Ущерб Polymarket от подмены фронтенда вырос до $3,1 млн — пострадали 11 кошельков

27 июня 2026 Polymarket обновила оценку ущерба от инцидента, начавшегося 25 июня, до $3,1 млн. Атака шла не через смарт-контракты: был скомпрометирован сторонний вендор, поставлявший код для фронтенда, и в страницу, которую пользователь открывает в браузере, попал вредоносный скрипт. Опустошены 11 пользовательских кошельков; украденный pUSD сконвертировали и перевели мостом из Polygon в Ethereum — около 1 893 ETH осели на адресах атакующего.

Площадка сообщила, что удалила заражённую зависимость, связалась с пострадавшими и полностью компенсирует потери держателям pUSD. Это уже третий инцидент подряд по одной линии — не протокол, а периметр вокруг него: в декабре взлом шёл через скомпрометированного провайдера логина, в марте площадка потеряла $520 тыс. Совокупно июнь стал для рынка месяцем на $75,87 млн убытков от 40 инцидентов по данным PeckShield, и Polymarket здесь далеко не самый крупный эпизод.

Одновременно Polymarket разбирается с CFTC — федеральное расследование касается претензий к маркетингу в соцсетях. Вывод для индустрии структурный: аудит контрактов ничего не говорит о безопасности сайта, а цепочка npm-зависимостей и подрядчиков фронтенда остаётся почти нерегулируемой поверхностью атаки. Пока подпись транзакции формируется в браузере, доверие к домену стоит ровно столько же, сколько доверие к самому слабому вендору в его сборке.