Lỗ hổng bên ngoài khiến giao dịch bị dừng
Lỗ hổng Polymarket là sự cố bảo mật bắt nguồn từ nhà cung cấp bên thứ ba có tập lệnh theo dõi hiệu suất web được sử dụng trên trang quốc tế, khiến người truy cập có nguy cơ lộ thông tin và tài sản trong tài khoản. Polymarket cho biết phát hiện sự cố vào thứ Năm, tạm ngừng giao dịch mới để phòng ngừa rồi khắc phục vấn đề. Đây là quyết định cần thiết: khi thành phần bên ngoài có thể tác động đến trải nghiệm truy cập, tiếp tục cho người dùng mua bán sẽ làm tăng rủi ro trước khi phạm vi ảnh hưởng được làm rõ. Nhà phát triển DeFiLlama 0xngmi nói kẻ tấn công nhắm vào một công ty theo dõi hiệu suất web có các tập lệnh được Polymarket sử dụng, đồng thời cho biết cụm từ khôi phục ví vẫn an toàn. Tuy vậy, rủi ro với thông tin truy cập không đồng nghĩa mọi tài khoản hay ví đều đã bị chiếm.
Giao dịch Polymarket được khôi phục vào khoảng 3 giờ chiều theo giờ ET, sau khi nền tảng thông báo đã xử lý sự cố. Trong thời gian gián đoạn, người dùng có vị thế mở vẫn có thể hủy lệnh chờ nhưng không thể mua bán. Việc nối lại hoạt động là dấu hiệu biện pháp ứng phó đã tiến triển, chứ không tự nó chứng minh rằng toàn bộ tài khoản bị ảnh hưởng đã được xác định hoặc hoàn trả.
Vì sao mức thiệt hại được báo cáo khác nhau?
Các báo cáo đưa ra hai con số thiệt hại, nhưng không nên gộp chúng thành một tổng đã được xác nhận. Một nguồn ghi nhận người dùng trên X nói tài khoản của mình mất 800.000 USD và một người bạn mất thêm 600.000 USD, đưa mức thiệt hại được báo cáo lên 1,4 triệu USD; nguồn này cũng lưu ý không thể xác minh độc lập các khoản mất tiền. Nguồn còn lại dẫn ước tính của 0xngmi rằng khoảng 2,7 triệu USD tiền điện tử đã bị đánh cắp. Đây là các con số được thuật lại từ những nguồn và phương pháp khác nhau, không phải một thống kê thiệt hại chính thức thống nhất. Polymarket chưa công bố tổng số tiền thất thoát hay số lượng người bị ảnh hưởng trong thông báo được nêu ở nguồn đầu. Vì vậy, câu hỏi “Polymarket mất tiền bao nhiêu?” hiện chưa có một đáp án duy nhất được xác nhận.
Nguồn thứ hai cho biết cụm từ hạt giống ví của người dùng vẫn an toàn theo đánh giá của 0xngmi. Đây là thông tin đáng chú ý, nhưng không loại trừ khả năng một số người dùng đã chịu tổn thất qua tương tác với trang web hoặc bị ảnh hưởng theo cách khác. Điều cần chờ là báo cáo chính thức nêu rõ phạm vi, phương thức tấn công và số tài khoản liên quan.
Bồi thường: điều gì đã được Polymarket xác nhận?
Về trách nhiệm bồi thường, hai nguồn phản ánh các trạng thái thông tin khác nhau. Nguồn thứ hai dẫn thông báo của Polymarket rằng bất kỳ ai bị ảnh hưởng sẽ được bồi thường đầy đủ, đồng thời cho biết nền tảng cam kết hoàn trả cho các nhà giao dịch bị ảnh hưởng. Trong khi đó, nguồn thứ nhất viết rằng tại thời điểm bài đăng, Polymarket chưa đưa ra cam kết tương tự cho sự cố mới. Vì vậy, có cơ sở để nói rằng một nguồn dẫn lời cam kết hoàn trả, nhưng các tài liệu hiện có không cung cấp danh sách người đủ điều kiện, quy trình yêu cầu bồi thường hay thời hạn chi trả. Người dùng nên dựa vào thông báo trực tiếp từ nền tảng để xác nhận quyền lợi, thay vì xem con số thiệt hại đang lưu truyền là khoản bồi thường đã được duyệt.
Tiền lệ trước đây giúp giải thích vì sao người dùng kỳ vọng Polymarket chịu trách nhiệm: sau sự cố vào tháng 6/2024 liên quan đến mã từ nhà cung cấp bên thứ ba, nền tảng từng tuyên bố bồi hoàn toàn bộ cho người bị ảnh hưởng. Nhưng tiền lệ ấy không thay thế được xác nhận cụ thể cho sự cố lần này. Polymarket cần công bố cách xác định tài khoản bị ảnh hưởng và tiến độ hoàn tiền để biến lời cam kết thành biện pháp có thể kiểm chứng.
Người dùng nên làm gì và bài học bảo mật
Trong lúc chờ thông tin đầy đủ, người dùng nên làm theo cảnh báo thận trọng được ghi nhận: khóa tài khoản nếu có thể và tránh tương tác với trang web khi chưa xác minh an toàn. Không nhấp liên kết lạ hoặc nhập thông tin khôi phục ví vào trang được gửi qua tin nhắn; hãy kiểm tra cập nhật qua kênh chính thức của Polymarket. Nếu phát hiện giao dịch không nhận ra, lưu lại thời gian, thông báo và lịch sử tài khoản để đối chiếu với hướng dẫn hỗ trợ chính thức. Đây là các bước giảm rủi ro, không phải bằng chứng rằng mọi tài khoản đều đã bị xâm phạm.
Sự cố cho thấy bảo mật nền tảng không chỉ phụ thuộc vào hợp đồng thông minh hay ví lưu ký; tập lệnh của đối tác bên ngoài cũng có thể trở thành mắt xích nguy hiểm. Trong một tuần, các báo cáo còn nhắc đến một vụ rút tiền ở nền tảng dự đoán khác, làm tăng sức ép buộc các dịch vụ trong lĩnh vực này giải thích rõ cách kiểm soát nhà cung cấp. Kết luận cần giữ ở mức chính xác: Polymarket đã dừng rồi khôi phục giao dịch và nguồn thứ hai dẫn cam kết bồi thường, nhưng mức thiệt hại và phạm vi người dùng chịu ảnh hưởng vẫn chưa được các nguồn thống nhất. Người dùng nên coi cảnh giác là cần thiết cho đến khi có cập nhật chính thức chi tiết.
