แพลตฟอร์มตลาดทายผลแบบกระจายศูนย์ Polymarket ยอมรับเมื่อวันที่ 25 ธันวาคม 2025 ว่า บัญชีผู้ใช้หลายบัญชีถูกแฮ็กเนื่องจากช่องโหว่ด้านความปลอดภัยในผู้ให้บริการยืนยันตัวตนบุคคลที่สาม
ผู้ใช้ที่ได้รับผลกระทบรายงานการเข้าสู่ระบบโดยไม่ได้รับอนุญาตและยอดคงเหลือถูกถอนออก—แม้จะเปิดใช้งาน (2FA) และไม่มีหลักฐานว่ามีการบุกรุกอุปกรณ์ส่วนตัว—ซึ่งเป็นการกระตุ้นให้เกิดการคาดเดาบน X และ Reddit ว่าอาจเกี่ยวข้องกับ Magic Labs ซึ่งเป็นบริการเชื่อมต่อวอลเล็ตที่ใช้กันอย่างแพร่หลาย ในขณะที่ Polymarket ยังไม่ได้ระบุชื่อผู้ให้บริการ แต่เหตุการณ์นี้เน้นให้เห็นถึงความเสี่ยงจากบุคคลที่สามที่ยังคงดำเนินอยู่ในแพลตฟอร์ม Web3 แม้แต่สำหรับบริการที่ไม่ดูแลรักษาเอง ไม่มีการเปิดเผยตัวเลขความเสียหายอย่างเป็นทางการ แต่รายงานแต่ละรายระบุว่ามีการถอนเงินจำนวนมากหลังจากความพยายามเข้าสู่ระบบที่น่าสงสัย
รายละเอียดของการแฮ็กบัญชี Polymarket
ผู้ใช้เริ่มรายงานปัญหาเมื่อสัปดาห์ก่อน:
- รูปแบบทั่วไป: การแจ้งเตือนล้มเหลวหลายครั้งตามด้วยการเข้าถึงสำเร็จและการปิดตำแหน่ง/ถอนเงิน
- มาตรการความปลอดภัยยังคงอยู่: ผู้เสียหายรายงานว่าอุปกรณ์สะอาด ไม่มีการคลิก phishing และอีเมลที่เชื่อมโยงเปิดใช้งาน 2FA อยู่
- ตัวอย่างรายงาน: ผู้ใช้ Reddit รายหนึ่งเล่าว่า ตื่นขึ้นมาเจอความพยายามเข้าสู่ระบบสามครั้ง แล้วพบว่าตำแหน่งใน Polymarket ถูกปิดหมดและยอดคงเหลือใกล้ศูนย์
- การคาดเดาของชุมชน: หลายคนชี้ไปที่ Magic Labs (magic.link) ซึ่งเป็นบริการเชื่อมต่อวอลเล็ตที่ใช้งานอย่างแพร่หลาย เป็นจุดอ่อนที่น่าจะเป็นสาเหตุ
คำแถลงของ Polymarket ยืนยันว่าปัญหาเกิดจากบุคคลที่สาม แต่ให้รายละเอียดจำกัดเกี่ยวกับขอบเขตหรือระยะเวลาการแก้ไข
- ผลกระทบต่อแพลตฟอร์ม: เนื่องจากเป็นบริการที่ไม่ดูแลรักษาเอง คีย์ส่วนตัวยังคงอยู่ในความควบคุมของผู้ใช้ แต่ช่องโหว่ด้านการยืนยันตัวตนทำให้สามารถแฮ็กเซสชันได้
- ไม่มีการยืนยันการโจมตีแบบฟิชชิ่ง: ชี้ให้เห็นถึงการโจมตีในระดับซัพพลายเชนหรือระดับผู้ให้บริการ
- สถานะการตอบสนอง: ได้ออกประกาศรับทราบแล้ว อยู่ระหว่างการสืบสวน
ทำไมช่องโหว่ของบุคคลที่สามจึงเป็นความเสี่ยงต่อผู้ใช้ DeFi
แม้แต่แพลตฟอร์มแบบกระจายศูนย์ก็ยังพึ่งพาบริการภายนอกเพื่อประสบการณ์ผู้ใช้:
- การเชื่อมต่อวอลเล็ต: ผู้ให้บริการเช่น Magic Labs ช่วยให้การเข้าสู่ระบบง่ายขึ้น แต่ก็สร้างจุดล้มเหลวเดียว
- การจัดการเซสชัน: โทเคนการยืนยันตัวตนที่ถูกแฮ็กอาจข้าม 2FA ได้หากไม่ได้ถูกเพิกถอนอย่างถูกต้อง
- การโจมตีในซัพพลายเชน: เป็นภัยคุกคามที่เพิ่มขึ้นเมื่อ Web3 มีการพึ่งพาหลายระดับ
เหตุการณ์นี้สะท้อนให้เห็นถึงเหตุการณ์ในอดีตที่เครื่องมือของบุคคลที่สาม (e.g., Ledger Connect kit) ถูกเปิดเผยต่อผู้ใช้แม้จะมีความปลอดภัยส่วนบุคคลที่แข็งแกร่ง
ผลกระทบต่อผู้ใช้ Polymarket และตลาดทายผล
Polymarket ซึ่งเป็นที่รู้จักในด้านการเดิมพันเหตุการณ์ปริมาณสูง เผชิญแรงกดดันด้านชื่อเสียง:
- ผลกระทบต่อความเชื่อมั่น: ผู้ใช้ตั้งคำถามเกี่ยวกับความปลอดภัยของแพลตฟอร์ม แม้จะเป็นแบบไม่ดูแลรักษาเองก็ตาม
- บริบทของปริมาณ: บันทึกล่าสุด (เช่น การเดิมพันเลือกตั้ง) ทำให้ความเสี่ยงเป็นที่สนใจมากขึ้น
- มาตรการบรรเทา: คาดว่าจะเป็นการเพิกถอนเซสชัน การบังคับให้เข้าสู่ระบบใหม่ และการตรวจสอบจากผู้ให้บริการ
- บทเรียนที่กว้างขึ้น: ควรใช้วิธีการยืนยันตัวตนหลายวิธีและติดตามแอปที่เชื่อมต่อ
ไม่มีหลักฐานการโจมตีบนเชน; ความเสียหายเชื่อมโยงกับการเข้ายึดครองบัญชี
โดยสรุป การยืนยันของ Polymarket เมื่อวันที่ 25 ธันวาคม 2025 เกี่ยวกับการแฮ็กบัญชีผู้ใช้ผ่านช่องโหว่ของบุคคลที่สาม—ซึ่งส่งผลให้เงินถูกถอนออกแม้จะเปิดใช้งาน 2FA—เน้นให้เห็นถึงความเสี่ยงในซัพพลายเชนที่ยังคงอยู่ใน Web3 ด้วยการคาดเดาที่เน้นไปที่ Magic Labs และรายงานการเข้าถึงโดยไม่ได้รับอนุญาต เหตุการณ์นี้เป็นการเตือนให้ผู้ใช้ตรวจสอบบริการที่เชื่อมต่อและเปิดใช้งานตัวเลือกความปลอดภัยขั้นสูง ติดตามช่องทางทางการของ Polymarket สำหรับข้อมูลอัปเดตเกี่ยวกับบัญชีที่ได้รับผลกระทบและขั้นตอนการแก้ไขในสถานการณ์ที่กำลังพัฒนา
