Главное за минуту:
- Платформа Polymarket потеряла $600,000 в POL из-за компрометации приватного ключа;
- Эксплойт смарт-контракта исключен — пользовательские средства и расчеты рынков безопасны;
- Утечка касалась внутреннего 👉 кошелька для top-up операций, а не core-инфраструктуры;
- Команда ротировала адрес и исследует backend-системы;
- Окончательная сумма ущерба и детали восстановления пока не обнародованы.
Команда Octobit разобрала хронологию инцидента и ключевые вопросы, которые остались без ответа.
Как началась паника?
Первые тревожные сигналы появились 22 мая в 08:22 UTC. Он-чейн исследователь ZachXBT опубликовал в Telegram предупреждение: административный кошелек Polymarket на Polygon выглядит скомпрометированным. На тот момент с него было выведено более $520,000.
Через полчаса 👉 блокчейн-аналитическая фирма Bubblemaps усилила тревогу. Они заявили: атакующий выводит 5,000 POL каждые 30 секунд, общие потери достигли $600,000. Пользователям рекомендовали приостановить всю активность на платформе.
Публичная тревога распространилась быстрее официальных объяснений. Адрес атакующего был отмечен в PolygonScan, а он-чейн транзакции показывали четкий паттерн дренажа.
Факт: в 09:01:19 UTC в кошелек UMA CTF Adapter Admin поступило 5,000 POL. Через 7 секунд почти вся сумма (4,999.994 POL) ушла на адрес атакующего. Этот ритм повторялся снова и снова.
Больше обновлений о безопасности инцидентов мы регулярно собираем в разделе 👉 новости криптовалют.
We’re aware of the security reports linked to rewards payout. User funds and market resolution are safe.
Findings point to a private key compromise of a wallet used for internal top-up operations, not contracts or core infrastructure.
More updates to follow.
— Polymarket Developers (@PolymarketDevs) May 22, 2026
Что на самом деле произошло?
Официальная версия от Polymarket Developers появилась позже — и существенно отличалась от первоначальных тревог об эксплойте контракта.
Команда заявила: проблема не в смарт-контрактах и не в core-инфраструктуре. Это была private key compromise — компрометация приватного ключа кошелька, который использовался для internal top-up operations (внутренних операций пополнения).
Простыми словами: это не взлом логики рынков предикшну, а утечка технического кошелька, который поддерживал работу платформы сзади — например, автоматическое пополнение балансов для выплат вознаграждений.
Шантикиран Чанал, софтверный инженер Polymarket, подтвердил: «Средства пользователей и расчеты рынков безопасны». Он добавил, что инцидент связан с 👉 rewards payout reports — системой выплат вознаграждений.
Мустафа, еще один источник из команды Polymarket, объяснил детали: «CTF contract не взломан». Проблема коснулась внутреннего операционного адреса, который использовал сервис для проверки и пополнения балансов каждые несколько секунд. Все пользовательские средства безопасны, адрес ротируют.
По данным Yahoo Tech, скомпрометированный кошелек отвечал за internal rewards wallet — не за рыночную ликвидность или 👉 смарт-контракты расчетов.
Средства пользователей и расчеты рынков безопасны. Проблема связана с системой выплат вознаграждений, а не с контрактами.
Почему это важно?
Разница между эксплойтом контракта и компрометацией ключа — критична для понимания масштаба риска.
Если бы взломали CTF contract (Conditional Tokens Framework — механизм токенизации результатов рынков), под угрозой оказались бы все пользовательские позиции. Если бы взломали UMA resolution infrastructure (систему расчетов через оракулов), рынки могли бы закрыться некорректно, а выигрыши не выплатиться.
Но здесь другая история. Скомпрометированный кошелек не имел доступа к core market logic. Он только пополнял балансы для выплат вознаграждений — то есть был частью backend-сервисов, а не фронтальной логики торговли.
Однако даже такой инцидент оставляет вопросы:
- Почему автоматическая система не остановилась после первых аномальных транзакций?
- Были ли monitoring alerts настроены на этот кошелек?
- Сколько еще внутренних адресов имеют похожие права?
По данным Bitcoin Foundation, UMA CTF Adapter на Polygon был отмечен как точка утечки, но команда подтвердила: контракт сам не взломан.
Похожие кейсы операционной безопасности мы разбираем в разделе 👉 новости альткоинов.
Расхождения в версиях инцидента
🔮 Чего ожидать дальше?
Polymarket должен обнародовать три вещи: финальную сумму ущерба, список всех скомпрометированных адресов и детальный incident report. Пока этого нет — доверие под вопросом. Если команда быстро закроет все вопросы и покажет обновленные security controls — инцидент останется в категории «операционный прокол». Если затянут — репутационные потери могут превысить финансовые.
Выводы
Словарь
- Private key compromise: Ситуация, когда приватный ключ кошелька попадает в чужие руки, давая полный контроль над средствами на этом адресе.
- CTF (Conditional Tokens Framework): Смарт-контрактная система для токенизации результатов рынков предикшну — позволяет создавать Yes/No токены для ставок.
- UMA: Протокол оракулов (Optimistic Oracle), который Polymarket использует для расчетов рынков — определяет, кто выиграл ставку.
- Internal top-up operations: Автоматические процессы пополнения балансов кошельков, которые поддерживают работу платформы сзади (например, выплаты вознаграждений).
- On-chain investigator: Аналитик, который исследует блокчейн-транзакции в реальном времени, отслеживая подозрительную активность и взломанные адреса.
Частые вопросы (FAQ)
Потеряли ли пользователи Polymarket свои средства?
Нет. Команда Polymarket подтвердила, что пользовательские средства и рыночные расчеты не пострадали. Скомпрометированный кошелек использовался только для internal top-up операций.
Сколько всего потеряли из-за этого инцидента?
Первые оценки называли $520,000–$600,000 в POL токенах. Окончательная сумма еще не обнародована командой Polymarket.
Что такое CTF contract и взломали ли его?
CTF (Conditional Tokens Framework) — это контракт для создания Yes/No токенов на рынках предикшну. Команда Polymarket подтвердила: этот контракт не взломан.
Можно ли сейчас торговать на Polymarket?
Да. Команда заявила, что платформа работает штатно, скомпрометированный адрес ротирован, а пользовательские функции безопасны.
Что такое private key compromise?
Это ситуация, когда приватный ключ кошелька попадает к злоумышленнику. Приватный ключ — это единственный способ контроля над средствами на блокчейне, поэтому его утечка означает полную потерю доступа.
