חשבונות Polymarket נפרצו באמצעות פרצת אימות של צדים שלישיים

24 בדצמבר 2025 – Polymarket, פלטפורמת שוק תחזיות מבוזרת, אישרה כי פרצה אבטחה אצל ספק אימות צד-שלישי הובילה לגישה לא מורשית ולהעברות כספים מחשבונות משתמשים. הפריצה בעיקר השפיעה על משתמשים שנרשמו באמצעות Magic Labs, שירות המספק יצירת ארנק באמצעות דוא״ל בלחיצה אחת לחשבונות Ethereum.

משתמשים רבים דיווחו על ירידה פתאומית של יתרותיהם למרות שהפעילו אימות דו-שלבי על חשבונות הדוא״ל שלהם. ניתוח של עסקאות בשרשרת הבלוקצ׳יין העלה כי התוקפים ניצלו את פגם האימות כדי לעקוף את בקרות ההתחברות, ולבצע קריאות לחוזים חכמים שהעבירו Ether ו-ERC-20 לכתובות בשליטת התוקפים.

צוות ההנדסה של Polymarket זיהה את הגורם השורשי בשכבת האינטגרציה של Magic Labs והפיץ תיקון ב-23 בדצמבר. בהודעה רשמית בערוץ Discord, ציינה החברה כי הפגיעות טופלה וכי לא אותרו תקריות נוספות. Polymarket לא גילתה את המספר הכולל של החשבונות שנפגעו או את נפח הנכסים שנפרצו אך הדגישה כי פרוטוקול המסחר הליבה וחוזי החכמים נותרו בטוחים.

הפלטפורמה מתכננת לעבור לרשת Ethereum Layer 2 שלה, POLY, ולבטל את שירות הכניסה של צד שלישי כדי לבטל תלותים דומים. למשתמשים שנפגעו תישלח הודעה ישירה המתארת אפשרויות להחלמה, אם כי Polymarket נמנע מהתחייבות לפיצוי על ההפסדים.

מומחים מהתעשייה מדגישים את האירוע כסיפור אזהרה לגבי הסיכונים של מיקור-חוץ של מנגנוני אימות קריטיים. ככל שפרויקטי Web3 נעזרים יותר ב-SDKs חיצוניים להטמעת משתמשים, ביקורות אבטחה קפדניות ובקרות חלופיות חיוניות כדי למנוע פגיעויות מערכתיות.

– CryptoReporter