ข่าวสาร คริปโต ข่าวต่างประเทศ โจรกรรม (อาชญากรรม)

แฮกเกอร์เจาะ Polymarket ดูดเงิน 737 บัญชี สูญ 2.73 ล้านดอลลาร์

1 พฤศจิกายน 2026

6

📌 สรุป 3 บรรทัด:
1. แฮกเกอร์เจาะสคริปต์บุคคลที่สาม “DebugBear” ที่ฝังอยู่บนเว็บ Polymarket แล้วดูดเงินจาก 737 บัญชี ไป 2.73 ล้านดอลลาร์ ภายในเวลาแค่ 1 ชั่วโมง เมื่อ 29 ต.ค. 2569
2. Polymarket หยุดเทรดชั่วคราว ลบสคริปต์ทิ้ง แล้วประกาศคืนเงินให้ผู้เสียหายรวมแล้วกว่า 3.9 ล้านดอลลาร์
3. นี่คือการถูกแฮ็กผ่านบุคคลที่สามครั้งที่ 2 ของ Polymarket ในรอบ 4 เดือน หลังเคยเสียเงินไปแล้วราว 3 ล้านดอลลาร์เมื่อเดือนมิถุนายน

ตลาดคาดการณ์ (prediction market) รายใหญ่ที่สุดของโลกอย่าง Polymarket เจอมือดีเจาะระบบอีกครั้ง แต่คราวนี้ไม่ได้แฮ็ก blockchain ตรงๆ แฮกเกอร์อาศัยช่องโหว่จากผู้ให้บริการเครื่องมือวัดประสิทธิภาพเว็บไซต์บุคคลที่สามชื่อ DebugBear ที่ฝังสคริปต์อยู่บนหน้าเว็บ Polymarket.com เวอร์ชันนานาชาติ จนสามารถสวมรอยเซสชันผู้ใช้ที่ล็อกอินอยู่ แล้วขออนุมัติขายสถานะ-โยกเงินออกจากกระเป๋าแทนเจ้าของบัญชีจริง เหตุเกิดเมื่อวันที่ 29 ตุลาคม 2569 เวลา 17:10-18:10 UTC หรือราวเที่ยงคืนถึงตีหนึ่งเวลาไทยของวันที่ 30 ตุลาคม

ราคา Bitcoin (BTC) วันนี้ บิตคอยน์

฿2,624,443.18▲0.74%

ราคา Bitkub ฿2,629,721.85 (พรีเมียม +0.20%)

สูง/ต่ำ 24 ชม. ฿2,623,836.19 / ฿2,602,996.31

ดูกราฟและข้อมูลเต็ม →

ข้อมูลจาก SiamBitcoin Cap · อัปเดต 13:55

📑 สารบัญ

เกิดอะไรขึ้นกับ Polymarket
สูญเท่าไหร่ ใครโดนหนักสุด
คืนเงินไปแล้วแค่ไหน
แฮ็กรอบ 2 ในรอบ 4 เดือน
มุมนักลงทุนไทย
คำถามที่พบบ่อย

เกิดอะไรขึ้นกับ Polymarket

ตามรายงานของ Hudson Rock และ The Record (Recorded Future News) ผู้โจมตีไม่ได้เจาะ smart contract ของ Polymarket บน Polygon แต่เข้าควบคุมสคริปต์ของ DebugBear ซึ่งเป็นผู้ให้บริการตรวจวัดประสิทธิภาพเว็บไซต์ (website performance monitoring) ที่ Polymarket ฝังโค้ดไว้บนหน้าเว็บ เมื่อสคริปต์ถูกแทนที่ด้วยโค้ดอันตราย มันจะสแกนหาเซสชันผู้ใช้ที่ล็อกอินอยู่ ค้นหาตัวจัดการธุรกรรม (trading client) และตัวเซ็นชื่อ (signer) ภายในเซสชันนั้น จากนั้นสั่งขายสถานะหรือโยกเงินออกไปยังกระเป๋าที่คนร้ายควบคุม โดยส่งผ่าน relayer ของ Polymarket เอง (ระบบที่ส่งธุรกรรมที่ผู้ใช้อนุมัติแล้วขึ้น blockchain แทนผู้ใช้ เพื่อไม่ต้องเสียค่าแก๊ส) ทำให้ธุรกรรมดูเหมือนได้รับอนุมัติถูกต้องตามปกติ

Polymarket สลับตลาดเป็นโหมด “cancel-only” ปิดการทำงานของ relayer ลบสคริปต์ DebugBear ทิ้ง รีเซ็ตเซสชันผู้ใช้ทั้งหมด และกลับมาเปิดเทรดได้ตามปกติภายในเวลาประมาณ 1 ชั่วโมง พร้อมแจ้งตำรวจอังกฤษให้สอบสวนต่อ เนื่องจาก DebugBear เป็นบริษัทสัญชาติอังกฤษ

สูญเท่าไหร่ ใครโดนหนักสุด

บริษัทวิเคราะห์ข้อมูลบนเชน Bitquery ตรวจสอบธุรกรรมแล้วพบว่ามีการถอนเงินที่ไม่ได้รับอนุญาตรวม 985 รายการ ระหว่างเวลา 17:10-18:10 UTC กระทบ 737 บัญชี คิดเป็นมูลค่ารวม 2.73 ล้านดอลลาร์ โดยตัวอย่าง 30 ธุรกรรมที่สุ่มตรวจพบว่าเงินถูกโยกออกภายใน 3-7 วินาทีหลังได้รับการอนุมัติ ซึ่งเร็วเกินกว่ามนุษย์จะกดเอง บ่งชี้ว่าเป็นการทำงานอัตโนมัติของบอต

รายละเอียด	ตัวเลข
บัญชีที่ได้รับผลกระทบ	737 บัญชี
ธุรกรรมถอนเงินที่ไม่ได้รับอนุญาต	985 รายการ ภายใน 1 ชั่วโมง
มูลค่าความเสียหายรวม	2.73 ล้านดอลลาร์
บัญชีที่เสียหายมากสุดรายเดียว	ประมาณ 358,000 ดอลลาร์
สัดส่วนความเสียหายกระจุกตัว	4 บัญชี = 43% ของยอดสูญทั้งหมด
บัญชีที่เสียหายน้อย	276 บัญชี เสียคนละไม่ถึง 100 ดอลลาร์

เงินที่ขโมยได้ถูกแปลงเป็นเหรียญ POL ของ Polygon ราว 28.64 ล้านเหรียญ (ประมาณ 2.57 ล้านดอลลาร์ ณ เวลานั้น) ก่อนกระจายไปยัง 3 กระเป๋าที่สร้างขึ้นใหม่ จากนั้นบางส่วนถูกย้ายข้ามเชนไปยัง Ethereum ผ่านบริดจ์ Relay, deBridge และ Polygon native bridge นักวิเคราะห์ของ Bitquery ระบุว่า ณ เวลาตัดข้อมูล 19:49 UTC ยังมีเงินเหลืออยู่ในกระเป๋าบน Polygon ราว 2.17 ล้านดอลลาร์ และอีก 126.10 ETH ในกระเป๋า Ethereum ที่ระบุตัวได้

💡 จุดที่น่าสนใจ: มีธุรกรรมถอนเงินมูลค่า 10.99 ดอลลาร์เกิดขึ้นเวลา 19:11 UTC หรือราว 38 นาทีหลัง Polymarket ประกาศว่าแก้ปัญหาแล้ว แม้ไม่ได้ยืนยันว่าช่องโหว่ยังเปิดอยู่ แต่ก็ทำให้เกิดคำถามเรื่องความสมบูรณ์ของการแก้ไขในช่วงแรก

คืนเงินไปแล้วแค่ไหน

Polymarket ประกาศจะคืนเงินเต็มจำนวนให้ผู้เสียหายทุกราย โดยภายใน 1 วันหลังเหตุ บริษัทรายงานว่าคืนเงินให้แล้ว 689 จาก 726 กระเป๋าที่ได้รับผลกระทบโดยตรง หรือราว 95% ส่วนที่เหลือกำลังอยู่ในขั้นตอนตรวจสอบ นอกจากนี้ยังแจกเงินเพิ่มอีกประมาณ 1.19 ล้านดอลลาร์ ให้กับผู้ใช้ประมาณ 5,500 กระเป๋าที่ขาดทุนจากการที่ตลาดถูกพักเทรดชั่วคราว รวมยอดเงินที่ Polymarket ทุ่มคืนและชดเชยแล้วทั้งหมดราว 3.9 ล้านดอลลาร์

✅ เงื่อนไขที่ควรรู้: ผู้เสียหายที่สูญเงินเกิน 10,000 ดอลลาร์ ต้องเซ็นเอกสารยกเว้นความรับผิด (legal liability waiver) และผ่านการยืนยันตัวตน KYC ก่อนจะได้รับเงินคืน ซึ่งต่างจากผู้เสียหายรายย่อยที่ได้รับเงินคืนโดยตรงโดยไม่ต้องผ่านขั้นตอนนี้

แฮ็กรอบ 2 ในรอบ 4 เดือน

เหตุการณ์ครั้งนี้ไม่ใช่ครั้งแรก — เมื่อวันที่ 25 มิถุนายน 2569 Polymarket เคยถูกแฮ็กผ่านสคริปต์บุคคลที่สามมาแล้วครั้งหนึ่ง คราวนั้นผู้โจมตีแทรกโค้ดอันตรายผ่านไลบรารีระบุตัวตน (identity library) ที่โหลดมาจากแท็กการตลาดภายนอก เจาะจงเลือกเป้าเฉพาะกระเป๋าที่มีมูลค่าเกิน 100,000 ดอลลาร์ และดูดเงินไปราว 3 ล้านดอลลาร์ จากไม่ถึง 15 บัญชี รวมสองครั้งในรอบ 4 เดือน Polymarket สูญเงินผ่านช่องโหว่สคริปต์บุคคลที่สามไปแล้วไม่ต่ำกว่า 5.6 ล้านดอลลาร์

บทเรียนสำคัญคือ ต่อให้ blockchain และ smart contract ปลอดภัยสมบูรณ์ แต่ถ้าเว็บไซต์ยังฝังโค้ดจากผู้ให้บริการภายนอก (analytics, มาร์เก็ตติ้ง, เครื่องมือวัดประสิทธิภาพ) โค้ดเหล่านั้นก็เข้าถึงข้อมูลและฟังก์ชันอื่นบนหน้าเว็บเดียวกันได้ทั้งหมด กลายเป็นจุดอ่อนที่คนร้ายใช้ “ขอลายเซ็นธุรกรรม” แทนเจ้าของกระเป๋าได้โดยไม่ต้องเจาะ private key เลย เหตุครั้งนี้ยังเกิดขึ้นในสัปดาห์เดียวกับข่าว Binance ถูกแฮ็กคลังเงินมูลค่ากว่า 6.3 พันล้านดอลลาร์ ซึ่งเป็นการโจรกรรมคริปโตครั้งใหญ่ที่สุดในประวัติศาสตร์ ตอกย้ำว่าปลายเดือนตุลาคม 2569 เป็นช่วงที่หนักหนาที่สุดด้านความปลอดภัยของตลาดคริปโตในปีนี้

มุมนักลงทุนไทย

Polymarket ไม่เปิดให้บริการอย่างเป็นทางการในไทย และตลาดคาดการณ์แบบนี้เข้าข่ายการพนันออนไลน์ตามกฎหมายไทย แต่ก็มีคนไทยจำนวนไม่น้อยที่ใช้ VPN เชื่อมกระเป๋า non-custodial เข้าเทรดอยู่ดี บทเรียนจากเคสนี้ใช้ได้กับนักลงทุนไทยที่เชื่อมกระเป๋าคริปโตเข้ากับเว็บ DeFi หรือแพลตฟอร์มต่างประเทศทุกคน นั่นคือการปล่อยให้ wallet เชื่อมต่อ (connect) ค้างไว้นานๆ หรือกด approve สิทธิ์แบบไม่จำกัดจำนวน (unlimited approval) คือช่องโหว่ที่แฮกเกอร์รอใช้อยู่เสมอ โดยไม่ต้องเจาะ private key ของใครเลย เพียงแค่อาศัยสิทธิ์ที่เจ้าของกระเป๋าเคยอนุมัติไว้ก็เพียงพอ

✅ วิธีป้องกันตัวเอง:

เข้าไปเช็คและถอนสิทธิ์ (revoke) การอนุมัติที่ไม่ได้ใช้แล้วเป็นประจำ ผ่านเว็บอย่าง revoke.cash
หลีกเลี่ยงการฝากเงินจำนวนมากค้างไว้ในกระเป๋าที่เชื่อมต่อกับเว็บต่างประเทศนานเกินจำเป็น
ถ้าไม่แน่ใจว่าแพลตฟอร์มฝังสคริปต์บุคคลที่สามอะไรไว้บ้าง ให้ใช้กระเป๋าแยกสำหรับเทรดเท่านั้น ไม่ใช่กระเป๋าหลักที่เก็บเงินก้อนใหญ่

คำถามที่พบบ่อย

Polymarket โดนแฮ็กกี่บัญชี เสียเงินเท่าไหร่?

ตามการสอบสวนของ Bitquery ผู้โจมตีดูดเงินจาก 737 บัญชี รวม 2.73 ล้านดอลลาร์ ภายในเวลาแค่ 1 ชั่วโมง เมื่อวันที่ 29 ตุลาคม 2569

เงินในกระเป๋า Polymarket ปลอดภัยจริงไหม?

Polymarket ย้ำว่า smart contract หลักบน Polygon ไม่ได้ถูกเจาะ ผู้โจมตีอาศัยสคริปต์บุคคลที่สาม DebugBear ที่ฝังอยู่บนหน้าเว็บ เพื่อขออนุมัติธุรกรรมปลอมจากเซสชันที่ล็อกอินอยู่เท่านั้น

ผู้เสียหายได้เงินคืนหรือยัง?

Polymarket คืนเงินไปแล้วรวมกว่า 3.9 ล้านดอลลาร์ ภายใน 1-2 วันหลังเหตุ โดยผู้เสียหายที่สูญเงินเกิน 10,000 ดอลลาร์ ต้องเซ็นเอกสารยกเว้นความรับผิดและผ่าน KYC ก่อนรับเงินคืน

ที่มา: Bitquery Investigation, The Record (Recorded Future News), CryptoSlate

⚠️ คำเตือน: บทความนี้เป็นการรายงานข่าวเพื่อการศึกษา ไม่ใช่คำแนะนำในการลงทุน (NFA) การลงทุนในคริปโตและการใช้งานแพลตฟอร์ม DeFi มีความเสี่ยงสูง ควรศึกษาข้อมูลเพิ่มเติมและระมัดระวังการอนุมัติสิทธิ์ (approval) ให้กับเว็บไซต์หรือแอปที่เชื่อมต่อกับกระเป๋าคริปโตของท่าน