דיווח: פולימרקט התמודדה עם ניסיון הונאה של 10 מיליון דולר בכרטיסי חיוב גנובים

הבהרה — נושא רגיש

הכתבה עוסקת בפלטפורמות של חוזי אירועים. הנושא רגיש בשני מישורים. מבחינה חוקית, מעמדן של פלטפורמות כאלה אינו אחיד ונתון כרגע להליכים משפטיים. מבחינה הלכתית, דיני המשחק בקוביא נדונים בפוסקים — ואין בכתבה הזו, ולא בשום כתבה באתר, פסק הלכה או היתר. מי שהנושא נוגע לו למעשה: יש לברר מול רב מוסמך ומול איש מקצוע לפני כל פעולה. כאן מדובר בסיקור חדשותי בלבד.

דיווח: פולימרקט התמודדה עם ניסיון הונאה של 10 מיליון דולר בכרטיסי חיוב גנובים

י"א בתשרי תשפ"ז, 22.9.2026

זירת חוזי אירועים (פולימרקט) עומדת במוקד דיווח של הוול סטריט ג'ורנל, שלפיו גורמים עוינים ניסו להזרים לפלטפורמה האמריקאית שלה כספים בהיקף של כעשרה מיליון דולר באמצעות כרטיסי חיוב גנובים. הדיווח, שצוטט ב-20 בספטמבר באתר The Block ובאתרי קריפטו נוספים, מוסיף כי במתקפה נפרדת הצליחו תוקפים להשתלט על חשבונותיהם של כ-500 משתמשים תוך שימוש במידע אישי גנוב. פולימרקט עצמה לא מסרה תגובה שמופיעה בדיווחים שנסקרו כאן.

פולימרקט היא זירה שבה משתתפים רוכשים חוזי אירועים על תוצאה של אירוע עתידי — בחירות, החלטת ריבית של בנק מרכזי או אירוע ציבורי אחר — ומחיר החוזה נע בין אפס לדולר אחד ומשקף את ההסתברות שהשוק מייחס לתוצאה. המסחר מתנהל בבלוקצ'יין, אך הכניסה והיציאה של כסף עוברות דרך ספקי סליקה רגילים לגמרי, ושם בדיוק נוצרה נקודת התורפה. הזירה האמריקאית פועלת כמערך נפרד מהפלטפורמה הגלובלית, והיא זו שעמדה במוקד הדיווח.

מדוע כרטיס גנוב נמשך דווקא לזירה כזאת

ההיגיון של הונאה מסוג זה פשוט ומוכר מתחומים אחרים: מי שמחזיק בפרטי כרטיס גנוב מחפש דרך להפוך אותו לנכס שאי אפשר לבטל. הפקדה ישירה לזירה שבה הכסף הופך במהירות ליתרה דיגיטלית ניתנת למשיכה מעניקה בדיוק את זה. בעל הכרטיס האמיתי יגלה את החיוב בהמשך ויגיש בקשת ביטול (chargeback), אבל הכסף כבר יצא. בשל כך ספקי הסליקה הם שסופגים בפועל את הנזק, והם גם הראשונים להבחין בדפוס.

בפרסומים שליוו את הדיווח תואר שיעור חריג של הפקדות שנדחו בזירה האמריקאית; אתר Bitcoin.com מייחס לדיווח נתון של יותר מ-80% מההפקדות שספק הסליקה Checkout.com סימן כהונאה. הנתון הזה מופיע בסיקור משני בלבד, ולא בכל הדיווחים, ולכן יש לקרוא אותו בזהירות — אבל הכיוון עצמו, של שיעור דחיות גבוה בצורה בלתי רגילה, חוזר גם בתקצירי crypto.news. שיעור כזה אינו "תקלה טכנית"; הוא מדד שספק סליקה מתייחס אליו כאל התרעה מיידית, ובדרך כלל הוא מוביל להקשחת תנאים או לניתוק הלקוח.

לב ההאשמה בדיווח אינו עצם קיומה של ההונאה — כל פלטפורמה פיננסית פתוחה מותקפת — אלא הטענה שהתרעות שעלו בתוך החברה נדחקו לטובת קצב גידול במספר המשתמשים. זו טענה עיתונאית המיוחסת למקורות של העיתון, ולא ממצא של רשות או של הליך משפטי, והמקורות שבידינו אינם מפרטים אילו בקרות הוצעו ומתי, ואינם קובעים אם ההונאה הצליחה בפועל או נבלמה לפני שהכסף נמשך.

פריצת החשבונות היא סיפור נפרד

המתקפה השנייה פועלת במנגנון אחר לגמרי, וחשוב לא לערבב בין השתיים. לפי הדיווח, כ-500 חשבונות נפרצו בעזרת מידע אישי גנוב — כלומר פרטים שנאספו במקום אחר ושימשו כדי להתחזות לבעלי החשבונות. הדיווחים אינם מתארים דליפה ממאגרי פולימרקט עצמה, ואינם מפרטים אם מדובר בשחזור סיסמאות, בסיסמאות שחזרו על עצמן באתרים אחרים, או במעקף של שאלות אימות. גם היקף הנזק הכספי למשתמשים אינו מופיע.

מן המנגנון הזה נגזרת מסקנה אחת ומעשית: פרטים אישיים — תאריך לידה, מספר זהות, שם נעורים — אינם סוד, ואין להישען עליהם כמנגנון זיהוי. בכל חשבון שמחזיק כסף, סיסמה ייחודית שאינה חוזרת בשום שירות אחר, יחד עם אימות דו-שלבי (שעובד בכל דפדפן ואינו מחייב מכשיר נייד), הן ההגנה שמבדילה בין חשבון שנפרץ לחשבון שנשאר סגור. שינוי הסיסמה לאחר פרסום דיווח על פריצה עדיף על המתנה להודעה רשמית.

נותר לראות אם ספקי הסליקה יצמצמו את עבודתם מול הזירה, ואם רשות כלשהי תבחן את הנושא. נכון לפרסום הדיווחים שלפנינו, לא דווח על פתיחת הליך.

מקורות: The Block · crypto.news · Bitcoin.com News

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.