Polymarket Hack Update: $3.9 Million Refund का ऐलान

Prediction market मंच Polymarket ने अपनी अंतरराष्ट्रीय वेबसाइट पर हुए साइबर हमले के बाद प्रभावित कारोबारियों को कुल 3.9 मिलियन डॉलर लौटाने की जानकारी दी है। कंपनी के 30 अक्टूबर 2026 के आधिकारिक postmortem के अनुसार, 29 अक्टूबर को एक तीसरे पक्ष के सेवा प्रदाता का performance-monitoring script हमलावर के नियंत्रण में चला गया था। उस स्क्रिप्ट को बदलकर ऐसा कोड लगाया गया जिसने कुछ समय के लिए वेबसाइट पर पहले से खुले उपयोगकर्ता सत्रों का दुरुपयोग किया।

क्या हुआ और यह खबर क्यों महत्वपूर्ण है?

Polymarket के अनुसार इस घटना में कुछ उपयोगकर्ताओं की खुली session का इस्तेमाल करके उनकी positions बेची गईं और वॉलेट से धन स्थानांतरित किया गया। कंपनी ने तुरंत कारोबार को रोकने और relayer गतिविधि रोकने का फैसला किया। बाद में उसने प्रभावित स्क्रिप्ट हटाई, cache साफ किया और सभी सक्रिय login sessions को reset किया। कंपनी ने कहा कि समस्या को ठीक करने के बाद मंच को फिर चालू किया गया और मामले की सूचना संबंधित कानून प्रवर्तन एजेंसियों को दी गई।

इस अपडेट का मतलब क्या है?

कंपनी ने बताया कि प्रभावित वॉलेट में से लगभग 95 प्रतिशत को पूरा refund दिया जा चुका है। कुल 3.9 मिलियन डॉलर की वापसी में लगभग 2.7 मिलियन डॉलर सीधे हमले से प्रभावित रकम और 1.2 मिलियन डॉलर कारोबार रोकने के दौरान हुए कुछ नुकसान की भरपाई के लिए बताए गए। Polymarket के अनुसार पात्र वॉलेट की पहचान on-chain और trading data से की गई, इसलिए अधिकतर उपयोगकर्ताओं को अलग से दावा जमा करने की जरूरत नहीं थी।

यह घटना सामान्य वॉलेट हैक से कुछ अलग थी। कई लोग मानते हैं कि यदि उन्होंने वॉलेट की निजी कुंजी किसी को नहीं दी, तो उनका खाता सुरक्षित है। लेकिन वेबसाइट में जुड़ी बाहरी स्क्रिप्ट भी जोखिम पैदा कर सकती है। जब कोई उपयोगकर्ता किसी मंच पर लॉगिन रहता है, तो वेबसाइट के कुछ घटक उसके सक्रिय सत्र के साथ काम करते हैं। यदि कोई तीसरे पक्ष का घटक समझौता किए गए कोड को लोड करे, तो हमलावर उस खुले सत्र का गलत इस्तेमाल कर सकता है।

तकनीकी व्यवस्था और जोखिम

तीसरे पक्ष के software का उपयोग इंटरनेट सेवाओं में आम है। वेबसाइटें गति मापने, त्रुटि पहचानने, ग्राहक सहायता, विज्ञापन, आंकड़े और सुरक्षा के लिए बाहरी सेवाएं जोड़ती हैं। इससे विकास और संचालन आसान होता है, लेकिन कंपनी को उन सेवा प्रदाताओं की सुरक्षा पर भी निर्भर रहना पड़ता है। यदि बाहरी प्रदाता का सिस्टम कमजोर हो या उसके कोड में बदलाव हो जाए, तो असर उस वेबसाइट तक पहुंच सकता है जो उस कोड को अपने पेज में लोड करती है।

Polymarket ने अपने बयान में बताया कि उसने समझौता किए गए script को हटाया और cache साफ किए। इसके साथ सभी सक्रिय login sessions reset किए गए ताकि पुराने सत्र का उपयोग जारी न रह सके। कंपनी ने आगे के लिए Content Security Policy, script version pinning, sandboxing और निरंतर निगरानी जैसे उपायों का उल्लेख किया। इन उपायों का उद्देश्य यह सीमित करना है कि वेबसाइट में कौन-सा कोड चल सकता है और बाहरी कोड में बदलाव होने पर उसे कैसे रोका जाए।

ग्राहकों पर संभावित असर

Content Security Policy यानी CSP वेबसाइट को यह नियम तय करने में मदद करती है कि किन स्रोतों से script, image और अन्य सामग्री लोड की जा सकती है। Script version pinning से वेबसाइट किसी बाहरी script के तय संस्करण को ही स्वीकार कर सकती है। Sandboxing किसी घटक को सीमित वातावरण में चलाने का तरीका है, ताकि उसके पास पूरे पेज या उपयोगकर्ता सत्र पर अनावश्यक नियंत्रण न हो। ये उपाय जोखिम कम कर सकते हैं, लेकिन किसी भी प्रणाली को पूरी तरह हमले से मुक्त नहीं बनाते।

Polymarket ने कहा कि लगभग 95 प्रतिशत प्रभावित वॉलेट को पूरा refund मिल चुका है। बाकी मामलों की स्थिति को समझने के लिए उपयोगकर्ता को आधिकारिक status page पर दी गई प्रक्रिया देखनी चाहिए। कंपनी ने कहा कि उसने on-chain और trading data के आधार पर पात्र खातों की पहचान की है। यदि किसी व्यक्ति को लगता है कि उसका नुकसान दर्ज नहीं हुआ, तो उसे आधिकारिक सहायता माध्यम से संपर्क करना चाहिए और अपने लेनदेन का प्रमाण सुरक्षित रखना चाहिए।

भारत के उपयोगकर्ताओं के लिए सीख

इस घटना से prediction market उपयोगकर्ताओं के लिए एक अहम सवाल उठता है कि वे किस प्रकार के मंच पर धन रखते हैं और खाते की सुरक्षा कैसे होती है। Prediction market में लोग किसी घटना के परिणाम पर आधारित contracts खरीदते या बेचते हैं। इन positions का मूल्य बाजार की संभावना और मांग के अनुसार बदल सकता है। इसलिए वेबसाइट सुरक्षा के अलावा उपयोगकर्ता को यह भी समझना चाहिए कि कारोबार रोक दिए जाने पर position का मूल्य बदल सकता है और उसका जोखिम सामान्य spot holding से अलग हो सकता है।

उपयोगकर्ताओं को अपने browser और device को सुरक्षित रखना चाहिए। अनजान browser extension हटाएं, सार्वजनिक कंप्यूटर पर लॉगिन न छोड़ें और यदि मंच समर्थन करता हो तो hardware security key या मजबूत MFA का उपयोग करें। किसी वेबसाइट पर लॉगिन रहते समय संदिग्ध pop-up या अचानक खुलने वाले पेज पर भरोसा न करें। वॉलेट में बड़ी रकम रखने के बजाय जरूरत के अनुसार ही मंच पर धन रखना भी एक सावधानी हो सकती है।

आगे किन बातों पर नजर रहेगी?

वेबसाइट संचालकों के लिए यह घटना supply-chain security की अहमियत दिखाती है। केवल अपने server को सुरक्षित करना पर्याप्त नहीं, बल्कि बाहरी script, analytics tool और monitoring service की भी जांच जरूरी है। कंपनियों को बाहरी कोड की सूची, उसके संस्करण, अनुमति और बदलाव की निगरानी करनी चाहिए। किसी प्रदाता में समस्या आने पर उसे तुरंत हटाने, cache साफ करने और सक्रिय sessions समाप्त करने की योजना पहले से तैयार रहनी चाहिए।

आगे देखने वाली बात यह है कि Polymarket सभी प्रभावित वॉलेट की भरपाई पूरी कर पाता है या नहीं और बाहरी script पर नियंत्रण के नए उपाय कितने प्रभावी रहते हैं। कंपनी ने 3.9 मिलियन डॉलर की कुल वापसी और लगभग 95 प्रतिशत प्रभावित वॉलेट की भरपाई बताई है। शेष मामलों पर अंतिम पुष्टि जरूरी है। उपयोगकर्ताओं को किसी भी नकली refund संदेश से बचना चाहिए और केवल मंच के आधिकारिक status page से जानकारी लेनी चाहिए।

घटना की पृष्ठभूमि और तकनीकी पहलू

अक्सर पूछे जाने वाले सवाल

1. Polymarket में सुरक्षा घटना कैसे हुई?

Polymarket के अनुसार तीसरे पक्ष के monitoring script से छेड़छाड़ की गई थी। कुछ समय के लिए वेबसाइट पर खुले उपयोगकर्ता sessions का दुरुपयोग करके positions बेची गईं और वॉलेट से धन स्थानांतरित किया गया।

2. Polymarket ने कितनी रकम लौटाने की बात कही?

कंपनी ने कुल 3.9 मिलियन डॉलर लौटाने की जानकारी दी। इसमें लगभग 2.7 मिलियन डॉलर हमले से प्रभावित रकम और 1.2 मिलियन डॉलर कारोबार रुकने के दौरान हुए कुछ नुकसान की भरपाई शामिल बताई गई।

3. क्या सभी प्रभावित उपयोगकर्ताओं को refund मिल गया?

Polymarket ने लगभग 95 प्रतिशत प्रभावित वॉलेट को पूरा refund देने की बात कही। इसका अर्थ है कि शेष मामलों की पुष्टि या भुगतान की स्थिति अलग से देखनी होगी। कंपनी ने पात्र खातों की पहचान अपने डेटा से की।

4. क्या यह हमला वॉलेट की निजी कुंजी चोरी करके हुआ था?

कंपनी के postmortem के अनुसार हमलावर ने तीसरे पक्ष की वेबसाइट स्क्रिप्ट का दुरुपयोग किया और खुले sessions के जरिए कुछ positions बेचीं। इसे सीधे निजी कुंजी चोरी का मामला बताना उपलब्ध जानकारी से सही नहीं होगा।

5. Polymarket उपयोगकर्ताओं को क्या सावधानी रखनी चाहिए?

उपयोगकर्ताओं को मजबूत प्रमाणीकरण अपनाना चाहिए, अनजान browser extension हटाना चाहिए और नकली refund लिंक से बचना चाहिए। खाते में केवल जरूरत के अनुसार धन रखना तथा आधिकारिक status page देखना भी उपयोगी है।

निष्कर्ष

आगे देखने वाली बात यह है कि Polymarket सभी प्रभावित वॉलेट की भरपाई पूरी कर पाता है या नहीं और बाहरी script पर नियंत्रण के नए उपाय कितने प्रभावी रहते हैं। कंपनी ने 3.9 मिलियन डॉलर की कुल वापसी और लगभग 95 प्रतिशत प्रभावित वॉलेट की भरपाई बताई है। शेष मामलों पर अंतिम पुष्टि जरूरी है। उपयोगकर्ताओं को किसी भी नकली refund संदेश से बचना चाहिए और केवल मंच के आधिकारिक status page से जानकारी लेनी चाहिए।

मूल जानकारी के लिए मूल समाचार और आधिकारिक अपडेट पढ़ें। संबंधित जानकारी के लिए Web Application Security देखें।

अस्वीकरण: यह लेख केवल जानकारी के लिए है। क्रिप्टो निवेश में जोखिम है, इसलिए निर्णय से पहले स्वतंत्र जांच करें।