Polymarket توقف التداول بعد اختراق مزوّد خارجي استنزف حسابات المستخدمين

توقف التداول على المنصة الدولية

علّقت Polymarket كافة أنشطة التداول على منصتها الدولية يوم الخميس، بعد تعرض أحد مزوّدي الخدمات الخارجيين للاختراق وتداول المستخدمون تقارير عن تصفير أرصدتهم دون علمهم. ووفق صفحة الحالة الرسمية للشركة، تم تحديد المشكلة التي طال موقع Polymarket.com ومعالجتها، كما حُيل المزوّد المخترق إلى الجهات الأمنية المختصة، مع تأكيد على أن المستخدمين المتضررين سيُعوَّضون بالكامل. ولم تكشف المنصة عدد الحسابات المتأثرة ولا القيمة الإجمالية للمبالغ المسروقة. يشمل التعليق الخدمة الدولية القائمة على المحافظ الذاتية، حيث يتداول المستخدمون أسواق التوقعات من حسابات يديرون مفاتيحها بأنفسهم، في حين لم تُذكر منصة الولايات المتحدة الخاضعة لتنظيم منفصل، المرخصة من لجنة تداول السلع الآجلة الأمريكية (CFTC)، ضمن الأطراف المتضررة. ونشر حساب تديره المجتمعات بيانًا مطابقًا على X بُعيد تحديث صفحة الحالة، بذور الصياغة الرسمية ذاتها. وحتى وقت إعداد هذا التقرير، لم تحدد الشركة موعدًا لاستئناف التداول الكامل.

@PolymarketTrade · منشور على X

بيانًا مطابقًا على X.

عرض على X

وضع الإلغاء فقط عند الساعة 18:05 بالتوقيت العالمي

سجّلت صفحة الحالة الحادث أول مرة عند الساعة 18:05 بالتوقيت العالمي يوم الخميس، وصنّفتها كعطل كبير في واجهة برمجة تطبيقات تداول التوقعات، وهي دفتر الأوامر الذي يطابق صفقات أسواق التوقعات. كان المنظومة حينها في وضع يسمح بالإلغاء فقط: بيد المستخدمين إلغاء أوامرهم القائمة، دون قبول أي أوامر جديدة أو تنفيذ أي صفقات، وبقيت خدمة المُرحّل، التي تقدّم معاملات على السلسلة نيابة عن المستخدمين، متوقفة. في المقابل، ظل الوصول إلى الحسابات وتدفقات الويب سوكيت وبيانات المراكز وتسوية Polygon يعملون طوال الفترة. وبعد نحو 32 دقيقة، عند الساعة 18:37 بالتوقيت العالمي، انتقلت الصفحة من مرحلة التحقيق إلى مرحلة التحديد، وأنُت العطل إلى المزوّد الخارجي المخترق. وكانت أنواع الأوامر المسموح بها محصورة في إلغاء الأوامر المفتوحة، بينما ظل محرك المطابقة خارج الخدمة، تاركًا المتداولين ذوي التعرض المفتوح دون القدرة على الخروج.

خسائر المستخدمين والمطالبة البالغة 2.68 مليون دولار

تداولت تقارير الاستنزاف على X قبل أن تؤكد الشركة أي شيء. وقال متداول يستخدم اسم Car في منشور على X إن 800,000 دولار سُحبت من حسابه، وأن صديقًا له خسر 600,000 دولار، مضيفًا أن جميع مراكزه بيعت بالكامل. كما تتبع حساب منفصل باسم StarPlatinum محفظة مستفيد مشتبهًا بدأ في استلام الأموال عند الساعة 17:05 بالتوقيت العالمي، وحمل 412,000 دولار بحلول الساعة 17:25، ثم بلغ 2.02 مليون دولار عند الساعة 17:50، قبل أن يبلغ ذروته عند 2.68 مليون دولار عند الساعة 18:05، مع تقدير الحساب أن المحفظة تجمّعت نحو 28.6 مليون عملة POL محوّلة من أرصدة إيداعات المستخدمين. وحدد الحساب ذاته وكيلاً من نوع مصنع محافظ الإيداع، وادّعى تورط البنية التحتية للمعاملات المدعومة لدى Relay. غير أن هذه الأرقام كلها غير مؤكدة: بيانات الشركة لا تذكر عدد الضحايا ولا إجمالي الخسائر ولا عنوان المهاجم، ولم يُنشر أي بصمة معاملة.

@CarOnPolymarket · منشور على X

منشور على X.

عرض على X

هجوم الواجهة في يونيو وسابقة التعويض

يشبه هذا الحدث حادثة يونيو، حين سمح اختراق مزوّد خارجي بإدراج نص برمجي خبيث في واجهة Polymarket الأمامية لدى بعض المستخدمين. وقدّرت تحليلات السلسلة المبكرة الخسارة حينها بـ2.94 مليون دولار عبر ما لا يقل عن 11 محفظة، وبلغ تقدير لاحق 3.1 مليون دولار. سُحبت الأموال بعملة pUSD على شبكة Polygon، وحُوّلت عبر Relay، ثم جُسرت إلى شبكة Ethereum وحُوّلت إلى ETH. وقالت الشركة وقتها إنها أزالت الاعتمادية المتضررة وستعوّض العملاء المتأثرين بالكامل. وقبلها بأيام تعرضت منصة نظيرة لاختراب مشابه: أكدت Predict.fun في بيان يوم 27 أكتوبر تحويلات غير مصرح بها بنحو 400,000 من عملة USDT، متتبعةً احتمال اختراب موقع استضافة خارجي لوثائق واجهة برمجة التطبيقات، ووعدت بالتعويض الكامل وتقرير فني مفصل عن الحادثة. وحادثة ديسمبر المرتبطة بخدمة تسجيل دخول بنقرة واحدة أشارت إلى الحلقة الضعيفة ذاتها: اعتماديات الجهات الخارجية.

نمط متكرر عبر مزوّدين خارجيين

ثلاث حوادث في نحو عشرة أشهر، مرّت جميعها عبر اعتماديات مزوّدين خارجيين لا عبر العقود على السلسلة، تكشف ضعفًا هيكليًا في منظومة أسواق التوقعات. تعمل Polymarket على شبكة Polygon، وهي شبكة Layer 2، وقد انتقلت منذ زمن من تصميم صانع السوق الآلي المبكر إلى دفتر أوامر مركزي، ومع ذلك يظل سطح الهجوم قائمًا في الواجهات المستضافة والمُرحّلات وبنية محافظ الإيداع التي لا يغطيها أي تدقيق للعقود. وفي كل حالة، خرجت الأموال لحظة توقيع المستخدمين على طلبات خبيثة، فتحققت الخسائر لحظة التأكيد. يظل نهج الشركة ثابتًا في الإصلاح والتعويض، لكنها لم تنشر مجددًا أي بصمات معاملات، ولا رقمًا مؤكدًا للخسائر، ولا سببًا جذريًا تقنيًا خارج الإشارة إلى طرف خارجي. وحتى وصول تلك التفاصيل، يبقى نقل الأرصدة الخاملة إلى محفظة باردة والاطلاع على كيفية عمل محافظ الأجهزة هو الدفاع العملي للمستخدمين النشطين.