Polymarket опровергает заявления хакеров, данные остаются общедоступными

Polymarket, платформа рынков прогнозов, отвергла волну сообщений о взломе данных после того, как публикация в даркнете заявила об утечке личных данных пользователей. Хакер под псевдонимом «xorcat» и аккаунты по кибербезопасности, распространяющиеся в X, утверждали, что похитили более 300 000 записей, включая 10 000 полных профилей с именами, изображениями профилей, прокси-кошельками и базовыми адресами. Polymarket охарактеризовала эти обвинения как «полную и абсолютную чушь», утверждая, что упомянутая информация уже находится в открытом доступе.

Скандал разгорелся на фоне того, как криптосообщество по безопасности и данные на цепочке отслеживают волну взломов и утечек данных за последний месяц. Хакеры и неправильные конфигурации способствовали широкому кругу инцидентов: по данным Hacken, Web3-проекты потеряли около 482 000 000$ в результате взломов и мошенничества в 44 событиях в первом квартале 2026 года. Этот контекст усилил внимание к тому, сколько данных раскрывается системами с данными на цепочке и доступом через API, и что считается взломом, а что — публичной аудируемой поверхностью данных.

Позиция Polymarket была подкреплена прямым опровержением в X, где команда назвала заявления о взломе «полной и абсолютной чушью» и отметила, что якобы похищенные данные уже доступны в интернете. В другой публикации Polymarket подчеркнула характер своих данных — они находятся на цепочке и доступны для публичного аудита: «Часть прелести работы в блокчейне состоит в том, что все наши данные публично аудируемы — это особенность, а не ошибка. Никакие данные не были утечены, они доступны через наши публичные конечные точки и данные на цепочке. Вместо того чтобы платить за данные, вы можете получить к ним бесплатный доступ через наши API».

Заявление хакера было сосредоточено на взломе через якобы скомпрометированные конечные точки API и данные на цепочке, с утверждениями о том, что были использованы недокументированные конечные точки API, обход пагинации и неправильные конфигурации CORS в API Gamma и CLOB Polymarket. Злоумышленник также заявил о планах опубликовать больше данных с других рынков прогнозов в ближайшие дни.

Несколько исследователей безопасности выразили скептицизм по поводу истории о взломе. Владимир С., исследователь угроз и директор по информационной безопасности в Legalblock, предостерёг, что доказательства указывают скорее на парсинг данных, чем на настоящую утечку, описав сценарий как маловероятный для реального взлома базы данных.

Ключевые выводы

• Инцидент связан с заявлением о краже данных из Polymarket, которое оператор отвергает как ложное, утверждая, что упомянутые данные находятся в открытом доступе и уже опубликованы.
• Polymarket утверждает, что её данные остаются на цепочке и публично аудируемы, подчёркивая, что разработчики и пользователи могут бесплатно получать информацию через публичные API.
• Платформа опровергает нарратив об отсутствии программы bug bounty, указывая на действующую программу, запущенную 16 апреля, которая с тех пор получила сотни отчётов — что поднимает вопросы о сроках и масштабах предполагаемой утечки данных.
• Отраслевой контекст важен: хакеры и неправильные конфигурации способствовали широкой волне инцидентов с безопасностью в сфере криптовалют в первом квартале 2026 года, подчёркивая сохраняющуюся уязвимость сектора к утечкам данных и ошибкам контроля доступа.
• Скептики утверждают, что заявление может отражать парсинг данных или их неверную интерпретацию, а не настоящий взлом, подчёркивая противоречие между прозрачностью данных на цепочке и раскрытием конфиденциальных данных на уровне пользователя.

Ответ Polymarket и дискуссия о доступе к данным

В центре спора — утверждение Polymarket об отсутствии взлома данных и о том, что информация, упомянутая хакером, уже является публичной. В публикациях в X платформа утверждала, что публично доступные конечные точки API и наличие данных на цепочке означают, что пользователи и разработчики могут получить те же данные без взлома. Позиция компании согласуется с более широкой дискуссией в криптоиндустрии: когда активность на цепочке по своей природе публична и аудируема, в какой момент раскрытие становится взломом, а не характеристикой архитектуры?

Платформа также указала на свою стратегию API, предположив, что данные, заявленные как похищенные, доступны любому через её API, а не представляют собой нарушение безопасности. Такая формулировка вызвала неоднозначную реакцию в сообществе по безопасности: одни эксперты признают публичный характер определённых данных, тогда как другие предупреждают, что раскрытие конфиденциальных метаданных пользователей — особенно в сочетании с адресами кошельков и идентификаторами профилей — может вызывать опасения в отношении конфиденциальности, даже если технически они являются публичными.

Помимо специфики Polymarket, этот эпизод затрагивает более давнюю проблему криптоинфраструктуры: как сбалансировать открытость и аудируемость с защитой конфиденциальности пользователей. Данные на цепочке и доступ через API могут обеспечивать быструю верификацию и прозрачность, но они также могут расширять поверхность для сбора данных и возможного злоупотребления, если должным образом не контролируются или не анонимизируются. Продолжающаяся дискуссия подчёркивает, почему платформы должны чётко разграничивать, какие данные публично видимы, а какие считаются конфиденциальными или ограниченными.

Программа bug bounty и уровень безопасности

Главным контраргументом против нарратива «нет программы bug bounty» является заявленная программа bug bounty Polymarket. Платформа сообщает о действующей инициативе, начавшейся 16 апреля, которая с тех пор собрала сотни отчётов — 446, по последним данным. Этот темп свидетельствует об активных усилиях по выявлению и устранению уязвимостей, даже пока текущий эпизод разворачивается на виду у общественности. Наличие формальной программы bug bounty может служить сигналом зрелости в области безопасности, но также привлекает внимание к охвату отчётности об ошибках и оперативности исправлений в быстро меняющейся среде угроз.

Отраслевые наблюдатели будут следить за тем, продолжат ли всплывать новые уязвимости или неправильные конфигурации в API-слоях Polymarket, или же текущий эпизод останется ограниченным неверной интерпретацией общедоступных данных. Взаимодействие между активностью bug bounty, сроками раскрытия и реагированием на инциденты позволит оценить, насколько быстро платформа сможет восстановить доверие, если возникнут реальные проблемы.

Отраслевой контекст: инциденты безопасности и прозрачность данных на цепочке

Более широкий ландшафт безопасности в криптоиндустрии добавляет контекст к эпизоду с Polymarket. Хакеры и неправильные конфигурации вывели безопасность Web3 на передний план: в первом квартале 2026 года зафиксированы значительные потери в многочисленных инцидентах. Хотя общие потери и число инцидентов варьируются в зависимости от источника, тенденция показывает, что даже устоявшиеся рынки и платформы прогнозов остаются привлекательными целями для злоумышленников, стремящихся получить преимущество в данных или финансах.

Аналитики отмечают, что публичный характер данных на цепочке может быть обоюдоострым мечом: он обеспечивает быструю верификацию и подотчётность, но может также осложнять вопросы конфиденциальности, если информация, идентифицирующая пользователя, переплетается с прозрачными данными о транзакциях. В этой среде платформы, выступающие за открытость, должны также обеспечивать надёжный контроль доступа, тщательную минимизацию данных и чёткую политику конфиденциальности для пользователей, чтобы соответствовать меняющимся регуляторным и рыночным ожиданиям.

По мере того как нарратив вокруг Polymarket развивается, наблюдатели захотят увидеть, как платформа реагирует на продолжающееся внимание, публикует ли она более технические подробности о своих конфигурациях API и мерах безопасности, и как она сообщает о будущих выводах из раскрытий в рамках bug bounty. Отчёты исследователей безопасности, операторов бирж и независимых исследователей будут продолжать формировать рыночное восприятие надёжности данных на популярных платформах прогнозов.

В репортаже этой недели Cointelegraph опирался на оценку Hacken ландшафта безопасности за этот период, подчёркивая, что в первом квартале 2026 года в пространстве Web3 был зафиксирован значительный объём эксплойтов. Сочетание доступности публичных данных и громких нарративов о взломах ясно показывает, почему инвесторы и разработчики уделяют всё больше внимания тому, как платформы справляются с раскрытием данных, безопасностью API и реагированием на инциденты в режиме реального времени.

Источник: публикации Polymarket в X, комментарии исследователей кибербезопасности и отраслевые данные, приведённые Hacken и Cointelegraph.

Polymarket привержена независимой и прозрачной журналистике. Данная новостная статья соответствует редакционной политике Cointelegraph и направлена на предоставление точной и своевременной информации. Читателям рекомендуется самостоятельно проверять информацию.

Эта статья была первоначально опубликована как Polymarket Refutes Hacker Claims, Data Remains Public на Crypto Breaking News — вашем надёжном источнике новостей о криптовалютах, Bitcoin и обновлениях блокчейна.