Polymarket ถูกแฮกสูญเงิน 2.7 ล้านดอลลาร์ ผ่านสคริปต์ของบุคคลที่สาม

แพลตฟอร์มตลาดพยากรณ์คริปโต Polymarket ถูกแฮกในวันพฤหัสบดีที่ 29 ตุลาคม 2026 ทำให้สูญเงินประมาณ 2.7 ล้านดอลลาร์จากผู้ใช้หลายร้อยบัญชีบนแพลตฟอร์มระหว่างประเทศ

การโจมตีเกิดขึ้นผ่านสคริปต์จาวาสคริปต์ที่ถูกดัดแปลงซึ่งฝังอยู่ในเว็บไซต์ของ Polymarket โดยมาจาก DebugBear บริษัทผู้ให้บริการซอฟต์แวร์ตรวจสอบประสิทธิภาพเว็บไซต์ในสหราชอาณาจักร

สคริปต์อันตรายนี้ทำงานเมื่อผู้ใช้เข้าชมเว็บไซต์ที่ถูกต้อง โดยจะสแกนยอดคงเหลือและตำแหน่งการซื้อขายที่เปิดอยู่ จากนั้นจะทำการชำระบัญชีและโอนสินทรัพย์ไปยังกระเป๋าสตางค์ที่แฮกเกอร์ควบคุม

Polymarket ระบุว่า "หนึ่งในผู้ให้บริการบุคคลที่สามของเราถูกบุกรุก และเราได้ส่งเรื่องนี้ไปยังหน่วยงานบังคับใช้กฎหมายที่เกี่ยวข้องแล้ว" พร้อมย้ำว่าผู้ที่ได้รับผลกระทบจะได้รับการชดใช้ทั้งหมด

แพลตฟอร์มได้เปลี่ยนโหมดการซื้อขายระหว่างประเทศเป็น "ยกเลิกเท่านั้น" เวลา 14:05 น. ตามเวลาตะวันออก และกลับมาเปิดดำเนินการตามปกติอีกครั้งในเวลา 15:05 น. ของวันเดียวกัน

บริษัทวิเคราะห์บล็อกเชน Bitquery ระบุว่ามีการถอนเงินโดยไม่ได้รับอนุญาตประมาณ 2.73 ล้านดอลลาร์จาก 737 บัญชีภายในระยะเวลา 1 ชั่วโมง

Polymarket แจ้งผู้ใช้ผ่าน Discord ว่าผู้ที่สูญเงินน้อยกว่า 10,000 ดอลลาร์จะได้รับเงินคืนภายในวันศุกร์ที่ 30 ตุลาคม ส่วนผู้ที่สูญเงินมากกว่านั้นจะต้องลงนามในข้อตกลงการปล่อยตัวก่อนรับเงินชดเชย

DebugBear ยอมรับว่ามีเหตุการณ์ด้านความปลอดภัยเกิดขึ้นและแนะนำให้ลูกค้าที่ใช้ผลิตภัณฑ์ RUM ของตนลบสคริปต์ที่ฝังอยู่ออกจากเว็บไซต์ทันที ขณะที่นักสืบสวนอิสระกำลังประเมินการละเมิดดังกล่าว

เหตุการณ์นี้ถือเป็นการละเมิดความปลอดภัยของห่วงโซ่อุปทานครั้งใหญ่ครั้งที่สองที่เกิดขึ้นกับ Polymarket ในรอบ 4 เดือน หลังจากในเดือนมิถุนายน 2026 มีการบุกรุกผู้ให้บริการบุคคลที่สามแยกต่างหากซึ่งทำให้สูญเงินประมาณ 3 ล้านดอลลาร์จากกระเป๋าสตางค์ของผู้ใช้

แพลตฟอร์ม Polymarket US ซึ่งดำเนินการแยกต่างหากภายใต้กฎระเบียบทางการเงินของสหรัฐฯ ไม่ได้รับผลกระทบจากการโจมตีในครั้งนี้