Một Cây Sấy Tóc Ăn Cắp 34,000 Đô la trên Polymarket

Một chiếc máy sấy tóc, một bộ cảm biến khí tượng không người trông coi, hai lần thao tác được tính toán một cách cẩn thận.

Ngày 6 tháng 4 năm 2026 và ngày 15 tháng 4, cảm biến khí tượng của Cục Khí tượng Pháp tại Sân bay Charles de Gaulle ở Paris đã bị nung nóng bằng một thiết bị sưởi di động, dẫn đến mức đo nhiệt độ tăng đột ngột một cách bất thường trong thời gian ngắn. Nhiệt độ thực tế tại sân bay Charles de Gaulle không bao giờ có biến động như vậy, nhưng thị trường dự đoán "Nhiệt độ cao nhất hàng ngày của Paris" trên Polymarket vẫn được thanh toán như thường lệ. Hai vụ việc, tổng cộng 34.000 đô la tiền thưởng đã được chuyển từ nền tảng sang một tài khoản ẩn danh chỉ mới mở trong hai ngày trước sự việc.

Điều này không phải là một vụ tấn công tiền điện tử điển hình. Nó không tận dụng bất kỳ lỗ hổng hợp đồng thông minh nào, cũng không nhắm vào bất kỳ quy trình điều hành phi trung tâm nào. Mọi công cụ của vụ tấn công, chỉ là một chiếc máy sấy tóc.

Nhiệt độ Tăng mạnh trong 12 Phút, Làm thế nào một thiết bị cảm biến lừa qua thị trường dự đoán toàn cầu?

Vào khoảng 6:30 đến 6:42 chiều ngày 6 tháng 4, nhiệt độ tại trạm khí tượng sân bay Charles de Gaulle đã tăng 4°C trong vòng 12 phút, cao nhất đạt 22,5°C, sau đó nhanh chóng giảm xuống trong 5 phút. Nhiệt độ thực tế của Paris vào ngày đó không bao giờ có sự biến động mạnh như vậy, và không có trạm khí tượng khác xung quanh ghi nhận bất kỳ sự cố nào tương tự.

Trạm khí tượng này (mã: LFPG) nằm bên cạnh đường băng của sân bay Charles de Gaulle, gần khu vực công cộng bên lề đường. Sự mở cửa tương đối của vị trí vật lý đã tạo điều kiện cho nghi phạm tiếp cận cảm biến và can thiệp vật lý.

Đợt "nhiệt độ cao" ngắn ngủi này vừa đúng với tùy chọn "21°C" trên Polymarket, một kết quả trước đó ít người quan tâm, đã được thanh toán là Yes sau khi dữ liệu bất thường được nền tảng chấp nhận là nhiệt độ cao nhất trong ngày. Một tài khoản phía sau đã rút khoản tiền thưởng khoảng 14.000 đô la.

9 ngày sau, vào khoảng 9:30 tối ngày 15 tháng 4, kịch bản gần như giống hệt đã tái diễn, vào một đêm không mây, không gió, nhiệt độ tại sân bay Charles de Gaulle tăng lên bất thường đến 22°C. Xác suất của tùy chọn "22°C" trên Polymarket đã tăng từ 0,1% lên đến 95% trong vòng chưa đầy 30 phút. Khoản tiền thưởng thứ hai vượt qua 20.000 đô la, vẫn chảy vào cùng một tài khoản.

Người sáng lập Dịch vụ E-Meteo của Pháp, nhà khí tượng học Paul Marquis đã đưa ra một phán đoán gần như không thể bác bỏ từ mặt kỹ thuật: "Hướng gió và độ ẩm không không không có bất kỳ sự thay đổi nào vào thời điểm đó, và các trạm khí tượng xung quanh cũng không ghi nhận bất kỳ sự cố nào. Can thiệp vật lý là giải thích hợp lý nhất, ví dụ như đặt thiết bị sưởi ấm gần cảm biến."

Tổng cục Khí tượng Quốc gia Pháp (Météo-France) sau đó đã tiến hành kiểm tra vật lý trên cảm biến và phát hiện dấu hiệu của sự can thiệp, sau đó chính thức khởi tố vụ kiện hình sự với Bộ đội Vận tải Không lực Công an Rurutu. Tội danh được truy tố là "Phá hoại hoạt động hệ thống xử lý dữ liệu tự động". Theo luật pháp Pháp, tội danh này có thể bị kết án tối đa 7 năm tù và phạt tối đa 300.000 euro.

Hồ sơ của tài khoản liên quan cũng không thể không bị nghi ngờ. Nó được tạo ra vào ngày 4 tháng 4 năm 2026, chỉ 48 giờ sau khi vụ án đầu tiên xảy ra. Số vốn ban đầu chỉ vài chục đô la, được chuyển vào từ sàn giao dịch tiền điện tử. Nó gần như chỉ tham gia vào thị trường "Thời tiết Paris" và chủ yếu mua tùy chọn "Nhiệt độ cao" với xác suất rất thấp. Sau hai lần thắng lợi, vốn nhanh chóng được chuyển đi thông qua máy trộn tiền và sàn giao dịch phi tập trung, làm tăng đáng kể khó khăn trong việc theo dõi trên chuỗi.

Một bên là một cái máy sấy tóc thông thường dành cho gia đình, có giá bán lẻ dưới 30 euro, một bên là một thị trường dự báo khí hậu toàn cầu với số giao dịch hàng ngày đã vượt qua 2 triệu đô la Mỹ, sự không cân xứng cực kỳ giữa chi phí tấn công và lợi nhuận từ tấn công.

Dữ liệu bất thường ban đầu được phát hiện bởi một người yêu thích thời tiết địa phương Pháp trên diễn đàn Infoclimat. Sự kiện sau đó lan truyền trong cộng đồng tiền điện tử đến thế giới tiếng Anh, và sau đó báo Le Monde, báo Figaro của Pháp và kênh truyền hình BFMTV lần lượt đưa tin. Polymarket chưa đưa ra bất kỳ tuyên bố công khai nào về vụ việc này và không hủy bỏ số tiền thưởng 34.000 đô la Mỹ đã trả.

Lỗ hổng luật lệ, sao mà một bộ đọc cảm biến có thể quyết định số tiền thưởng sáu chữ số?

Sự kiện này thực sự không phải là chiếc máy sấy tóc, mà là hệ thống luật lệ thanh toán của thị trường thời tiết của Polymarket.

Các thị trường thời tiết của Polymarket đã phát triển mạnh mẽ trong những năm gần đây, với tổng số lượng thị trường hoạt động hiện nay đã đạt 173, bao gồm nhiệt độ, lượng mưa, cơn bão, lốc xoáy, động đất, núi lửa và thậm chí dịch bệnh. Trong đó, cơ chế thanh toán được áp dụng cho thị trường "Nhiệt độ cao hàng ngày của Paris" vô cùng đơn giản, nguồn dữ liệu bị khóa ở giá trị đọc từ một trạm khí tượng cụ thể được lưu trữ trên trang web Wunderground.

Trước sự kiện này, trạm này là trạm khí tượng của Sân bay Charles de Gaulle (mã LFPG), nơi nhiệt độ được đo chính xác đến mức nguyên. Quan trọng nhất, thị trường được thanh toán ngay sau khi dữ liệu cuối cùng được xác định, và "không xem xét bất kỳ sửa đổi dữ liệu sau này nào".