في 29 أكتوبر 2026، استُبدل سكربت لقياس الأداء يوفره مزود خدمة ويُحمَّل على polymarket.com بشيفرة خبيثة. واستغل السكربت الجلسات المفتوحة للمستخدمين لبيع مراكزهم وسحب أموالهم. وتعيد Polymarket ما مجموعه 3.9 ملايين دولار، وشددت الرقابة على سكربتات الأطراف الثالثة.
ماذا حدث
في تقرير عن الحادث نُشر في 30 أكتوبر 2026، توضح منصة أسواق التوقعات Polymarket أنها رصدت نشاطًا غير مصرح به على محافظ المستخدمين في 29 أكتوبر عند الساعة 17:38 بالتوقيت العالمي. ولم يكن السبب في شيفرتها: فقد اختُرق مزود خدمة كان سكربت قياس الأداء الخاص به يُحمَّل على polymarket.com، واستبدل المهاجم هذا السكربت بنسخة تستهدف مستخدمي Polymarket. ولدى بعض من كانوا يفتحون الموقع خلال نافذة زمنية قصيرة بعد ظهر ذلك اليوم، استخدم السكربت الجلسة النشطة لبيع مراكز وتحويل أموال إلى خارج محافظهم.
وتعيد Polymarket ما مجموعه 3.9 ملايين دولار: 2.7 مليون عن السرقة و1.2 مليون عن الخسائر الناجمة عن تعليق التداول. وعند نشر التقرير، كانت 95% من المحافظ المتضررة قد عُوّضت بالكامل. ولم تذكر الشركة عدد المستخدمين المتضررين، وأحالت القضية إلى جهات إنفاذ القانون.
كيف دخل المهاجمون
كان الموقع يثق بنطاق مزود الخدمة، فكانت المتصفحات تنفذ كل ما يقدمه هذا النطاق. ووفق تحليل لشركة Hudson Rock، كانت سياسة أمان المحتوى (CSP) في الموقع تسمح بهذا النطاق؛ وكان السكربت الخبيث يقرأ بيانات المصادقة المخزنة في المتصفح، ويحدد عميل التداول داخل الصفحة، ثم يطلب التواقيع ويرسل تحويلات إلى عنوان يسيطر عليه المهاجم. وبحسب The Record، قال مزود الخدمة إن نتائجه الأولى تشير إلى اختراق عبر مسجل النطاقات الخاص به.
ماذا تفعل الآن
- أحصِ السكربتات الخارجية في مواقعك، مثلًا بالأمر
curl -s https://www.example.com/ | grep -oE 'src=[^ >]+'، واحذف ما لا حاجة إليه، بدءًا بصفحات تسجيل الدخول والدفع وحسابات العملاء. - ثبّت ما تبقى وتحقق منه: استضف بنفسك نسخة ثابتة، أو أضف Subresource Integrity إلى الملفات التي لا تتغير (بصمة تُنشأ بالأمر
openssl dgst -sha384 -binary file.js | openssl base64 -A)، كي يُرفض أي ملف معدّل. - شدّد سياسة CSP: قوائم
script-srcوconnect-srcدقيقة، مع تفعيل الإبلاغ عن المخالفات. فالسماح بنطاق لا يتحقق مما يقدمه. - راقب التغييرات: احسب بصمات ملفات الأطراف الثالثة بانتظام وأطلق تنبيهًا عند أي تغيير.
- جهّز الاستجابة: كن قادرًا على سحب سكربت وإلغاء جميع الجلسات خلال دقائق، كما فعلت Polymarket.
- احمِ نطاقاتك: المصادقة متعددة العوامل وقفل المسجل (registrar lock) على حساباتك لدى مسجل النطاقات.
رأينا
يعمل السكربت المحمَّل من نطاق آخر بالصلاحيات نفسها التي تتمتع بها شيفرتك، داخل جلسات عملائك. ونادرًا ما يُعد وسم التحليلات أو المراقبة عنصرًا حساسًا، لكنه كفى هنا لإفراغ حسابات. وتقليل سكربتات الأطراف الثالثة وتثبيت الإصدارات والتحقق من السلامة أمور قليلة الكلفة مقارنة بتعويضات بالملايين.
المصادر
- Polymarket Status — Post-mortem of the 29 October 2026 incident
- The Record — Polymarket pledges to give $3.9 million back to victims after site compromise
- The Record — Polymarket confirms cyberattack involving third party
- Hudson Rock (Infostealers) — Polymarket breach alert: wallet-draining code found in a third-party script
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
كان المدخل عبر طرف ثالث. تحقّق مما يكشفه مورّدوك علنًا — دون اختراق، معلومات عامة فقط:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
