פולימרקט מקפיאה את המסחר אחרי פריצה דרך ספק חיצוני, וארנק החשוד מחזיק 2.65 מיליון דולר

פולימרקט, פלטפורמת שוקי התחזיות, העבירה ב־29 באוקטובר את הבורסה שלה למצב של ביטול פקודות בלבד והקפיאה את פעולות הריליירים, אחרי שמשתמשים דיווחו שכספים יוצאים מחשבונותיהם בלי שאישרו דבר. החברה אישרה בהמשך שאחד מספקי הצד השלישי שלה נפרץ, הודיעה שהעבירה את המקרה לרשויות האכיפה והתחייבה ש"כל מי שנפגע יקבל פיצוי מלא". לפי נתוני Arkham, הארנק שסומן כשייך לתוקף החשוד מחזיק כ־2.65 מיליון דולר במטבע POL.

מצב ביטול בלבד: מה בדיוק הוקפא בפולימרקט

דף הסטטוס של הפלטפורמה הציג תקלה מהותית בממשק המסחר (API) ואת הבורסה במצב cancel-only. בפועל, סוחרים יכלו למשוך פקודות קיימות מספר הפקודות, אבל לא להזין פקודות חדשות. מי שהחזיק פוזיציה ורצה לצאת ממנה בזמן ההקפאה לא יכול היה לעשות זאת.

במקביל הוקפאו פעולות הריליירים. רילייר הוא רכיב שמקבל עסקה שהמשתמש כבר חתם עליה ומגיש אותה לבלוקצ'יין. כל עוד הרכיב מושבת, עסקאות חתומות לא עוברות דרכו לרשת.

בהודעה ב־X כתבה החברה שזיהתה ותיקנה בעיה שפגעה בפלטפורמה הבינלאומית שלה, Polymarket.com. לפי Decrypt, פולימרקט עדיין לא מסרה מה גרם לתקרית.

הסקריפט מ־DebugBear והארנק שמקבל את הכסף

חוקרי Hudson Rock איתרו סקריפט שנטען מ־DebugBear, שירות לניטור ביצועים של אתרי אינטרנט. לפי החברה, הקוד מחפש סשן מסחר של משתמש מחובר, מנסה למכור את הפוזיציות שלו ולהעביר את הנכסים הלאה. כתובת הארנק החשוד, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, מקודדת בסקריפט ככתובת ברירת המחדל לקבלת הכספים. Hudson Rock מוסיפה שקוד האתר החי של פולימרקט מתעד את הסרת הסקריפט, אבל היא טרם קבעה איך החלה החדירה או כמה משתמשים נפגעו.

סקריפט של ספק חיצוני שנטען בדף רץ בתוך הדפדפן במסגרת האתר עצמו. לפי התיאור של Hudson Rock, הקוד כוון למשתמשים שהיו מחוברים לחשבון המסחר שלהם, ולא דרש מהם לבצע פעולה מיוחדת.

מסלול הכסף מתועד ברשת. הארנק קיבל כמה המרות מ־USDC.e, גרסה מגושרת של הסטייבלקוין USDC, ל־POL, המטבע הטבעי של רשת פוליגון, דרך Relay, שירות להמרות בין רשתות. לפי Decrypt, העסקאות הראשונות בוצעו כשעה לפני הדיווח, והארנק לא הראה פעילות בחמש הדקות שקדמו לו.

שלוש תקריות בחצי שנה

הפריצה הנוכחית מצטרפת לשתי תקריות קודמות בפלטפורמה השנה. אם אתם רוצים לעבור על הגדרות האבטחה שלכם, ראו את רשימת הבדיקות שלנו לאבטחת קריפטו.

סכום שלוש השורות מגיע לכ־6.35 מיליון דולר (0.7 ועוד 3 ועוד 2.65). המספר של אוקטובר משקף רק את מה שמחזיק הארנק שזוהה, כך שהנזק בפועל יכול להיות שונה. בתקרית יוני הממוצע היה גבוה: 3 מיליון דולר שנגנבו מפחות מ־15 חשבונות פירושם יותר מ־200 אלף דולר בממוצע לחשבון. גם אז הבטיחה פולימרקט החזר מלא.

שתיים משלוש התקריות עברו דרך ספק חיצוני שקוד שלו נטען בממשק האתר. משתמשים לא יכולים לבדוק אילו סקריפטים של צד שלישי רצים בדף, ועד שהפלטפורמה תסביר איך נפרץ הספק, לא ידוע אם הפרצה נסגרה מעבר להסרת הסקריפט הספציפי.

מסחר בשוקי תחזיות מישראל: צעדי הגנה אחרי הפריצה

אם אתם מחזיקים פוזיציות בפולימרקט או בפלטפורמה דומה, יש כמה צעדים מעשיים שכדאי לבצע עכשיו:

• התנתקו מהאתר כשאתם לא סוחרים. הקוד שתיארה Hudson Rock חיפש סשן של משתמש מחובר.
• החזיקו בחשבון המסחר רק את הסכום שאתם מתכוונים להמר בו בטווח הקרוב. את שאר ההחזקות עדיף לשמור מחוץ לפלטפורמות, והמדריך לשמירת ביטקוין בארנק חם וארנק קר מסביר איך לחלק את הכסף.
• תעדו עכשיו יתרות, פוזיציות ומזהי עסקאות, עם תאריך ושעה. התיעוד יעזור בתביעת הפיצוי שהחברה הבטיחה, וגם בהמשך, כי בנקים בישראל נוטים לעכב העברות שמגיעות מפלטפורמות קריפטו בחו"ל ולבקש מסמכים על מקור הכספים. רווח ממימוש קריפטו חייב במס רווח הון של 25%, ומכירה ישירה של מטבעות מחייבת דיווח לרשות המסים בטופס 1399 תוך 30 יום. פרטים נוספים במדריך המס על קריפטו בישראל.
• אל תענו להודעות של "תמיכה" שמציעות לשחזר כספים או מבקשות לחבר ארנק. החברה מסרה את עדכוניה בחשבון הרשמי שלה ב־X.
• לפני שאתם חוזרים לסחור, ודאו בדף הסטטוס שהבורסה יצאה ממצב ביטול בלבד ושהריליירים פועלים שוב.

פולימרקט לא פרסמה לוח זמנים להחזרים ולא מסרה כמה חשבונות נפגעו. בתקרית יוני דובר בפחות מ־15 חשבונות, והחברה הבטיחה אז להחזיר למשתמשים את מלוא הסכום.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.