Автор: ExVul Security, компанія з безпеки Web3
І. Швидкий огляд події
13 січня 2026 року офіційний канал Polycule підтвердив, що їхній торговий бот у Telegram зазнав хакерської атаки, внаслідок якої було викрадено близько 230 000 доларів США користувацьких коштів. Команда швидко оновила інформацію в X: бот був виведений з роботи, швидко запущено виправлення, а також пообіцяли компенсацію для постраждалих користувачів на Polygon. Кілька повідомлень з вчорашнього вечора і сьогодні сприяли подальшому загостренню дискусії щодо безпеки у сфері Telegram-трейдингу.
ІІ. Як працює Polycule
Місія Polycule дуже чітка: дозволити користувачам у Telegram переглядати ринки, керувати позиціями та переказами на Polymarket. Основні модулі включають:
Відкриття рахунку та панель: /start автоматично призначає Polygon-гаманець і показує баланс, /home, /help — доступ і інструкції.
Ринки та торгівля: /trending, /search, вставка URL Polymarket — все це дозволяє отримати деталі ринку; бот підтримує ринкові/лімітні ордери, скасування ордерів і перегляд графіків.
Гаманець і кошти: /wallet — перегляд активів, зняття коштів, обмін POL/USDC, експорт приватних ключів; /fund — інструкції щодо поповнення.
Мостовий перехід: глибока інтеграція з deBridge, допомагає користувачам перекидати активи з Solana, автоматично списуючи 2% SOL для обміну на POL для газу.
Розширені функції: /copytrade — відкриває інтерфейс копіювання торгів, можна слідувати за відсотками, фіксованими сумами або за власними правилами, а також налаштовувати паузи, реверсні копії, обмін стратегій тощо.
Polycule Trading Bot відповідає за спілкування з користувачами, аналіз команд, а також у фоновому режимі керує ключами, підписує транзакції і слідкує за подіями в блокчейні.
Після введення /start, бекенд автоматично створює Polygon-гаманець і зберігає приватний ключ, далі користувач може надсилати /buy, /sell, /positions та інші команди для перегляду балансу, розміщення ордерів і управління позиціями. Бот також може аналізувати посилання на Polymarket і безпосередньо повертати посилання для торгівлі. Мостові перекази здійснюються через підключення deBridge, що підтримує переказ SOL на Polygon, а також автоматично списує 2% SOL для обміну на POL для оплати газу. Розширені функції включають Copy Trading, лімітні ордери, автоматичний моніторинг цільових гаманців тощо, що вимагає тривалого онлайн-сервера і постійного підписання транзакцій.
ІІІ. Загальні ризики Telegram-трейдинг-ботів
Зручний чат-інтерфейс приховує кілька серйозних безпекових вразливостей:
По-перше, майже всі боти зберігають приватні ключі користувачів на своїх серверах, а транзакції підписуються у бекенді. Це означає, що при зломі сервера або витоку даних через недбалість, зловмисники можуть масово експортувати приватні ключі і вкрасти всі кошти користувачів одночасно. По-друге, аутентифікація залежить від облікового запису Telegram, і якщо користувач потрапить під SIM-крадіжку або втратить пристрій, зловмисник зможе керувати бот-акаунтом без знання мнемонічної фрази. Нарешті, відсутня локальна підтверджувальна віконна форма — традиційні гаманці вимагають підтвердження кожної транзакції, тоді як у бот-режимі, при помилках у логіці бекенду, система може автоматично переказати кошти без відома користувача.
ІV. Унікальні вразливості, викриті документацією Polycule
Аналізуючи документацію, можна припустити, що цей інцидент і потенційні майбутні ризики зосереджені у таких сферах:
Інтерфейс експорту приватних ключів: /wallet дозволяє користувачам експортувати приватні ключі, що свідчить про збереження у бекенді зворотних ключових даних. При наявності SQL-ін’єкцій, неавторизованих API або витоку логів, зловмисники можуть безпосередньо викликати функцію експорту, що співпадає з ситуацією крадіжки.
Можливість SSRF через парсинг URL: бот заохочує користувачів вставляти посилання Polymarket для отримання ринкових даних. Якщо валідація URL недостатня, зловмисник може підробити посилання, що ведуть до внутрішніх мереж або метаданих хмарних сервісів, і змусити бекенд “потрапити в пастку”, викравши облікові дані або конфігурацію.
Логіка слідкування Copy Trading: копіювання торгів означає, що бот слідує за цільовим гаманцем у реальному часі. Якщо події можна підробити або відсутній захист від фальсифікації, користувачі, що копіюють, можуть бути втягнуті у зловмисні контракти, а їхні кошти — заблоковані або виведені.
Мостові перекази і автоматична конвертація: процес автоматичного обміну 2% SOL на POL залежить від курсу, спреду, оракулів і прав доступу. Недостатня перевірка цих параметрів може дозволити хакерам збільшити втрати при мостовому переказі або зловживати бюджетом газу. Також, якщо валідація підтверджень від deBridge недостатня, існує ризик фальшивих поповнень або дублювання записів.
V. Рекомендації для команди проекту та користувачів
Що може зробити команда: провести повний і прозорий технічний аналіз перед відновленням сервісу; провести аудит зберігання ключів, ізоляції прав і вхідних даних; переглянути контроль доступу до серверів і процеси релізу коду; ввести двоетапне підтвердження або ліміти для важливих операцій, щоб зменшити шкоду у разі повторних інцидентів.
Користувачам рекомендується: обмежити суму коштів у боті, своєчасно знімати прибутки, активувати двофакторну автентифікацію у Telegram і використовувати окремі пристрої для безпеки. Поки проект не дасть чітких гарантій безпеки, краще почекати і не вкладати додаткові кошти.
Шосте. Післяслово
Інцидент з Polycule знову нагадує: коли торговий досвід зводиться до однієї чат-команди, заходи безпеки мають також швидко оновлюватися. Telegram-трейдинг-боти залишатимуться популярним входом у ринки прогнозів і Meme-коінів у короткостроковій перспективі, але ця сфера також стане полем для полювання зловмисників. Ми радимо проектам ставити безпеку на рівень продукту і відкрито інформувати користувачів про прогрес; користувачам — бути пильними і не вважати чат-інтерфейс безпечним сховищем активів.
Застереження: Інформація на цій сторінці може походити від третіх осіб і не відображає погляди або думки Gate. Вміст, що відображається на цій сторінці, є лише довідковим і не є фінансовою, інвестиційною або юридичною порадою. Gate не гарантує точність або повноту інформації і не несе відповідальності за будь-які збитки, що виникли в результаті використання цієї інформації. Інвестиції у віртуальні активи пов'язані з високим ризиком і піддаються значній ціновій волатильності. Ви можете втратити весь вкладений капітал. Будь ласка, повністю усвідомлюйте відповідні ризики та приймайте обережні рішення, виходячи з вашого фінансового становища та толерантності до ризику. Для отримання детальної інформації, будь ласка, зверніться до
Застереження.
Пов'язані статті
Phantom-гаманець завис! Під час аірдропу ціна токенів спотворювалася, залишки стали нульовими, користувачі обурено кричать «компенсуйте збитки»
Солана-екосистемний гаманець Phantom зазнав збою в роботі під час періоду аірдропів, через що ціни токенів і відображення балансу на рахунках стали некоректними, що вплинуло на транзакції користувачів. Деякі користувачі, через це, зазнали збитків і вимагають компенсації. Фахівці з безпеки попереджають про ризик фішингових атак і радять користувачам перевіряти дані в ланцюжку. Хоча проблему вже виправлено, довірча криза ще потребує спостереження. Ця подія підкреслила виклики, які стоять перед самокерованими гаманцями, щодо стабільності системи та якості користувацького досвіду.
区块客3год тому
Один CEX надає співробітникам ОАЕ варіанти тимчасового переїзду, щоб упоратися з регіональним конфліктом
Через вплив Ірано-іракської війни одна CEX надала приблизно 1000 працівникам з ОАЕ можливість тимчасово переїхати в такі місця, як Гонконг; бізнес в ОАЕ працює нормально, а обслуговування глобальних користувачів не зазнало впливу. Цей крок покликаний протидіяти перешкодам, які регіональні конфлікти створюють для діяльності з криптовалютами.
GateNews3год тому
Розпорядження Цінно-паперової регуляторної комісії провінції Цзянсу попереджає про фальшиві «псевдобіржі», зареєстровані в Гонконзі шляхом шахрайського виставлення котирувань; заклик до пильності щодо незаконного залучення коштів для первинних акцій (продажу первинних часток)
Новини про ворота, повідомлення: 10 квітня, Управління з нагляду за цінними паперами провінції Цзянсу опублікувало попередження щодо ризиків. Нещодавно деякі недобросовісні посередники, використовуючи як приманку тезу про те, що «після сплати внеску можна бути внесеним до списку на Гонконгській фондовій біржі через “дзвінок”», надають послуги, що включають фальшиві коди акціонерного капіталу, вебсайти з публікацією оголошень тощо. Відповідні платформи здебільшого є «фальшивими біржами» та здійснюють фальшиве «оформлення церемонією», щоб упакувати удаване первинне публічне розміщення. Деякі компанії користуються цим приводом, щоб продавати громадськості частки в капіталі та первинні акції, що може свідчити про незаконне залучення коштів у порядку, встановленому для фінансування поза законом. Регуляторні органи нагадують інвесторам: слід перевіряти кваліфікацію установ через офіційний вебсайт Комісії з цінних паперів і ф’ючерсів Гонконгу, бути пильними щодо реклами з обіцянкою збереження капіталу та високої доходності, не переказувати кошти на особисті рахунки та на неофіційні платформи; при виявленні підозрілих ознак — негайно повідомляти та подавати заяву про злочин.
GateNews4год тому
Stabble закликає користувачів вивести ліквідність після нібито пов’язаного з північнокорейським хакером інциденту
Stabble, децентралізована біржа на Solana, радити користувачам вивести ліквідність після того, як колишнього керівника пов’язали з нібито хакерськими атаками з боку Північної Кореї, що спричинило падіння її загальної вартості, зафіксованої в протоколі (TVL), на 62%. Цей інцидент підкреслив важливість довіри до персоналу в децентралізованих платформах.
CryptoNewsFlash12год тому
Щоденний звіт Gate (10 квітня): міністр фінансів США підтримує законопроєкт《CLARITY Act》на направлення Трампу; WLFI залучає позику в 75 мільйонів стабільних монет, що викликає паніку
Біткоїн у короткостроковій перспективі виріс до 71,830 долара, а потім відкотився; міністр фінансів США Бессент просуває законопроєкт《CLARITY》, з яким можуть виникнути труднощі, що потенційно вплине на законодавство щодо стабільних монет. WLFI позичив 75 мільйонів доларів у стабільних монетах, що спричинило ризик ліквідації. Фондовий ринок США підвищується на тлі очікувань мирних переговорів, ринкові настрої оптимістичні, але ліквідність потоків капіталу все ще потребує покращення.
MarketWhisper15год тому
Covenant AI оголошує про вихід із мережі Bittensor, ставлячи під сумнів проблему централізації в її управлінні
Covenant AI оголосила про вихід із мережі Bittensor, висловивши сумнів щодо достовірності її децентралізованої моделі управління, вважаючи, що повноваження ухвалення рішень централізовані та бракує прозорості. Нещодавно під час роботи з подсетами (subnets) зіткнулася з неналежними діями, зокрема коригуванням управлінських повноважень, і вважає, що це не відповідає принципам децентралізації. Covenant AI продовжить просувати напрям децентралізованого AI-навчання.
GateNews15год тому
