Уразливість сторонньої сертифікації призвела до зникнення коштів користувачів Polymarket, що висвітлює ризики інфраструктури входу Web3

Події та огляд: втрата рівня аутентифікації, крадіжка мільйонів коштів

24 грудня 2025 року офіційний представник Polymarket підтвердив масштабну злом платформі. Причиною інциденту стала не атака на смарт-контракти, а вразливість у безпеці, викликана стороннім постачальником сервісів аутентифікації. Багато користувачів повідомили про несанкціоноване переказування балансу, а у деяких випадках їхні USDC були миттєво очищені та автоматично закриті позиції.

Інцидент був вперше оприлюднений 22 грудня 2025 року на платформах X, Reddit і Discord. Користувачі скаржилися, що після кількох спроб входу їхні кошти зникли таємничим чином. Один із постраждалих повідомив, що його баланс раптово знизився з нормального стану до $0.01, а інший — що навіть увімкнення двофакторної автентифікації через електронну пошту не змогло запобігти крадіжці.

Третя сторона аутентифікації стала вразливим вузлом у криптоекосистемі

Polymarket не розкрив назви залучених сторонніх постачальників або загальну суму викрадених коштів, але користувачі повідомляють про використання поширених рішень для входу через електронну пошту, таких як Magic Labs. У Discord-каналі компанія заявила, що ідентифікувала та виправила проблему, і наразі ризик усунуто. Однак твердження Polymarket про «ізольовану подію» та «вплив лише на кілька користувачів» викликає сумніви.

Ключове питання полягає в тому: щоб швидко залучити користувачів, багато DeFi-платформ покладаються на сторонні системи аутентифікації, гаманці та системи входу. Коли безпека одного з постачальників порушується, ланцюгова реакція може зачепити кілька додатків у екосистемі. Така архітектура переносить потенційний ризик із рівня смарт-контрактів на рівень ідентифікації — слабке місце, яке часто ігнорується, але може бути так само фатальним.

Приховані ризики входу через електронну пошту та гаманці

Застосування входу через «magic link» на основі електронної пошти є популярним через свою зручність. Платформи створюють для користувачів неуправляємі Ethereum-гаманці під час реєстрації, знижуючи бар’єри для новачків у криптовалюті. Однак це означає, що постачальник все ще контролює основний механізм відновлення доступу.

Постраждалі користувачі повідомили, що їхні кошти були викрадені без натискання підозрілих посилань. Це свідчить про те, що атака не відбувалася через традиційний фішинг, а безпосередньо через вразливість у бекенд-системі стороннього сервісу аутентифікації. Як тільки зловмисник прориває цей рівень захисту, він може імітувати легітимний обліковий запис користувача, авторизувати перекази або закриття позицій — без участі самого користувача.

Історичний досвід: повторювані структурні ризики

Цей інцидент не є унікальним. У вересні 2024 року Polymarket вже зазнав схожої атаки, пов’язаної з входом через Google. Тоді зловмисники використали функцію «proxy» для виклику, щоб переказати USDC на фішингову адресу. Polymarket кваліфікував цю атаку як цілеспрямовану на сторонню систему аутентифікації.

У листопаді 2025 року шахрайські повідомлення у коментарях також завдали шкоди платформі. Зловмисники публікували підроблені посилання, щоб змусити користувачів вводити свої дані для входу через електронну пошту, що призвело до збитків понад $500,000. Ці події разом свідчать про одне: управління аутентифікацією та сесіями стало цінною ціллю для атак, і платформи явно недостатньо інвестують у захист.

Глибока рефлексія: ціна залежності від сторонніх сервісів

Polymarket досі не оприлюднив технічний аналіз інциденту або повний хронологічний опис подій, а також не оголосив про компенсаційні заходи. Постраждалі користувачі починають переходити до прямого підключення гаманців (наприклад, MetaMask), що не є зручним для новачків.

Цей інцидент підкреслює одну з болючих проблем у криптоекосистемі: для покращення користувацького досвіду протоколи дедалі більше покладаються на сторонні сервіси — які мали б бути допоміжними інструментами, але поступово стають єдиною точкою відмови системи. Коли ці ключові шляхи піддаються атакам, навіть ідеальні смарт-контракти не зможуть захистити кошти користувачів.

Для всього сектору загроза вразливостей сторонніх систем аутентифікації вже не поступається ризикам уразливостей протоколів. Polymarket потрібно не лише технічних патчів, а й повного переоцінювання своєї екосистемної залежності, щоб забезпечити відповідність стандартам безпеки сторонніх постачальників і власних вимог.