Sebuah sisipan kode berbahaya pada portal pasar prediksi daring Polymarket secara sepihak melepas kepemilikan posisi para pedagang yang sedang masuk log dan melarikan saldo mereka ke tangan peretas pada 29 Oktober. Skrip jahat ini diketahui telah menukar pustaka kode pemantau kecepatan peramban yang sebelumnya dipasang dari penyedia pihak ketiga.
Pihak pengelola Polymarket mengonfirmasi bahwa mereka memulihkan dana kompensasi sekitar USD 2,7 juta kepada 726 dompet digital para pengguna yang terdampak. Berdasarkan penelusuran riwayat transaksi buku besar rantai blok, aset kripto senilai kurang lebih USD 2,64 juta berhasil berpindah masuk ke dompet penampung penyerang dalam tempo kurang dari enam puluh menit.
Berkas pemrograman yang digantikan bersumber dari DebugBear, yakni penyedia modul pemantauan pengguna riil (RUM) yang bertugas mengevaluasi kecepatan pemuatan laman bagi pengunjung sebenarnya secara aktual di lapangan.
Tim peneliti keamanan siber dari Hudson Rock mengunduh berkas berbahaya tersebut pada 29 Oktober melalui tautan direktori yang biasa dimanfaatkan oleh infrastruktur Polymarket saat memuat skrip DebugBear. Mereka juga menemukan rekam jejak penyuntingan pada basis kode internal Polymarket yang menghapus seluruh skrip milik DebugBear dari sistem.
Entitas DebugBear menyatakan melalui akun media sosial X bahwa catatan sistem penamaan domain (DNS) milik mereka telah disusupi lewat pihak pendaftar domain resmi mereka. Temuan awal investigasi memperlihatkan bahwa serangan tersebut secara spesifik hanya menyasar satu situs web pelanggan tertentu saja. Hingga saat ini, DebugBear belum menemukan indikasi kebocoran pada sistem internal mereka, kendati penelusuran menyeluruh masih terus dijalankan secara intensif.
Para analis keamanan dari Ohey turut mendeteksi adanya server asing yang merespons alamat web DebugBear tepat pada pukul 18.13 UTC, saat berkas berbahaya tersebut masih aktif melayani permintaan publik. Sebelumnya pada hari yang sama, skrip resmi biasanya dilayani langsung melalui penyimpanan Google Cloud Storage. Setiap klien DebugBear memang mengambil salinan berkas skripnya masing-masing, dan dokumen pemrograman yang ditukar oleh peretas secara khusus menyasar berkas milik Polymarket.
Mekanisme Skrip Menjarah Dana Pengguna
Kode jahat ini menyalahgunakan tingkat perizinan akses dari para pedagang yang sudah masuk log pada tab jendela Polymarket yang sedang terbuka, sebagaimana diungkapkan Hudson Rock sesudah mengkaji struktur berkas tanpa mengeksekusinya. Modul tersebut memindai rincian akun pedagang yang disimpan oleh Polymarket di dalam peramban lokal, termasuk rangkaian kunci API transaksi perdagangan.
Rangkaian kunci API tersebut sejatinya tidak sanggup mengeksekusi penempatan order secara mandiri di sistem Polymarket, mengingat setiap transaksi mutlak mewajibkan adanya tanda tangan kriptografis dari dompet pemilik. Hudson Rock tidak menjumpai satu pun instruksi dalam kode yang mengirimkan kunci, kata sandi rahasia, susunan frasa benih, maupun kunci privat menuju peladen pusat komando milik peretas.
Sebagai gantinya, pustaka kode memindai elemen tata letak antarmuka situs Polymarket yang berfungsi memproses pembuatan order baru, sekaligus mencari modul penandatangan transaksi yang berhak mengesahkan mutasi akun bersangkutan.
Berikutnya, instruksi tersebut mengeksekusi satu dari dua skenario penjarahan. Pada akun yang terhubung langsung menggunakan dompet kripto pribadi mandiri, skrip akan mengalihkan seluruh portofolio milik pedagang secara langsung menuju alamat dompet peretas. Sementara bagi akun yang masuk melalui verifikasi alamat surel, kode akan melikuidasi posisi perdagangan pada tingkat harga yang semakin anjlok secara berulang, lalu melarikan seluruh saldo hasil penjualan keluar sistem.
Pada kedua skenario serangan tersebut, susunan kode memerintahkan modul penandatangan milik pengguna untuk mengesahkan berkas permintaan transaksi jahat, kemudian menyalurkannya menuju sistem relayer Polymarket guna diselesaikan ke jaringan. Hudson Rock menegaskan bahwa terbitnya permintaan pengesahan semata tidak serta-merta membuktikan pengguna menyetujui transaksi tanpa adanya jendela konfirmasi. Pihak penyedia dompet pengguna masih memiliki kewenangan untuk meminta persetujuan manual, menolak mentah-mentah, atau menerapkan aturan sesi keamanan mereka sendiri.
Alamat dompet yang tercatat di dalam skrip berbahaya pertama kali menerima kiriman saldo pada pukul 17.10 UTC dan transaksi penerimaan terakhir tercatat pada 18.02 UTC, menurut data pelacakan rantai blok dari Ohey. Dalam kurun waktu singkat itu, dompet tersebut berhasil meraup 28,6 juta token POL serta berbagai kontrak posisi taruhan dari 33 dompet berbeda.
Tepat pada pukul 18.19 UTC, simpanan sebanyak 28,6 juta token POL tersebut ditaksir bernilai sekitar USD 2,64 juta mengacu pada patokan harga DefiLlama senilai USD 0,0922, sebagaimana dihitung secara cermat oleh DefiPrime. Total valuasi moneter tersebut murni hanya mencakup akumulasi token POL saja, belum menghitung nilai seluruh posisi kontrak yang dijarah.
Rekam jejak transaksi pada buku besar memperlihatkan bahwa dompet pelaku kemudian meneruskan seluruh 28,6 juta token POL tersebut menuju tiga alamat penampung lanjutan dalam rentang waktu antara pukul 18.28 hingga 18.38 UTC.
Langkah Tanggap Darurat dan Ganti Rugi Polymarket
Pihak manajemen Polymarket mengunggah laporan status insiden pertama terkait aktivitas tidak sah pada dompet pengguna pada pukul 17.38 UTC. Selanjutnya pada pukul 18.05 UTC, mereka mengumumkan pengoperasian bursa dialihkan ke mode pembatalan saja, sembari membekukan operasional relayer secara penuh.
Perusahaan menyatakan telah menyingkirkan skrip bermasalah dalam kurun waktu satu jam saja. Mereka juga menyapu bersih seluruh data tembolok penjelajahan, menyetel ulang seluruh sesi login yang sedang berlangsung, dan menghentikan sementara aktivitas perdagangan sampai situs dipastikan steril. Mereka pun telah meneruskan laporan kasus peretasan ini ke aparat penegak hukum.
Menjelang 30 Oktober, sebanyak 689 dari total 726 alamat dompet yang terdampak telah menerima pengembalian dana seutuhnya, sementara 37 dompet lainnya diselesaikan seiring rampungnya proses verifikasi bertahap. Selain ganti rugi tersebut, Polymarket menggelontorkan santunan senilai USD 1,19 juta kepada sekitar 5.500 dompet yang menderita kerugian imbas pembekuan pasar atau pengambilalihan posisi. Secara total keseluruhan, dana yang dikembalikan kepada para pelaku pasar mencapai USD 3,9 juta.
Para pemilik dompet tidak diwajibkan mengajukan formulir klaim manual secara khusus. Meski demikian, dasbor pemantau status resmi Polymarket tetap menyediakan tautan laporan bagi para pengguna yang menduga jumlah penggantian mereka tidak sesuai atau mereka yang merasa berhak mendapatkan kompensasi tetapi terlewatkan.
Langkah Pencegahan untuk Pengelola Situs dan Pedagang
Pihak DebugBear telah meminta seluruh pelanggan layanan pemantauan RUM mereka guna segera mencabut baris kode sematan pemantau dari portal masing-masing. Alamat jaringan yang menyalurkan berkas berbahaya tersebut, cdn.debugbear[.]com, dilaporkan telah kehilangan catatan DNS ketika diverifikasi oleh The Hacker News pada 1 November.
Polymarket mengonfirmasi bahwa mereka kembali menerapkan skrip pihak luar dengan proteksi tambahan yang berlapis, termasuk penerapan Kebijakan Keamanan Konten (CSP) yang lebih ketat, penetapan versi pustaka terverifikasi, dan isolasi lingkungan pengujian.
Sedangkan rekomendasi Hudson Rock bagi kalangan pedagang daring adalah menolak secara tegas setiap pengajuan tanda tangan transaksi mencurigakan yang tidak pernah mereka minta secara sadar.
