30 अक्टूबर 2026 को crypto community में Polymarket से जुड़ी सुरक्षा घटना पर चर्चा जारी है। Web3 सुरक्षा कंपनी GoPlus के अनुसार, Polymarket की international website पर उपयोगकर्ताओं की डिजिटल संपत्ति की चोरी एक third-party service provider के supply-chain compromise से जुड़ी थी। शुरुआती अनुमान में करीब 2.71 million डॉलर की संपत्ति प्रभावित बताई गई। Polymarket ने कहा कि उसने समस्या को ठीक कर दिया है, ट्रेडिंग सेवा बहाल कर दी है और प्रभावित उपयोगकर्ताओं को पूरा मुआवजा दिया जाएगा। यह घटना बताती है कि किसी ऑनलाइन प्लेटफॉर्म की सुरक्षा केवल उसके अपने software पर निर्भर नहीं करती, बल्कि बाहरी सेवा देने वाली कंपनियों पर भी निर्भर करती है।
Polymarket पर क्या हुआ?
रिपोर्टों के अनुसार, Polymarket की international website पर इस्तेमाल की जा रही एक बाहरी script में malicious code पहुंच गया था। यह script performance monitoring से जुड़ी third-party सेवा DebugBear से संबंधित बताई गई। Supply-chain attack में हमलावर किसी सीधे लक्ष्य पर हमला करने के बजाय उसके software या service provider को निशाना बनाता है। यदि बाहरी provider का code किसी बड़े प्लेटफॉर्म पर इस्तेमाल होता है, तो उस code में बदलाव के जरिए बहुत से उपयोगकर्ताओं तक malicious activity पहुंच सकती है।
GoPlus ने बताया कि हमलावर script ने उपयोगकर्ताओं की trading और signing permissions का गलत फायदा उठाया। इस तरह की permission किसी वेबसाइट या wallet को कुछ खास काम करने की अनुमति देती है। यदि उपयोगकर्ता ने किसी application को token या transaction से जुड़ी अनुमति दी है, तो malicious code उस अनुमति का दुरुपयोग करने की कोशिश कर सकता है। इस घटना में लगभग 2.71 million डॉलर के नुकसान का अनुमान लगाया गया। यह संख्या शुरुआती blockchain analysis पर आधारित है और प्रभावित उपयोगकर्ताओं की वास्तविक संख्या अलग हो सकती है।
BleepingComputer की रिपोर्ट के अनुसार, Polymarket ने कहा कि उसके एक third-party provider से जुड़ी समस्या थी और मामला संबंधित कानून प्रवर्तन एजेंसियों को भेजा गया। कंपनी ने सावधानी के तौर पर trading को कुछ समय के लिए रोका। समस्या ठीक किए जाने के बाद प्लेटफॉर्म ने trading फिर से शुरू कर दी और प्रभावित traders को पूरा reimbursement देने का भरोसा दिया।
DebugBear script का नाम क्यों सामने आया?
GoPlus ने अपनी जांच में कहा कि malicious code बाहरी performance monitoring provider DebugBear की RUM script के supply-chain compromise से फैलाया गया। RUM यानी Real User Monitoring का उपयोग वेबसाइट के वास्तविक उपयोगकर्ताओं के अनुभव, पेज की गति और तकनीकी समस्याओं को समझने के लिए किया जाता है। वेबसाइटें ऐसी scripts का उपयोग करती हैं ताकि उन्हें पता चले कि कौन-सा पेज धीमा है या उपयोगकर्ता को कहां परेशानी हो रही है। लेकिन किसी बाहरी script को वेबसाइट पर चलाने की अनुमति देना सुरक्षा का एक संभावित जोखिम भी बन सकता है।
इस मामले में सुरक्षा शोधकर्ताओं ने कई deposit wallets और addresses का उल्लेख किया। GoPlus के अनुसार, 710 deposit wallets और 731 addresses को मुख्य attack paths से जोड़ा गया। इसका अर्थ यह नहीं है कि इतने ही अलग-अलग लोग प्रभावित हुए। एक व्यक्ति के कई wallet address हो सकते हैं और किसी एक address से कई तरह के लेनदेन हो सकते हैं। इसलिए address की संख्या को सीधे पीड़ित उपयोगकर्ताओं की संख्या नहीं समझना चाहिए।
⚠️ Polymarket Security Incident
- रिपोर्ट की तारीख: 30 अक्टूबर 2026
- अनुमानित नुकसान: करीब 2.71 million डॉलर
- संभावित कारण: third-party monitoring script का compromise
- संबंधित provider: DebugBear RUM script
- सुरक्षा प्रतिक्रिया: समस्या ठीक कर trading बहाल
- उपयोगकर्ता सहायता: प्रभावित traders को पूरा मुआवजा देने का वादा
Trading रोकने और फिर शुरू करने का फैसला
किसी trading platform पर सुरक्षा घटना सामने आने के बाद सबसे पहले यह तय करना होता है कि समस्या अभी भी सक्रिय है या नहीं। यदि malicious code website पर मौजूद है, तो उपयोगकर्ताओं को लगातार जोखिम हो सकता है। इसलिए Polymarket ने अस्थायी रूप से trading और कुछ platform actions रोकने का फैसला किया। इससे उपयोगकर्ताओं को थोड़ी असुविधा हुई, लेकिन सुरक्षा जांच पूरी होने तक ऐसी रोक नुकसान को सीमित करने में मदद कर सकती है।
कंपनी ने समस्या ठीक करने के बाद trading बहाल की और कहा कि प्रभावित लोगों को पूरा पैसा वापस किया जाएगा। हालांकि किसी भी reimbursement प्रक्रिया में उपयोगकर्ता की पहचान, प्रभावित transaction और wallet history की पुष्टि करनी पड़ सकती है। ऐसे समय में फर्जी refund messages और नकली support accounts का खतरा बढ़ जाता है। उपयोगकर्ताओं को किसी भी व्यक्ति को seed phrase, private key या OTP नहीं देना चाहिए।
यह भी जरूरी है कि उपयोगकर्ता किसी platform की official announcement और अपनी transaction history दोनों देखें। यदि कोई transaction उनकी अनुमति के बिना हुआ है, तो उन्हें wallet provider और platform के आधिकारिक support channel से संपर्क करना चाहिए। अनजान वेबसाइट पर wallet connect करने या refund पाने के नाम पर नई permission देने से बचना चाहिए।
Supply-chain attack से crypto platforms को क्या सीखना चाहिए?
Supply-chain security का मतलब है कि किसी कंपनी के अपने सिस्टम के साथ-साथ उसके vendors, software libraries, scripts और बाहरी service providers की सुरक्षा भी जांची जाए। आज की वेबसाइटें कई बाहरी tools का उपयोग करती हैं। इनमें analytics, customer support, payment services, performance monitoring और advertising scripts शामिल हो सकती हैं। इनमें से किसी एक के compromise होने पर पूरे platform के उपयोगकर्ताओं पर असर पड़ सकता है।
वेबसाइट संचालकों को third-party scripts की संख्या सीमित रखनी चाहिए। हर script को उतनी ही अनुमति दी जानी चाहिए जितनी काम के लिए जरूरी है। Content Security Policy, Subresource Integrity, vendor review और नियमित code monitoring जैसी तकनीकें जोखिम घटाने में मदद कर सकती हैं। इसके अलावा vendors से security incident की सूचना देने, access controls और audit reports से जुड़ी स्पष्ट शर्तें रखनी चाहिए।
Crypto platforms को wallet connection और transaction signing के दौरान उपयोगकर्ता को साफ जानकारी देनी चाहिए कि वह किस अनुमति को स्वीकार कर रहा है। यदि कोई application token transfer की अनुमति मांगता है, तो उपयोगकर्ता को यह समझना चाहिए कि अनुमति कितनी बड़ी है और कितने समय तक लागू रहेगी। अनावश्यक या unlimited approvals को नियमित रूप से जांचना और हटाना उपयोगी हो सकता है।
आम उपयोगकर्ता अपने wallet को कैसे सुरक्षित रखें?
उपयोगकर्ता को हर website पर wallet connect करने से पहले domain की जांच करनी चाहिए। किसी लोकप्रिय platform की नकल करने वाली वेबसाइट भी बिल्कुल असली जैसी दिख सकती है। Wallet में दिखाई देने वाले transaction details को ध्यान से पढ़ें और ऐसी permission स्वीकार न करें जिसका उद्देश्य समझ में न आए। यदि किसी website पर अचानक pop-up आता है या वह account verify करने के नाम पर seed phrase मांगती है, तो उसे तुरंत बंद कर दें।
एक सुरक्षित ईमेल खाता भी महत्वपूर्ण है, क्योंकि कई crypto services login recovery के लिए ईमेल का उपयोग करती हैं। ईमेल और exchange accounts पर अलग password और multi-factor authentication रखें। Hardware security key supported services में phishing के जोखिम को कम कर सकती है। लेकिन इसे भी सुरक्षित जगह रखें और recovery के लिए दूसरा तरीका तैयार रखें।
अतिरिक्त login सुरक्षा के लिए Yubico Security Key NFC जैसे उत्पाद की जानकारी देखी जा सकती है। खरीदने से पहले यह जांचें कि आपका फोन, कंप्यूटर और इस्तेमाल की जाने वाली सेवा इस key को support करते हैं या नहीं।
🔐 Wallet Permission Safety
- Website: URL और domain ध्यान से जांचें
- Approval: अनजान token permission स्वीकार न करें
- Wallet: पुराने और अनावश्यक approvals हटाएं
- Recovery: seed phrase ऑफलाइन रखें
- Login: MFA या security key इस्तेमाल करें
- Support: केवल official help channel पर संपर्क करें
Polymarket की घटना यह दिखाती है कि एक बाहरी script भी बड़े financial platform के लिए जोखिम बन सकती है। उपयोगकर्ताओं को यह मानकर नहीं चलना चाहिए कि किसी लोकप्रिय वेबसाइट से जुड़ी हर बाहरी सेवा पूरी तरह सुरक्षित है। प्लेटफॉर्म को vendor security की जांच करनी होगी और उपयोगकर्ताओं को wallet permissions पर नियंत्रण रखना होगा।
आने वाले समय में इस घटना की पूरी तकनीकी जानकारी और reimbursement प्रक्रिया पर नजर रहेगी। यदि platform पारदर्शी तरीके से प्रभावित उपयोगकर्ताओं की मदद करता है और third-party access को मजबूत बनाता है, तो भरोसा लौटाने में मदद मिल सकती है। लेकिन यह घटना बाकी DeFi और prediction market platforms के लिए भी चेतावनी है कि website scripts और external providers को हल्के में नहीं लेना चाहिए।
अक्सर पूछे जाने वाले सवाल
1. Polymarket पर कितने डॉलर की चोरी का अनुमान है?
GoPlus और अन्य शुरुआती रिपोर्टों में करीब 2.71 million डॉलर की संपत्ति प्रभावित होने का अनुमान दिया गया। यह blockchain analysis पर आधारित आंकड़ा है। प्रभावित wallet addresses की संख्या को सीधे प्रभावित लोगों की संख्या नहीं समझना चाहिए।
2. Polymarket hack में DebugBear का नाम क्यों आया?
GoPlus के अनुसार, malicious code एक third-party performance monitoring RUM script के supply-chain compromise से जुड़ा था। DebugBear script का नाम जांच में सामने आया। इसका मतलब यह नहीं कि provider ने जानबूझकर हमला किया; घटना की पूरी तकनीकी जांच जरूरी है।
3. क्या Polymarket की trading फिर शुरू हो गई है?
रिपोर्ट के अनुसार, समस्या ठीक करने के बाद Polymarket ने अपनी trading service फिर से शुरू कर दी। कंपनी ने प्रभावित traders को पूरा मुआवजा देने का वादा किया। उपयोगकर्ताओं को reimbursement के लिए केवल आधिकारिक platform updates पर भरोसा करना चाहिए।
4. Supply-chain attack क्या होता है?
Supply-chain attack में हमलावर किसी कंपनी के सीधे सिस्टम के बजाय उसके software vendor, external script या service provider को निशाना बनाता है। बाद में compromised component का इस्तेमाल मूल platform तक पहुंचने या उसके उपयोगकर्ताओं को प्रभावित करने के लिए किया जा सकता है।
5. Wallet connect करते समय कौन-सी सावधानी जरूरी है?
सही website address जांचें, transaction details पढ़ें और अनजान token approvals स्वीकार न करें। seed phrase किसी वेबसाइट या support agent को न दें। पुराने permissions की समीक्षा करें और login पर मजबूत password तथा multi-factor authentication का इस्तेमाल करें।
निष्कर्ष
Polymarket की घटना बताती है कि third-party software भी crypto उपयोगकर्ताओं के लिए बड़ा खतरा बन सकता है। प्लेटफॉर्म को vendors की जांच करनी चाहिए और उपयोगकर्ताओं को wallet approvals, links तथा login सुरक्षा पर ध्यान देना चाहिए।
Disclaimer: यह लेख केवल जानकारी के लिए है। इसे निवेश सलाह न मानें। क्रिप्टो में पूंजी का नुकसान संभव है।
