Polymarket Hit By Third-Party Breach Drains $2.9m, Raises Compliance Risks

Polymarket mengatakan bahwa kompromi vendor pihak ketiga yang ditemukan pada hari Kamis memungkinkan penyerang menyuntikkan kode berbahaya ke antarmuka situsnya, yang mengarah pada kampanye phishing yang menargetkan beberapa pengguna. Menurut analis blockchain Specter, skrip yang disuntikkan digunakan untuk menguras dana sekitar $2,94 juta dari setidaknya 11 dompet Polymarket.

Polymarket menyatakan bahwa insiden tersebut telah ditangani dan bahwa dependensi yang dikompromikan telah dihapus. Platform ini juga mengatakan bahwa pengguna yang terdampak akan menerima pengembalian dana penuh. Cointelegraph menghubungi Polymarket untuk meminta komentar, tetapi tidak menerima tanggapan sebelum publikasi.

Poin-poin penting

  • Polymarket melaporkan adanya kompromi vendor pihak ketiga yang memungkinkan penyerang menyuntikkan skrip berbahaya ke frontend-nya.

  • Analis Specter mengaitkan kode berbahaya dengan aktivitas phishing, memperkirakan kerugian sekitar $2,94 juta di setidaknya 11 dompet pengguna.

  • Polymarket mengatakan masalah tersebut telah ditahan, sebuah dependensi telah dihapus, dan pengguna akan menerima pengembalian dana penuh.

  • Data pelaporan keamanan blockchain menunjukkan bahwa insiden ini masuk dalam volume tinggi pelanggaran kripto pada kuartal tersebut.

  • Secara terpisah, data DefiLlama menunjukkan bahwa kompromi kunci privat tetap menjadi penyebab dominan atas kerugian eksploit yang dilaporkan selama 30 hari terakhir.

Kompromi frontend dan kerugian dompet akibat phishing

Insiden Polymarket berpusat pada kegagalan bergaya rantai pasok (supply chain), bukan eksploit kontrak pintar langsung. Specter mengatakan skrip berbahaya tampaknya memungkinkan serangan phishing yang mengalihkan atau mendorong pengguna untuk mengorbankan kredensial atau otorisasi mereka, yang berujung pada pergerakan aset tanpa izin dari dompet pengguna.

Dalam praktiknya, jenis kompromi front-end ini bisa sangat merugikan bagi institusi dan tim kepatuhan karena menggeser profil risiko dari mekanisme on-chain semata. Bahkan ketika kontrak tidak berubah, kode berbahaya di lapisan web dapat memanipulasi perilaku pengguna, mengompromikan asumsi keamanan terkait sesi, atau menipu pengguna agar menandatangani transaksi yang berbahaya. Bagi entitas teregulasi yang mengintegrasikan atau mengarahkan akses pengguna ke layanan kripto, insiden seperti ini menyoroti kebutuhan akan tata kelola vendor yang lebih ketat dan kontrol integritas yang berkelanjutan atas dependensi yang dilayani dari pihak luar.

Respons Polymarket menunjukkan komponen yang terdampak telah diidentifikasi dan dilepas setelah penemuan. Komitmennya untuk sepenuhnya mengganti dana pengguna juga memunculkan pertimbangan operasional dan kebijakan: meskipun pengembalian dana dapat mengurangi dampak bagi pengguna, hal itu tidak otomatis menjawab apakah kontrol yang mendasari—seperti proses pembaruan perangkat lunak pihak ketiga, pemantauan dependensi, dan buku pedoman respons insiden—cukup untuk mencegah kejadian terulang.

Pelaporan kebocoran DefiLlama menegaskan pola metode eksploit yang berulang

Kasus Polymarket hadir ketika pelaporan insiden keamanan siber kripto masih tetap tinggi. Data DefiLlama menempatkan peristiwa ini dalam kerangka waktu yang lebih luas: statistik kuartal ketiga—hingga kuartal kedua—menunjukkan bahwa kuartal tersebut memiliki periode yang paling banyak diretas berdasarkan jumlah insiden, menurut rujukan Cointelegraph terhadap DefiLlama dan pemberitaannya tentang Q2.

DefiLlama juga melaporkan bahwa pada bulan Juni terjadi kerugian akibat eksploit kripto yang dilaporkan sebesar $74,9 juta selama 29 insiden, melampaui total Mei sebesar $60,5 juta, namun masih jauh di bawah puncak April sebesar $644 juta.

Di antara insiden-insiden terbesar pada bulan Juni adalah eksploit Humanity Protocol senilai $36 juta, eksploit bridge Secret Network senilai $4,7 juta, dua eksploit Aztec yang masing-masing senilai $2,1 juta, serta eksploit bridge senilai $1,7 juta yang terkait dengan Taiko. Meskipun setiap eksploit melibatkan jalur teknis yang berbeda, semuanya secara kolektif menegaskan realitas kepatuhan yang penting: frekuensi dan besarnya insiden terus memberi tekanan pada manajemen risiko operasional di antara bursa, dompet, dan penyedia layanan yang memiliki paparan pada level protokol.

Rincian DefiLlama mengenai kerugian dalam 30 hari terakhir menunjukkan bahwa kompromi kunci privat adalah vektor terdepan yang paling umum, menyumbang 43% dari kerugian eksploit yang dilaporkan. Eksploit proof palsu mencapai 10%, dan reverse MEV honeypot menyumbang 8%. Bagi tim risiko, kategori-kategori ini penting karena menunjukkan apakah kontrol perlu memprioritaskan manajemen kunci, integritas tanda tangan/otorisasi, atau perlindungan pengaturan rute transaksi untuk sistem otomatis dan integrator.

Riwayat kunci privat di Polymarket menyoroti banyak permukaan ancaman

Sekitar satu bulan sebelum insiden frontend Polymarket yang dilaporkan, pasar prediksi tersebut mengungkapkan eksploit tambahan yang ditelusuri ke kunci privat berusia enam tahun yang digunakan untuk operasi top-up internal. Cointelegraph sebelumnya melaporkan bahwa Polymarket mengatakan kontrak dan dana pengguna tetap aman dalam kasus terdahulu itu, dan bahwa semua izin yang terkait dengan kunci yang dikompromikan telah dicabut.

Secara keseluruhan, dua kejadian ini menegaskan bahwa Polymarket—atau layanan kripto apa pun yang memiliki titik temu on-chain dan off-chain—dapat menghadapi beberapa permukaan ancaman yang berbeda: pengelolaan kunci di backend untuk proses operasional, serta dependensi yang disajikan melalui web untuk interaksi yang dihadapi pengguna. Bagi pemangku kepentingan institusional, kombinasi ini dapat mempersulit kepastian (assurance): bahkan ketika satu area kontrol telah diperbaiki (misalnya, izin dicabut setelah masalah kunci), pesawat kontrol terpisah—seperti integritas dependensi pihak ketiga—tetap dapat menimbulkan risiko baru.

Skala Polymarket juga menunjukkan besarnya taruhan untuk tata kelola insiden. DefiLlama melaporkan bahwa platform tersebut menampung lebih dari $450 juta dalam total nilai yang terkunci (total value locked), naik dari $112 juta setahun yang lalu.

Implikasi regulasi dan kepatuhan bagi perusahaan kripto dan integrator

Meskipun Polymarket beroperasi di pasar dengan regulasi yang terus berkembang, insiden seperti ini berkontribusi langsung pada ekspektasi kepatuhan bagi bisnis kripto. Dalam kerangka kerja seperti regulasi Uni Eropa tentang Markets in Crypto-Assets (MiCA), perusahaan diharapkan memenuhi kewajiban tata kelola dan ketahanan operasional, sementara persyaratan AML/CFT di bawah rezim yang berlaku biasanya diperluas hingga proses “kenali pelanggan” serta perlindungan dana pengguna. Kompromi rantai pasok dan pencurian berbasis phishing juga memunculkan pertanyaan bagi pihak lawan yang teregulasi tentang bagaimana klaim perlindungan aset pelanggan dibuktikan secara praktik.

Bagi bursa, penyedia dompet, pemroses pembayaran, dan penyedia layanan institusional, insiden yang terhubung dengan vendor dapat memicu tinjauan internal tambahan berdasarkan kebijakan manajemen risiko pihak ketiga. Area yang umum meliputi: pengelolaan siklus hidup dependensi, kemampuan audit atas proses build dan deployment frontend, prosedur deteksi dan penahanan insiden, serta kecukupan kebijakan pengembalian dana atau restitusi. Bahkan jika pencurian berasal di luar kode on-chain, dampak kepada pengguna tetap dapat berujung pada pemeriksaan regulator terkait perlindungan konsumen, keterbukaan informasi (disclosures), dan kontrol risiko operasional.

Perbedaan lintas batas dalam prioritas penegakan hukum juga dapat semakin mempersulit respons. Di Amerika Serikat, di mana penegakan tindakan kripto sering kali menyoroti keamanan, perlindungan konsumen, dan dugaan kegagalan dalam kontrol kepatuhan, serta di mana lembaga federal berkoordinasi melalui proses hukum dan surat perintah, insiden phishing yang dipicu frontend tetap dapat diposisikan sebagai kegagalan untuk menjaga perlindungan yang wajar. Secara terpisah, kewajiban AML/KYC tidak mencegah phishing, tetapi dapat memengaruhi bagaimana dana hasil curian diidentifikasi, bagaimana pengguna yang terdampak didukung, dan bagaimana aktivitas mencurigakan ditriase.

Untuk pemantauan kepatuhan institusional, elemen yang paling dapat ditindaklanjuti adalah pola insidennya sendiri: kompromi pihak ketiga yang mengarah pada penipuan pengguna, di samping vektor eksploit yang terus berulang seperti kompromi kunci. Tema-tema ini menunjukkan bahwa tata kelola (governance) harus mencakup baik kontrol teknis (manajemen kunci, permissioning, integritas transaksi) maupun kontrol administratif (pengawasan vendor, jaminan rantai pasok perangkat lunak, dan langkah respons yang terdokumentasi).

Sudut pandang penutupan

Polymarket mengatakan dependensi yang dikompromikan telah dihapus dan pengguna yang terdampak akan diganti. Fase berikutnya kemungkinan melibatkan validasi rinci pasca-insiden dari rantai pasok yang terdampak, verifikasi paparan sisa di seluruh lapisan pengiriman (delivery) frontend-nya, serta penyesuaian berkelanjutan kontrol teknis dengan ekspektasi kepatuhan yang diterapkan institusi untuk perlindungan pelanggan dan ketahanan operasional. Pelaporan insiden keamanan akan tetap menjadi titik rujukan penting untuk menilai apakah kasus ini mencerminkan pola risiko sistemik yang lebih luas atau kegagalan vendor yang terisolasi.

Artikel ini awalnya diterbitkan sebagai Polymarket Hit by Third-Party Breach Drains $2.9M, Raises Compliance Risks on Crypto Breaking News – sumber tepercaya Anda untuk berita kripto, berita Bitcoin, dan pembaruan blockchain.