Polymarket đã bác bỏ cáo buộc bị rò rỉ dữ liệu quy mô lớn sau khi một kẻ tự xưng là “xorcat” nói rằng họ đã tung ra một bộ dữ liệu liên quan đến hơn 300.000 bản ghi.
Những gì bị nêu trong cáo buộc này gồm khoảng 1 GB dữ liệu, với tên, biệt danh và địa chỉ ví. Phía Polymarket gọi các cáo buộc đó là “vô nghĩa”, nhưng hiện chưa có thêm chi tiết độc lập nào trong nội dung được cung cấp để xác minh toàn bộ tuyên bố của cả hai bên.
- Kẻ tấn công nói đã trích xuất dữ liệu qua các điểm cuối API không công bố, vượt cơ chế phân trang và lỗi cấu hình CORS.
- Theo cáo buộc, bộ dữ liệu có nhiều nhóm thông tin người dùng, thị trường, bình luận và cấu hình thưởng.
- Vụ việc diễn ra trong lúc Polymarket và các thị trường dự đoán chịu áp lực giám sát chặt hơn từ cơ quan quản lý.
Cáo buộc rò rỉ dữ liệu nói gì
Theo người dùng có tên “xorcat”, dữ liệu của Polymarket bị lấy ra từ các điểm cuối API không được công bố, cùng với một cách vượt phân trang và một lỗi cấu hình CORS trong các API Gamma và CLOB. Người này cũng nói bộ dữ liệu đi kèm một script tự động trích xuất dữ liệu và mã chứng minh khai thác cho nhiều CVE khác nhau. Nội dung được nêu còn cho thấy gồm 10.000 hồ sơ người dùng duy nhất với thông tin cá nhân đầy đủ, hơn 4.111 bình luận kèm đối tượng hồ sơ, cùng các bản ghi báo cáo, thị trường và sự kiện ở nhiều mức độ khác nhau.
Những loại dữ liệu bị nêu trong cáo buộc
Phần mô tả về dữ liệu bị rò rỉ khá rộng. Ngoài tên, biệt danh và địa chỉ ví, bộ dữ liệu còn được cho là chứa ảnh đại diện, bio, proxy wallet và base address của người dùng. Cáo buộc cũng đề cập hơn 1.000 bản ghi báo cáo có 58 địa chỉ ETH duy nhất và một chỉ dấu admin_auth_addr, hơn 48.000 thị trường gamma với metadata đầy đủ, condition ID và token ID, hơn 250.000 thị trường CLOB đang hoạt động với địa chỉ FPMM, hơn 292 sự kiện kèm địa chỉ ETH của người gửi và người giải quyết, 100 cấu hình thưởng với địa chỉ hợp đồng USDC và mức phí theo ngày, cùng 9.000 hồ sơ người theo dõi và các user ID nội bộ xuất hiện trong trường createdBy/updatedBy.
Vì sao vụ việc được chú ý
Cáo buộc này xuất hiện đúng lúc Polymarket đang bị soi kỹ hơn vì các vấn đề bảo mật và tính toàn vẹn của thị trường dự đoán. Nội dung được cung cấp nhắc đến các quan ngại rằng những nền tảng kiểu này có thể làm lộ thông tin nhạy cảm hoặc khiến người dùng dễ bị nhắm vào bằng lừa đảo và quấy rối. Hiện chưa có dữ liệu trong bài để khẳng định mức độ thiệt hại thực tế từ cáo buộc rò rỉ dữ liệu lần này.
Những sự cố trước đó liên quan đến Polymarket
Nội dung được cung cấp cho biết trong 6 tháng qua đã có nhiều sự cố khác làm giảm niềm tin của người dùng. Tháng 2 năm 2026, một vụ lợi dụng lỗi API/Bot đã khai thác lỗ hổng trong hệ thống đặt lệnh của Polymarket và tạo ra các “nonce” để hủy giao dịch on-chain nhưng vẫn giữ bản ghi off-chain hợp lệ, khiến bot thua lỗ lớn do báo cáo API sai. Polymarket cũng xác nhận một vụ xâm phạm xác thực từ bên thứ ba vào tháng 12 năm 2025, liên quan tới công cụ đăng nhập của bên thứ ba và khiến kẻ tấn công có thể rút tiền ngay cả khi tài khoản bật 2FA. Trước đó, một vụ lừa đảo nhắm vào phần bình luận của Polymarket trong tháng 11 năm 2025 đã gây thiệt hại hơn 500.000 USD cho người dùng.
Cơ quan quản lý đang siết giám sát
Các cơ quan quản lý ở nhiều nơi được cho là đang chuyển từ quan sát sang hạn chế trực tiếp khi thị trường dự đoán tăng quy mô. Chính phủ Brazil đã chặn 27 nền tảng vào tháng 4 năm 2026, trong đó có Kalshi và Polymarket, với lý do liên quan đến nợ hộ gia đình và bảo vệ người tiêu dùng. Romania và Bồ Đào Nha cũng đã chặn một số hợp đồng chính trị để ngăn việc đặt cược đầu cơ vào bầu cử. Ở chiều ngược lại, Polymarket đã siết quy tắc nội bộ từ tháng 3 năm 2026, cấm giao dịch dựa trên thông tin bị đánh cắp hoặc kiến thức “nội gián” về các sự kiện địa chính trị, đồng thời ký thỏa thuận dịch vụ quản lý với National Futures Association để triển khai giám sát theo thời gian thực.
Triển vọng thị trường dự đoán vẫn được đánh giá là có dư địa tăng
Dù chịu áp lực từ quản lý, một số dự báo trong nội dung được cung cấp vẫn cho rằng quy mô thị trường dự đoán còn có thể tăng mạnh. Nhà phân tích Gautam Chhugani của Bernstein dự báo tổng khối lượng giao dịch đạt 240 tỷ USD trong năm 2026, tăng 370% so với năm trước, và có thể lên tới 1 nghìn tỷ USD mỗi năm vào đầu thập kỷ tới. Tuy vậy, đây là dự báo tăng trưởng, không phải dữ kiện đã xảy ra, và chưa thể dùng để kết luận chắc chắn về tốc độ mở rộng thực tế của toàn ngành.
Tổng kết
Về mặt thông tin hiện có, Polymarket đang đối mặt với hai lớp áp lực cùng lúc: cáo buộc rò rỉ dữ liệu và sự giám sát chặt hơn từ cơ quan quản lý. Nội dung được cung cấp nêu nhiều chi tiết kỹ thuật về cách dữ liệu bị lấy ra và loại dữ liệu bị cho là đã lộ, nhưng hiện chưa có thêm xác nhận độc lập để kết luận toàn bộ mức độ ảnh hưởng. Điều rõ nhất là các thị trường dự đoán đang bước vào giai đoạn bị soi kỹ hơn về bảo mật, tuân thủ và cách xử lý thông tin nhạy cảm.
