บัญชี Polymarket ถูกแฮ็ก ผ่านช่องโหว่การตรวจสอบสิทธิ์ของบุคคลที่สาม

24 ธันวาคม 2025 – Polymarket ซึ่งเป็นแพลตฟอร์มตลาดทำนายแบบกระจายอำนาจ ยืนยันว่า ช่องโหว่ด้านความปลอดภัยในผู้ให้บริการยืนยันตัวตนภายนอกนำไปสู่การเข้าถึงโดยไม่ได้รับอนุญาตและการโอนเงินจากบัญชีผู้ใช้ การละเมิดดังกล่าวส่งผลกระทบเป็นหลักกับผู้ใช้ที่ลงทะเบียนผ่าน Magic Labs ซึ่งเป็นบริการที่ให้การสร้างกระเป๋าเงินด้วยอีเมลแบบคลิกเดียวสำหรับบัญชี Ethereum

ผู้ใช้หลายรายรายงานการสูญเสียยอดเงินอย่างกะทันหันถึงแม้ได้เปิดใช้งานการยืนยันตัวตนสองขั้นตอนบนบัญชีอีเมลของตน การวิเคราะห์ธุรกรรมบนเชนพบว่าผู้โจมตีใช้ประโยชน์จากช่องโหว่ในการยืนยันตัวตนเพื่อหลบเลี่ยงการควบคุมการเข้าสู่ระบบ โดยเรียกใช้งานสัญญาอัจฉริยะที่ย้าย Ether และโทเคน ERC-20 ไปยังที่อยู่ที่ควบคุมโดยผู้โจมตี

ทีมวิศวกรของ Polymarket ระบุสาเหตุหลักในชั้นการบูรณาการของ Magic Labs และได้ปล่อยแพทช์เมื่อวันที่ 23 ธันวาคม ในประกาศอย่างเป็นทางการบน Discord บริษัทระบุว่าช่องโหว่ถูกจำกัดและยังไม่พบเหตุการณ์เพิ่มเติม Polymarket ไม่เปิดเผยจำนวนบัญชีที่ได้รับผลกระทบทั้งหมดหรือปริมาณทรัพย์สินที่ถูกบุกรุก แต่เน้นย้ำว่ากลไกการซื้อขายหลักและสัญญาอัจฉริยะยังคงปลอดภัย

แพลตฟอร์มมีแผนที่จะย้ายไปยังเครือข่าย Ethereum Layer 2 ของตนเองที่ชื่อ POLY และยุติการให้บริการเข้าสู่ระบบจากบุคคลที่สามเพื่อกำจัดการพึ่งพาในรูปแบบเดียวกัน ผู้ใช้ที่ได้รับผลกระทบจะได้รับการสื่อสารโดยตรงที่ระบุทางเลือกในการกู้คืน แม้ว่า Polymarket จะยังไม่ให้คำมั่นว่าจะชดเชยความเสียหาย

ผู้เชี่ยวชาญในอุตสาหกรรมชี้ว่าเหตุการณ์นี้เป็นบทเรียนเตือนถึงความเสี่ยงจากการมอบหมายกลไกการตรวจสอบตัวตนที่สำคัญให้กับบุคคลภายนอก เมื่อโครงการ Web3 พึ่งพา SDK ภายนอกมากขึ้น การตรวจสอบความปลอดภัยอย่างเข้มงวดและมาตรการสำรองข้อมูลจึงเป็นสิ่งจำเป็นเพื่อป้องกันช่องโหว่เชิงระบบ

– CryptoReporter.