Sebuah sisipan kode berbahaya pada situs pasar prediksi Polymarket secara sepihak melepas kepemilikan posisi para pedagang yang sedang aktif masuk dan mengalihkan seluruh saldo milik mereka kepada pihak peretas pada 29 Oktober. Muatan instruksi jahat tersebut diketahui telah menggantikan berkas pemantau kecepatan peramban yang diambil platform secara daring dari entitas pihak ketiga.
Pihak pengelola Polymarket mengonfirmasi bahwa mereka tengah mengembalikan dana kerugian sekitar USD 2,7 juta kepada 726 alamat dompet digital yang terdampak insiden tersebut. Menurut catatan buku besar terdistribusi, aset mata uang kripto dengan estimasi nilai mencapai USD 2,64 juta berhasil disedot ke alamat penampung milik peretas hanya dalam kurun waktu kurang dari enam puluh menit.
Berkas pemrograman yang berhasil ditukar secara ilegal tersebut berasal dari layanan DebugBear, sebuah penyedia perangkat pemantau pengguna riil atau Real User Monitoring (RUM) yang lazim dipakai untuk mengukur tingkat kelincahan pemuatan antarmuka laman bagi para pengunjung asli.
Barisan peneliti keamanan siber dari Hudson Rock berhasil mengunduh berkas berbahaya tersebut pada 29 Oktober tepat dari tautan web resmi yang biasa dipanggil oleh platform Polymarket guna memuat skrip DebugBear. Dalam investigasi yang sama, mereka juga mendeteksi adanya perombakan struktur kode di situs Polymarket yang secara permanen meniadakan rujukan terhadap skrip DebugBear tersebut.
Manajemen DebugBear menyampaikan klarifikasi melalui media sosial X bahwa entri DNS mereka telah dibobol lewat celah pada registrar domain yang mereka sewa. Berdasarkan temuan awal dari penyelidikan internal, operasi siber ini tampaknya hanya difokuskan menyasar pada domain milik satu klien tunggal saja. Lembaga itu pun memastikan belum menemukan indikasi kebocoran pada sistem peladen utama milik mereka sendiri, kendati penelusuran mendalam masih terus berjalan.
Para analis dari Ohey menemukan fakta bahwa terdapat peladen asing yang merespons seluruh permintaan lalu lintas alamat daring DebugBear sekitar pukul 18.13 UTC, saat berkas yang terinfeksi tersebut masih aktif berselancar. Beberapa jam sebelum kejadian pada hari yang sama, berkas asli sebenarnya didistribusikan secara normal lewat infrastruktur Google Cloud Storage. Mengingat setiap penyewa layanan DebugBear memanggil salinan skrip tersendiri, muatan yang disubstitusi oleh pelaku secara spesifik adalah milik Polymarket.
Bagaimana Skrip Menguras Dana Pengguna
Kode manipulasi tersebut memanfaatkan kembali hak akses sah milik pedagang yang akunnya sedang dalam posisi masuk pada tab Polymarket yang terbuka, demikian kesimpulan Hudson Rock sesudah memeriksa struktur berkas secara statis tanpa mengeksekusinya. Piranti tersebut membaca seluruh riwayat kredensial akun yang tersimpan rapi di dalam peramban, tidak terkecuali rangkuman kunci API perdagangan.
Rangkaian kunci API tersebut sejatinya tidak memiliki wewenang penuh untuk mengeksekusi pesanan secara sepihak di bursa Polymarket, sebab pemrosesan transaksi tetap menuntut adanya tanda tangan kriptografis dari dompet bersangkutan. Tim Hudson Rock tidak mendapati satupun baris perintah yang mentransfer kunci-kunci tersebut, kata sandi, susunan frasa pemulihan, maupun kunci privat ke arah peladen kendali pelaku.
Alih-alih mengirim data penting ke luar, skrip jahat ini justru memindai struktur laman internal untuk mencari elemen antarmuka Polymarket yang memicu pesanan, sekaligus memburu modul penandatangan yang berwenang memvalidasi transaksi akun.
Setelah itu, instruksi ilegal ini memilih satu dari dua skenario penjarahan. Bagi pengguna yang mengakses layanan memakai dompet Web3 pribadi, sistem langsung mengalihkan aset posisi taruhan korban ke dompet peretas. Sementara bagi akun yang masuk menggunakan alamat surel, mekanisme program akan melikuidasi posisi di pasar pada tingkat harga yang kian anjlok sebelum akhirnya mentransfer seluruh hasil penjualannya.
Di kedua jalur itu, program jahat memerintahkan penandatangan bawaan akun guna membubuhkan persetujuan transaksi dan memindahkannya ke sistem perantara pengirim milik Polymarket untuk dieksekusi. Pihak Hudson Rock menggarisbawahi bahwa permohonan tanda tangan semata belum membuktikan transaksi terjadi tanpa peringatan visual kepada pengguna. Layanan dompet masih berpeluang menampilkan konfirmasi, memblokir pengajuan, atau memberlakukan batasan keamanan sesi secara mandiri.
Berdasarkan pelacakan transaksi on-chain yang dilakukan tim Ohey, alamat penampung yang disematkan dalam skrip menerima transfer perdana pada jam 17.10 UTC dan setoran pamungkas pada 18.02 UTC. Selama jangka waktu tersebut, penyerang sukses mengumpulkan 28,6 juta token POL berikut portofolio milik 33 dompet.
Berdasarkan kalkulasi dari DefiPrime pada pukul 18.19 UTC, total 28,6 juta unit POL itu bernilai setara USD 2,64 juta berpatokan pada indeks harga DefiLlama di angka USD 0,0922. Akumulasi nilai ini murni cuma menghitung saldo token POL, di luar kalkulasi posisi yang ikut dijarah.
Rekam jejak transaksi pada buku besar memperlihatkan bahwa dompet tersebut mendistribusikan keseluruhan 28,6 juta token POL menuju tiga dompet rujukan lain di antara pukul 18.28 dan 18.38 UTC.
Tindakan Polymarket dan Penggantian Dana
Manajemen Polymarket mengunggah pengumuman berkala awal mengenai pergerakan mencurigakan tanpa izin di dalam dompet para pemakainya pada pukul 17.38 UTC. Berselang ke pukul 18.05 UTC, bursa menyatakan operasional masuk ke status pembatalan saja dan menonaktifkan relayer.
Pihak pengelola memastikan bahwa kode penyusup telah berhasil dihapus secara tuntas dalam waktu kurang dari satu jam. Mereka turut mengosongkan seluruh memori singgahan, memutus paksa sesi masuk yang aktif, serta membekukan perdagangan sampai sistem dinyatakan bersih. Mereka juga telah melaporkan kasus peretasan ini ke penegak hukum.
Memasuki tanggal 30 Oktober, sebanyak 689 dari 726 dompet korban peretasan telah memperoleh penggantian ganti rugi secara penuh, sementara 37 sisanya diselesaikan bertahap seiring berjalannya proses verifikasi. Polymarket pun menggelontorkan kompensasi tambahan senilai USD 1,19 juta bagi kurang lebih 5.500 akun yang mengalami kerugian materiil imbas pembekuan pasar atau aset posisi yang lenyap. Dengan demikian, total pemulihan dana bagi seluruh pedagang mencapai angka USD 3,9 juta.
Para pemodal terdampak tidak diwajibkan mengajukan formulir klaim manual. Meski demikian, portal pemantau status resmi Polymarket tetap menyematkan formulir pengaduan terbuka bagi pengguna yang merasa nominal pemulihannya tidak cocok atau seharusnya berhak mendapatkan dana ganti rugi.
Langkah Bagi Pengelola Situs dan Pedagang
Pihak DebugBear secara resmi telah menginstruksikan para pemakai layanan pemantau RUM mereka untuk segera mencabut tautan skrip sematan dari arsitektur situs masing-masing. Jalur pengiriman yang sebelumnya menyalurkan dokumen tercemar, cdn.debugbear[.]com, dilaporkan telah kehilangan catatan DNS sewaktu diverifikasi oleh media The Hacker News pada 1 November.
Manajemen Polymarket menyatakan bakal kembali menyematkan program pihak luar setelah menerapkan lapisan pengamanan ganda, termasuk memperketat Kebijakan Keamanan Konten (CSP), mematok versi kode secara permanen, dan memasang sistem isolasi lingkungan kotak pasir.
Rekomendasi dari Hudson Rock untuk platform yang mengimpor skrip eksternal:
Saran Hudson Rock kepada setiap investor dan pedagang adalah senantiasa membatalkan setiap permohonan tanda tangan digital mencurigakan yang muncul secara tiba-tiba tanpa konfirmasi mandiri.
