ZachXBT звинуватив Polyarb у фейковому прогнозному ринку з активним викрадачем гаманців

Ончейн-дослідник ZachXBT попередив, що Polyarb, сайт, який видає себе за платформу прогнозних ринків, проводить активний дренер гаманців і нарощує охоплення завдяки авторитетним криптоакаунтам, які відповідають на його пости.

Ключові висновки:

• ZachXBT попередив 4 травня 2026 року, що Polyarb розміщує активний дренер гаманців, який націлений на криптокористувачів.
• Авторитетні акаунти, що відповідають на пости Polyarb, підсилюють шахрайство для нових аудиторій, самі того не усвідомлюючи.
• Попередження з’явилося після нещодавнього викриття ZachXBT, що американська юридична фірма намагається отримати $71 мільйон у заморожених коштах, пов’язаних із Lazarus.

Що робить Polyarb

Дренери гаманців працюють, маскуючи схвалення зловмисного смартконтракту під звичайну транзакцію: так, коли користувач підключає гаманець і підписує те, що виглядає як дія зі внесенням депозиту, отриманням винагороди чи входом на ринок, дренер запускає приховане окреме схвалення, яке надає атакувальнику повний доступ до коштів гаманця.

Image source: X ZachXBT окремо наголосив на ризику підсилення, тобто на тому, що авторитетний криптоакаунт відповів на пост Polyarb, надавши платформі органічне охоплення, якого вона інакше б не досягла. Публічне коментування контенту шахрайської платформи — навіть у скептичному тоні — виносить її перед усією аудиторією користувача, який відповідає. Така аудиторія може налічувати мільйони, і при цьому немає жодних ознак, що джерело є зловмисним.

Частина ширшого явища

Фейкові платформи DeFi та прогнозних ринків (prediction market) у 2026 році стали дедалі поширенішим вектором атаки. Оператори шахрайства використовують зростаючу видимість легітимних платформ на кшталт Polymarket і Kalshi, обидві з яких розкрили регуляторні зв’язки з Комісією з торгівлі ф’ючерсами на товар (CFTC), створюючи сайти-подібники зі схожим брендингом і без перевірених (audit) контрактів.

ZachXBT вибудував послідовний послужний список викриття цих та інших пов’язаних загроз до того, як масштабні втрати встигають накопичитися. На початку цього місяця дослідник повідомив, що американська юридична фірма (Gerstein Harrow) подала позови, щоб вилучити $71 мільйон в ethereum, заморожених після експлойту KelpDAO у квітні 2026 року, який пов’язують із групою Lazarus. Для цього використали правове рішення 2015 року проти Північної Кореї, щоб випередити реальних жертв хаків у будь-якій черзі на відшкодування.

Як залишатися в безпеці

Перш ніж підключати гаманець до будь-якої платформи прогнозних ринків або DeFi, користувачам варто звірити адресу контракту з офіційною документацією платформи та переконатися, що існує публічний аудит смартконтракту від авторитетної компанії з безпеки. Червоні прапорці включають: відсутність розкритого регуляторного зв’язку, відсутність аудитованих контрактів і профілі в соцмережах, які виглядали новоствореними порівняно з заявленим рівнем активності.

Відкликання токенових схвалень після будь-якої підозрілої взаємодії за допомогою інструментів на кшталт Revoke.cash може зменшити подальший вплив, якщо дренер уже спрацював. Використання апаратного гаманця, а не браузерного hot wallet, який тримає значні кошти, під час підключення до незнайомих платформ може додатково захистити: кожна транзакція потребує фізичного підтвердження.