Polymarket vừa ghi nhận một vụ tấn công khiến khoảng 2,94 triệu USD bị rút từ 11 tài khoản, làm dấy lên lo ngại mới về an toàn người dùng trên nền tảng này.
Số tiền bị đánh cắp được cho là đã nằm dưới dạng PUSD, sau đó được đổi sang ETH và chuyển đến một địa chỉ cuối cùng. Hiện chưa rõ tổng thiệt hại có thể tăng thêm bao nhiêu khi quá trình truy vết giao dịch vẫn đang tiếp diễn.
- Khoảng 2,94 triệu USD đã bị rút từ 11 tài khoản Polymarket.
- Các vụ việc liên quan chủ yếu đến lừa đảo, phishing và công cụ giả mạo, không chỉ riêng một lỗi kỹ thuật.
- Tranh luận về airdrop và token có thể làm tăng rủi ro bị lừa bằng trang kiểm tra điều kiện hoặc trang nhận thưởng giả.
Diễn biến vụ rút tiền trên Polymarket
Khoảng 2,94 triệu USD đã bị lấy đi từ 11 tài khoản liên quan đến Polymarket. Dòng tiền được mô tả là đi từ PUSD sang ETH rồi chuyển tới một địa chỉ cuối cùng.
Nhà điều tra on-chain Specter đã công bố diễn biến này trên X. Số nạn nhân có thể còn tăng nếu các giao dịch liên quan tiếp tục được xác minh.
Vì sao Polymarket liên tục trở thành mục tiêu
Polymarket đang đối mặt với nhiều vụ lừa đảo nhắm vào người dùng, trong đó phổ biến nhất là phishing và social engineering. Kẻ tấn công thường dụ nạn nhân nhập thông tin đăng nhập hoặc mã xác thực rồi chiếm ví của họ.
Đầu tháng này, Josh Stevens, Phó chủ tịch Kỹ thuật của Polymarket, đã nhắc đến một vụ người dùng bị lừa hơn 2 triệu USD sau khi nhập mã một lần vào một website giả mạo Polymarket. Ông cho biết vụ việc xảy ra trên trang lừa đảo, không phải do lỗi trong nền tảng chính thức.
Trước đó, một vụ rút khoảng 520.000 USD từ hợp đồng UMA CTF Adapter trên Polygon cũng đã được ghi nhận. ZachXBT cho rằng nguyên nhân đến từ khóa triển khai bị xâm nhập.
Tranh luận về POLY token và airdrop làm rủi ro tăng lên
Những đồn đoán quanh khả năng Polymarket có token POLY hoặc airdrop đã tạo thêm đất cho các trang giả mạo. Khi người dùng chờ đợi thông báo phân phối, họ dễ bị dẫn vào các trang kiểm tra điều kiện hoặc yêu cầu kết nối ví không an toàn.
Ngày 25/6, X user Tiptop cho biết Polymarket đã âm thầm sửa phần FAQ, xóa câu khẳng định nền tảng “không có token” và các dòng nói không có kế hoạch airdrop hay token generation. Trong một cuộc phỏng vấn vào tháng 10/2025, CMO Matthew Modabber cũng xác nhận có kế hoạch về token và airdrop, với mục tiêu tạo ra một token có “tiện ích thực sự, độ bền và tồn tại lâu dài”.
Việc kỳ vọng vào airdrop thường khiến người dùng mất cảnh giác trước các trang yêu cầu xác minh điều kiện hoặc nhận thưởng. Đây là bối cảnh dễ bị khai thác bởi các chiến dịch lừa đảo sao chép giao diện thật.
Các rủi ro đã xuất hiện ngoài phishing
Rủi ro với người dùng Polymarket không chỉ đến từ website giả mạo. Tháng 12 năm ngoái, SlowMist phát hiện một bot copy-trading trên GitHub có mã độc nhằm đánh cắp và gửi khóa riêng cho hacker.
Đến tháng 3, StepSecurity cũng phát hiện một tổ chức GitHub bị chiếm quyền và phát tán các bot giao dịch giả để xâm nhập tài khoản người dùng. Những trường hợp này cho thấy hệ sinh thái công cụ xoay quanh Polymarket cũng có thể là điểm yếu.
Wall Street Journal từng ghi nhận Polymarket trả tiền cho influencer để đăng video kịch bản có lợi nhuận giả. Khi các nội dung quảng bá, bot giả và trang lừa đảo cùng tồn tại, mức độ rủi ro đối với người dùng tăng lên rõ rệt.
Tổng kết
Vụ rút khoảng 2,94 triệu USD từ 11 tài khoản cho thấy rủi ro an ninh quanh Polymarket vẫn chưa hạ nhiệt. Với các đồn đoán về token và airdrop, người dùng càng cần thận trọng trước trang giả mạo, bot độc hại và các yêu cầu xác minh không rõ ràng.
