358 369, а 276 пользователей потеряли менее $100.
Хакеры также похитили доли в рынках прогнозов с 33 аккаунтов. Их стоимость не вошла в оценку ущерба, поэтому фактические потери могут оказаться выше.
Что делать пострадавшим пользователям
После сообщений о подозрительных списаниях Polymarket временно остановила торги. Пользователи могли отменять открытые заявки, но не размещать новые.
Площадка также отключила сервис Relayer, который помогает отправлять транзакции от имени пользователей.
Позднее Polymarket сообщила, что устранила проблему и восстановила работу. Компания пообещала полностью компенсировать потери пострадавшим, но пока не уточнила сроки и порядок выплат.
Информацию об инциденте передали правоохранительным органам.
Как хакеры получили доступ к средствам
По данным Reuters, злоумышленники взломали британский сервис DebugBear, который Polymarket использовала для мониторинга сайта.
Специалисты Hudson Rock обнаружили вредоносный код. Он получал доступ к активным пользовательским сессиям, проверял балансы и пытался продать позиции либо перевести средства хакерам.
Смарт-контракты Polymarket взламывать не потребовалось.Злоумышленники использовали штатные механизмы платформы и действительные разрешения на проведение операций. Признаков кражи приватных ключей в изученном коде не обнаружили.
Похищенные активы преимущественно обменивали на токены POL и распределяли между новыми кошельками. Часть средств перевели из Polygon в Ethereum через межсетевые мосты.
Как именно хакеры проникли в инфраструктуру DebugBear, пока неизвестно.
Polymarket взломали не впервые
В июне 2026 года пользователи Polymarket уже пострадали от похожей атаки через стороннего поставщика программного обеспечения.
Тогда злоумышленники внедрили вредоносный код в интерфейс платформы и похитили около $3,1 млн менее чем с 15 счетов. Площадка также пообещала компенсировать убытки.
Таким образом, за четыре месяца две атаки через сторонние сервисы привели к потерям пользователей примерно на $5,8 млн.