Incident sa odohral vo štvrtok 29. októbra 2026 na medzinárodnej platforme Polymarketu, ktorá umožňuje obchodovať kontrakty naviazané na výsledky budúcich udalostí. Podľa oficiálnej stavovej stránky služba najprv umožňovala iba rušenie objednávok a pozastavila odosielanie transakcií prostredníctvom svojho sprostredkovateľského systému. Výpadok evidovala medzi 19.05 a 20.05 slovenského času. Následne označila incident za vyriešený a obchodovanie obnovila.
Rozsah škôd zatiaľ vyčíslili analytici, nie samotná platforma. Bitquery vo svojej analýze blockchainových transakcií uvádza približne 2,73 milióna dolárov odčerpaných zo 737 účtov počas hlavnej hodinovej vlny útoku. CoinDesk s odvolaním na DeFiLlama informoval o približne 2,7 milióna dolárov. Tieto odhady sú si blízke, nejde však o oficiálne konečné vyčíslenie Polymarketu. Počet účtov navyše nemožno automaticky zamieňať za počet jednotlivých poškodených ľudí.
Technické zistenia smerujú k službe DebugBear, ktorá poskytuje nástroje na sledovanie výkonu webových stránok. Výskumníci Hudson Rock získali z adresy spojenej s touto službou škodlivý JavaScript, teda kód spúšťaný v prehliadači. Podľa ich analýzy vyhľadával aktívne prihlásenie používateľa, zisťoval jeho portfólio a pokúšal sa zneužiť dostupné obchodné a podpisovacie funkcie. V závislosti od typu účtu mal predávať pozície a presúvať výnos alebo priamo odosielať tokeny predstavujúce pozície.
Polymarket vo svojom oznámení dodávateľa nepomenoval. DebugBear ako zapojenú spoločnosť identifikoval aj zdroj agentúry Reuters oboznámený so situáciou. Samotný DebugBear oznámil prebiehajúci bezpečnostný incident a zákazníkov svojho nástroja na monitorovanie skutočných návštevníkov vyzval, aby vložený kód odstránili zo svojich stránok. Presný spôsob prvotného preniknutia k dodávateľovi zostáva otvorený. Zverejnené zistenia Hudson Rock zároveň nepreukazujú, že rovnaký škodlivý kód zasiahol aj ďalších zákazníkov DebugBear.
Dôležité je odlišovať zneužitie prihlásenej relácie od potvrdeného úniku súkromných kľúčov. Hudson Rock v skúmanej vzorke nenašiel mechanizmus odosielajúci heslo, obnovovaciu frázu alebo súkromný kľúč na sledovaný zberný server. Jeho záver sa však týka konkrétneho analyzovaného kódu, nie všetkých možných okolností incidentu. Výskumníci vzorku skúmali bez pripojenia peňaženky a bez vykonania transakcie, takže samotná analýza nepotvrdzuje úspešnosť každej naprogramovanej vetvy útoku.
Polymarket uviedol, že problém identifikoval a opravil, prípad odovzdal orgánom činným v trestnom konaní a poškodených odškodní. Reuters potvrdil obnovenie obchodovania aj záväzok nahradiť straty. Prísľub úplnej náhrady však sám osebe neznamená, že všetci používatelia už peniaze dostali. Bitquery navyše zaznamenal ešte jeden menší odtok po oznámení opravy; tento nález ponecháva otázky o presnom priebehu obmedzenia útoku.
Podobnú udalosť platforma riešila už v júni. Podľa CoinDesku vtedy kompromitácia externého dodávateľa zasiahla používateľské rozhranie a spôsobila straty približne tri milióny dolárov. Júnové a októbrové sumy preto predstavujú dva samostatné incidenty. Pre používateľov Hudson Rock odporúča odmietať neočakávané žiadosti o podpis, skontrolovať pohyby na účte a uchovať identifikátory podozrivých transakcií. Pri riešení náhrady treba postupovať cez overené kanály platformy a neposkytovať obnovovaciu frázu účtom, ktoré nevyžiadane ponúkajú pomoc.⚠️ Tento článok nie je finančné poradenstvo. Pákové obchodovanie s derivátmi nesie mimoriadne vysoké riziko straty investovaného kapitálu. Pred akýmkoľvek investičným rozhodnutím odporúčame konzultáciu s nezávislým finančným poradcom.