Децентрализованная площадка Polymarket отрицает утечку данных и взлом
Платформа Polymarket заявила, что публичные данные не являются уязвимостью, а частью архитектуры. Хакер опубликовал 300 тысяч записей, но биржа объяснила их доступность через API и блокчейн.
Децентрализованная площадка Polymarket официально отвергла обвинения в утечке данных. Ранее неизвестный пользователь с ником xorcat опубликовал 300 тысяч записей на хакерском форуме, заявив о взломе. Однако биржа прогнозов отметила, что эти данные всегда были доступны через программный интерфейс (API) и историю транзакций в блокчейне.
Согласно сообщению, опубликованному аккаунтом Dark Web Informer, злоумышленник утверждал, что извлек информацию о профилях пользователей, комментариях, рыночных данных и коде эксплойта. Он также упомянул проблемы с конфигурацией CORS в интерфейсе CLOB API и возможный обход аутентификации Next.js.
Содержимое архива, который хакер продвигал на форуме, включало 750 МБ данных. Внутри находились около 10 тысяч профилей пользователей, 4 111 комментариев и 48 536 рынков из Gamma API. Кроме того, в архиве были более 250 тысяч активных рынков из CLOB API, а также списки подписчиков, настройки вознаграждений и внутренние идентификаторы клиентов.
Хакер утверждал, что публикация данных является доказательством недостаточного контроля доступа на площадке. Он заявил, что не предупреждал разработчиков перед публикацией архива. Однако команда Polymarket заявила, что все упомянутые данные можно проверить в блокчейне и через официальные конечные точки API.
В официальном заявлении, опубликованном в соцсети X, представители биржи отметили: «Прозрачность блокчейна позволяет публично проверять всю информацию. Это особенность архитектуры, а не ошибка. Никакие данные не были скомпрометированы — они всегда были доступны через открытые API и данные в сети».
Команда также подчеркнула, что пользователи не обязаны платить хакеру за доступ к информации. Все данные уже доступны бесплатно через документацию API. Разработчики посоветовали изучить официальные документы для понимания формата запросов.
Polymarket опровергла утверждение о том, что у них нет программы вознаграждения за обнаружение уязвимостей. Биржа напомнила о фонде в размере $5 млн на платформе Cantina. Однако участие в программе возможно только при наличии проверенных уязвимостей, затрагивающих средства, смарт-контракты или личные данные пользователей.
Этот инцидент отражает сложность разделения между публичной информацией и реальными уязвимостями. Положение Polymarket демонстрирует готовность к открытой демонстрации рыночной активности, что может повлиять на форматы будущих отчетов об ошибках.
Эксперты отмечают, что прозрачность блокчейна — двойной меч: с одной стороны, она обеспечивает доверие, с другой — создает риски для злоумышленников. Однако, как отметил один из аналитиков: «Если данные публичны, то это не уязвимость, а часть модели».