Сегодня заканчивается чемпионат мира по футболу. Для многих он стал первым знакомством с криптовалютой. Причина этому — рынки предсказаний. Для многих болельщиков они стали новым способом делать ставки на исходы матчей. И этот способ кажется более надёжным и более прозрачным, чем через традиционные букмекерские конторы. Судя по всему, букмекеры всерьёз были обеспокоены этой конкуренцией и воспользовались лоббистским ресурсом, чтобы запретить деятельность самого известного рынка предсказаний — Polymarket — в целом ряде стран. Во время самого чемпионата Polymarket запретили или внесли в список нелегальных площадок в Чехии и Франции. В Индии, Индонезии и Испании сделали это незадолго до начала турнира, а в Бразилии и Аргентине — ранее весной.
Почему азартные болельщики всё чаще предпочитают классическим букмекерским конторам платформы наподобие Polymarket? Потому что здесь — на рынках предсказаний — всё выглядит понятнее, честнее и надёжнее, чем у букмекера. Все сложности, связанные с криптовалютами, спрятаны. Можно зарегистрироваться через Google или электронную почту, а можно подключить MetaMask, Trust wallet или любой другой кошелёк, а дальше останется только выбрать исход и поставить на него ту сумму, которой готов рискнуть.
Но за этой простотой скрываются угрозы, о некоторых из которых не подозревают даже более-менее опытные пользователи криптовалют. Что уж говорить о новичках — и особенно когда они действуют под влиянием азарта!
Об этих угрозах я и хочу рассказать в своей сегодняшней статье.
В чём Polymarket действительно честнее букмекера
Когда вы делаете ставку у классического букмекера, вашим контрагентом является сама компания. Она рассчитывает коэффициенты, закладывает в них свою выгоду, принимает на себя риск и может менять условия, ограничивать размер ставок или вообще отказываться принимать их.
На Polymarket модель другая. Ваш контрагент — такой же пользователь платформы, как и вы. Он отличается от вас только мнением относительно исхода матча или другого события. Если он поставит на один исход 60 центов, рассчитывая выиграть доллар, а вы поставите на противоположный исход 40 центов, чтобы выиграть тот же доллар, ваши заявки автоматически встретятся, после чего возникнет пара полностью обеспеченных токенов "Да" и "Нет". После окончания матча один из этих токенов можно будет обменять на доллар, в зависимости от итогового результата.
На Polymarket всё более гибко, чем у любого букмекера. Каждый пользователь может посмотреть в книге ордеров все заявки, сделанные другими участниками, и выставить собственную цену. Он также может продать свою ставку до окончания события, если передумал или если рынок двинулся в его пользу, и ставка уже в прибыли. В этом отношении Polymarket гораздо больше похож на биржу, чем на букмекерскую контору.
Расчёты происходят через смарт-контракты в сети Polygon. Смарт-контракт не может узнать исход матча или другого события. Поэтому информацию об исходе должен внести кто-то из участников рынка. Это можете сделать и вы. А если вы ошибётесь, любой другой участник может оспорить ваше решение. Спор передаётся на голосование держателей токенов UMA, и оно считается истиной в последней инстанции. Это гораздо прозрачнее закрытой внутренней процедуры букмекера.
Но прозрачность необязательно означает безопасность пользователя.
Polymarket не настолько децентрализован, как кажется
Polymarket иногда описывают как децентрализованного букмекера. Но оба слова в этом словосочетании некорректны. Во-первых, это не букмекер, поскольку он не выставляет коэффициенты и не берёт на себя риск того или иного исхода. Во-вторых, с децентрализацией здесь всё сложно.
Документация Polymarket называет торговую систему "hybrid-decentralized". Заявки сопоставляет централизованный оператор. Газ за запись сделок в блокчейн оплачивается через шлюз платформы, а это значит, что без её согласия сделку не совершить. Все новые рынки создаются командой. Хоть она и принимает предложения сообщества, никто из пользователей не может самостоятельно создать новый рынок. Команда Polymarket составляет и формулировки условий определения исхода, и выбирает источники, из которых впоследствии должен быть принят результат.
Это всё примеры централизованного подхода. А что же тогда остаётся децентрализованным? Скажу вам честно: не знаю. Пожалуй, только состав участников рынка. К торгам допускается любой желающий.
Разрешение споров — это, на первый взгляд, децентрализованная процедура. Но смарт-контракт, который исполняет решение, принятое на голосовании, управляется администратором, имеющим полномочия вручную определить выплаты. Забавно, что один из адресов администраторов Polymarket, у которого есть такие полномочия, помечен в обозревателе Polygonscan как скомпрометированный.
Даже правила уже открытого рынка иногда централизованно уточняются командой. Polymarket может публиковать так называемый "дополнительный контекст", который предлагается учитывать участникам процедуры разрешения спора. Уточнения заносятся в блокчейн и, согласно правилам, не должны менять первоначальный смысл вопроса, но сама необходимость такого механизма показывает, насколько велико значение централизованно подготовленной формулировки.
Таким образом, зависимость пользователя от администраторов платформы здесь ничуть не меньше, чем в букмекерских конторах.
Цена на экране — не всегда ваша цена
Представьте себе, что перед матчем букмекеры принимают ставки на ваш исход коэффициентом 1,25. То есть, чтобы выиграть доллар, вам нужно поставить 80 центов. А Polymarket при этом показывает, что вероятность вашего исхода — 75%. Значит ли это, что вы сможете купить токены "Да" по 75 центов? Можете, если найдётся желающий поставить 25 центов на противоположный исход. Но не факт, что он найдётся.
Отображаемая на Polymarket вероятность часто является серединой между лучшей заявкой покупателя и лучшей заявкой продавца.
Например, если bid равен 70 центам, а ask — 80, на экране может отображаться 75%. Купить прямо сейчас получится как минимум за 80, а продать — за 70. Если спред шире 10 центов, Polymarket вместо среднего уровня показывает цену последней сделки, а она может отличаться от актуальной в разы.
На крупных футбольных рынках ликвидность обычно достаточна, и разница между отображаемой вероятностью и фактически доступной ценой может быть небольшой. Но на нишевых событиях перед большой сделкой нужно оценить и количество встречных предложений.
У букмекера коэффициент может быть менее выгодным и включать в себя непрозрачную маржу. Зато пользователь обычно сразу видит цену, по которой будет принято его пари.
На Polymarket цена формируется честнее, но её ещё нужно уметь читать. Не каждый, кто действует под влиянием азарта, способен на это.
Каждая ставка — это взаимодействие с web3-кошельком
Любой клиент букмекерской конторы передаёт ей свои деньги, за сохранность которых она отвечает. А клиент Polymarket тоже передаёт платформе свои деньги (криптовалюту или стейблкоины), но дальше всю ответственность несёт сам.
В обмен на активы, переданные платформе Polymarket, пользователь получает внутренние токены рынка предсказаний — pUSD. Они почти не имеют хождения за рамками платформы. Это что-то вроде фишек казино, которые можно использовать для ставок (сделок) или отдать обратно платформе, чтобы вывести нормальные криптоактивы.
Но технически эти токены хранятся в личном кошельке пользователя, и этот кошелёк приходится использовать для подписания каждой транзакции.
Даже при регистрации через Google для вас создаётся специальный web3-кошелёк, встроенный в интерфейс сайта Polymarket. Доступ к этому кошельку возможен только через ваш браузер, поэтому ответственность за сохранность средств в кошельке несёте только вы.
А при использовании внешнего кошелька появляются подписи, разрешения и адреса. Пользователь всегда видит техническое окно web3-кошелька, предлагающее подтвердить транзакцию. Но подпись EIP-712, применяемая при этом, для пользователей, не имеющих глубоких знаний в области блокчейна, выглядит как техническая каша. Вот скажите: лично вы всегда точно понимаете, что именно подписываете? Я уверен, что многие ответят "нет". Иначе не было бы огромного количества грустных историй, когда пользователи web3-кошельков теряли крупные суммы в результате подписания фишинговых транзакций.
На rabbit.io мы осознанно избегаем подключения кошельков клиентов к сайту при создании заявок на обмен. Проводя у нас обмен, вы получаете от нас адрес, на который нужно отправить криптовалюту, и самостоятельно копируете его в свой кошелёк, после чего подтверждаете в кошельке ту транзакцию, которую создали самостоятельно. Это понятно и безопасно.
А на платформе Polymarket все транзакции автоматически создаются скриптами вебсайта. Вам не нужно ничего никуда копировать: достаточно нажать во всплывающем окне кошелька на одну кнопку подтверждения. И это становится основой для одной очень опасной мошеннической схемы.
Закладка, которая умеет выводить деньги
С ростом популярности Polymarket растёт и количество предложений по заработку на ставках при помощи автоматических скриптов или ИИ-агентов. Поищите на YouTube, как заработать $1000 на Polymarket за неделю, — много вариантов найдёте. Я не буду давать ссылки, чтобы не привлекать внимания к этим видео, потому что большинство из них — мошеннические.
Автор видео даёт ссылку на бот или на "ИИ-помощник". Вы переходите по ссылке — там инструкция: "Откройте браузер, создайте новую закладку, скопируйте этот код в адрес закладки и сохраните".
Вы это делаете. На панели браузера появляется закладка. Кажется, что это просто сохранённая ссылка, которая нужна для быстрого запуска сложного бота, работающего с интерфейсом Polymarket.
Потом вы заходите на Polymarket и кликаете на эту закладку. На этом моменте ваш кошелёк опустошается.
Код в закладке делает следующее:
- Читает ваши данные из браузера: адреса кошельков, баланс, токены авторизации.
- Определяет тип авторизации: вы вошли через Google или через кошелёк.
- При Google-авторизации использует скрытый фрейм для подписания транзакции вывода.
- При авторизации через кошелёк просит подписать структурированное сообщение EIP-712, которое выглядит как непонятная техническая формальность.
- Отправляет деньги на адрес мошенника.
Винить в потере некого. И перекладывать ответственность не на кого. Вы сами добавили код в браузер. Вы сами нажали на закладку. С точки зрения браузера, это ваше действие.
Эта схема распространяется всё шире. Причин тому две. Во-первых, мало кто понимает, что такое EIP-712, почему и на что браузер просит разрешение. Во-вторых, мошеннику не нужно взламывать Polymarket, не нужны сложные эксплойты, а нужно лишь убедить человека вставить код. Если пообещать заработок на такой многообещающей ниве, как рынки предсказаний, то сделать это не так уж и трудно.
Почему чемпионат оказался идеальным временем для мошенников
Социальная инженерия в криптовалютной отрасли особенно эффективна, когда одновременно выполняются три условия:
- У пользователей много денег.
- Приходит новая аудитория, которая еще не сформировала криптовалютных привычек безопасности.
- Появляется огромный спрос на советы, стратегии, сигналы и "секретные методы".
Чемпионат мира создал на платформе Polymarket все три условия сразу.
Футбольный болельщик понимает, почему одна сборная сильнее другой, но не понимает разницы между подключением кошелька, входом через Google, подписью сообщения, разрешением смарт-контракту и отправкой транзакции. Поэтому автор мошеннического ролика может выглядеть для него более компетентным просто потому, что демонстрирует уверенную работу с платформой, о которой пользователь хорошо наслышан, но на практике ещё не знаком.
Обычному букмекеру тоже подражают фишинговые сайты, а аккаунты пользователей крадут через вредоносные программы. Но у букмекера есть процедура жалоб и ответственность за деньги, которые хранятся на счетах пользователей. Более того, в отношении каждой суммы и букмекер, и клиент, и регулятор знают, чья она: ведь все клиенты регулируемых букмекеров проходят обязательную идентификацию. Это, конечно, не отменяет того факта, что букмекер может установить правила, позволяющие ему ограничить успешного игрока, отменить ставку или долго проверять вывод. Но совсем откровенно украсть ваши деньги букмекер вряд ли сможет.
Если же злоумышленник получил действительную криптографическую подпись и вывел активы на свой адрес, спорить часто уже не с кем. Смарт-контракт не знает, что подпись была поставлена не вами или получена обманом. Для него она либо действительна, либо нет.
Неужели Polymarket опаснее обычного букмекера?
Для новичка в криптовалютах — вполне возможно. За счёт тех угроз, о которых неискушённый пользователь не имеет представления.
Polymarket прозрачнее обычного букмекера там, где речь идет о формировании цены, доступности рыночных данных, торговле между участниками и ончейн-расчетах. Платформа не является вашим постоянным противником по каждой позиции и не заинтересована в вашем проигрыше.
Но букмекер зачастую безопаснее там, где пользователь рассчитывает на привычную модель потребительской защиты: восстановление доступа, разбирательство с платежом и возможность подать жалобу. Polymarket прячется за ширмой фальшивой децентрализации, чтобы избежать юридической ответственности за ущерб, понесённый пользователями.
Сегодня любители футбола делают последнюю ставку на победителя. И я надеюсь, что если вы решите впервые сделать эту ставку на платформе Polymarket, моя статья помогла вам избежать ошибок: вы не перепутаете цену с midpoint, техническую подпись с транзакцией вывода, а полезную закладку — с программой, которая опустошит кошелёк.
