کمیته رکن چهارم– Polymarket تأیید کرده است که جایگزینی اسکریپت یک ارائه‌دهنده جانبی با کد مخرب، به فروش موقعیت‌های معاملاتی و انتقال دارایی برخی کاربران منجر شده است. این کد از دسترسی نشستِ باز کاربران در وب‌سایت استفاده می‌کرد.
به گزارش کمیته رکن چهارم، حمله در ۲۹ اکتبر ۲۰۲۶ رخ داد؛ شرکت در ۳۰ اکتبر توضیح رسمی منتشر کرد و The Hacker News در اول نوامبر جزئیات بیشتری ارائه داد. اسکریپت هدف، ابزار سنجش سرعت بارگذاری صفحات DebugBear بود.
پژوهشگران Hudson Rock فایل مشکوک را دریافت و بدون اجرای آن بررسی کردند. کد به امکانات معامله و درخواست امضای تراکنش در صفحه واردشده دسترسی می‌گرفت و تلاش می‌کرد دارایی را جابه‌جا کند. این بررسی، سرقت رمز یا عبارت بازیابی را ثابت نمی‌کند؛ رفتار امضا نیز به نوع حساب و ارائه‌دهنده کیف پول وابسته است.
Polymarket می‌گوید اسکریپت آلوده را حذف، حافظه‌های موقت را پاک و همه نشست‌های ورود را بازنشانی کرده است. معامله و پردازش انتقال‌ها موقتاً متوقف و پس از پاک‌سازی دوباره فعال شدند.
طبق اطلاعیه ۳۰ اکتبر، شرکت در مجموع ۳.۹ میلیون دلار بازپرداخت می‌کند: ۲.۷ میلیون دلار بابت حمله و حدود ۱.۲ میلیون دلار برای زیان‌های مرتبط با توقف معاملات. این مجموع نباید با مبلغ سرقت‌شده یکسان تلقی شود.
توصیه پژوهشگران: درخواست امضا یا تأیید غیرمنتظره را نپذیرید و سوابق معامله و کیف پول را از مسیر رسمی بررسی کنید. مدیران سایت نیز کدهای جانبی غیرضروری را از صفحات حساس حذف و یکپارچگی فایل‌های دریافتی را کنترل کنند.
منبع: Polymarket
