Polymarket: פרצה באתר דרך ספק חיצוני, ולפי PeckShield נגנבו כ-3 מיליון דולר
ב-25 ביוני 2026 הודיעה Polymarket שתוקפים הזריקו קוד זדוני לאתר שלה דרך ספק שנפרץ, ושכספי משתמשים נגנבו. החברה מתכוונת להחזיר את הכסף במלואו.
TL;DR בקצרה
- Polymarket מסרה ב-25 ביוני 2026 שספק חיצוני נפרץ, ושסקריפט זדוני הוחדר לאתר שלה אצל חלק מהמשתמשים.
- לפי PeckShield, נגנבו כ-3 מיליון דולר. Bubblemaps מדווחת על פחות מ-15 חשבונות פגועים.
- החברה אומרת שהשרתים שלה לא נפגעו, שהיא הסירה את הרכיב הפגוע, ושהיא תחזיר את הכסף במלואו.
- השם של הספק עדיין לא פורסם. המקרה מזכיר לכל בעל אתר שסקריפטים של צד שלישי רצים באתר עם אותן הרשאות.
תוקפים גנבו כספי משתמשים ב-Polymarket, שוק תחזיות מבוסס קריפטו, דרך ספק חיצוני שפרצו אליו. החברה מסרה על כך ב-25 ביוני 2026. לפי חברת האבטחה PeckShield, הסכום הוא כ-3 מיליון דולר. החברה מבטיחה להחזיר לנפגעים את כל הכסף.
Polymarket: מה קרה באתר ב-25 ביוני
ב-25 ביוני פרסמה Polymarket הודעה ב-X. לפי ההודעה, תוקפים פרצו לספק צד שלישי. הספק הזריק קוד זדוני לממשק האתר אצל חלק מהמשתמשים. החברה כתבה שהיא עצרה את האירוע והסירה את הרכיב הפגוע. היא יוצרת קשר עם הנפגעים ומחזירה להם את הכסף במלואו.
הדובר של החברה, קונור בראנדי, אישר ל-TechCrunch שהאירוע הוביל לגניבת כספים. הוא לא מסר פרטים נוספים, ו-Polymarket לא פרסמה את שם הספק. בנוסף, לפי BleepingComputer, השרתים והתשתית הפנימית שלה נשארו שלמים.
כמה כסף גנבו התוקפים, ואיך ההתקפה עבדה
PeckShield העריכה שהתוקפים גנבו כ-3 מיליון דולר. אנליסט נוסף דיווח על הפסדים דומים אצל 11 קורבנות ויותר. Bubblemaps ספרה פחות מ-15 חשבונות. Polymarket עצמה לא פרסמה סכום, ולא את מספר הנפגעים.
התוקפים העבירו את הכסף מרשת Polygon לרשת Ethereum, והמירו אותו לכ-1,893 ETH. לפי TNW, זה מהלך נפוץ שנועד לטשטש עקבות. PeckShield תיארה את האירוע כקמפיין פישינג. עם זאת, התוקפים לא הפעילו אתר מזויף. הם שינו את האתר האמיתי, והגולשים אישרו בו עסקאות בלי לדעת שהן מעבירות את הכסף לתוקפים.
ההתקפה קשה לזיהוי. המשתמש נכנס לכתובת הנכונה, ולכן אין לו שום סימן אזהרה.
מה עדיין לא ידוע על האירוע
כמה שאלות נשארו פתוחות אחרי ההודעה. Polymarket לא פרסמה את שם הספק ולא את הרכיב שפרצו אליו. היא גם לא מסרה כמה זמן הקוד הזדוני היה בדף. בנוסף, TechCrunch מציינת ששני משתמשים טענו ברשתות החברתיות, כבר בימים שלפני ההודעה, שגנבו את כספיהם. כלומר, האירוע אולי התחיל לפני שהחברה דיווחה עליו.
זה גם לא האירוע הראשון של החברה. לפי TNW, החוקר ZachXBT סימן במאי כ-520 אלף דולר שנשאבו משני חוזים חכמים ברשת Polygon. Polymarket הסבירה אז שתוקפים השיגו מפתח פרטי בן שש שנים של ארנק תפעולי פנימי. לדבריה, אין קשר לפרצה בפלטפורמה עצמה.
למה מתקפה על Polymarket רלוונטית גם לאתר שלכם
כל אתר מודרני טוען סקריפטים של גורמים אחרים. למשל כלי ניתוח, צ׳אט, חלונות קופצים, מנגנוני תשלום ומנהלי תגיות. סקריפט כזה רץ בדף שלכם, עם אותן יכולות של הקוד שלכם. לכן ספק שפרצו אליו נותן לתוקף מקום בדף.
הנזק מגיע בלי שמישהו פרץ לשרת שלכם. הוא מגיע ישר לגולשים, ובעיקר למי שמזין פרטים או מאשר פעולה. בחנות מקוונת זה עמוד התשלום. באתר קריפטו זה אישור עסקה בארנק.
מה זה אומר עבורכם
- מפו את הסקריפטים החיצוניים: רשמו כל דומיין חיצוני שהאתר טוען. הסירו כלים שאינם בשימוש.
- הגבילו מה מותר לטעון: הגדירו מדיניות Content-Security-Policy שמגבילה את מקורות הסקריפטים. בדף תשלום אפשר להקשיח אותה במיוחד.
- נעלו סקריפטים סטטיים: לקבצים שלא משתנים, השתמשו ב-Subresource Integrity. הוא לא עוזר בסקריפט שהספק מחליף מרחוק, ולכן הוא לא מספיק לבדו.
- שלטו במנהל התגיות: הגבילו מי יכול לפרסם שינוי. בדקו מדי פעם את רשימת התגיות הפעילות.
- אם אתם משתמשי קריפטו: קראו כל בקשת אישור בארנק לפני החתימה. זו המלצה כללית, ולא הנחיה של Polymarket.
מקורות והרחבה
- Polymarket says hackers stole users' fundsTechCrunch
- Polymarket customers lose $3 million in supply-chain attackBleepingComputer
- Polymarket hack: $3 million stolen in third-party breachThe Next Web
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
