• Halaman status mencatat insiden tersebut pada pukul 18.05 UTC sebagai gangguan besar pada Predictions Trading API.

• Seorang trader bernama Car melaporkan kerugian sebesar $800.000 dan mengatakan semua posisinya telah dijual.

• Menurut perkiraan yang belum terverifikasi, sebuah dompet yang diduga menerima dana mencapai saldo tertinggi $2,68 juta pada pukul 18.05 UTC.

Perdagangan Dihentikan di Platform Internasional

Polymarket menangguhkan seluruh perdagangan di platform internasionalnya pada Kamis setelah penyedia pihak ketiga diretas dan pengguna melaporkan saldo akun mereka terkuras. Menurut halaman status perusahaan, masalah yang memengaruhi Polymarket.com telah diidentifikasi dan diperbaiki, penyedia yang diretas telah dilaporkan kepada aparat penegak hukum terkait, dan pengguna terdampak akan “mendapat penggantian penuh.” Bursa tersebut tidak mengungkapkan jumlah akun yang terdampak atau total nilai yang diambil. Penangguhan ini mencakup layanan internasional berbasis dompet, tempat pengguna memperdagangkan pasar prediksi dari akun yang mereka kendalikan sendiri; bursa AS yang diatur secara terpisah, yang beroperasi di bawah lisensi Commodity Futures Trading Commission (CFTC), tidak disebut sebagai platform yang terdampak. Sebuah akun yang dikelola komunitas mengunggah pernyataan yang hampir identik di X tak lama setelah pembaruan halaman status, dengan redaksi yang sama seperti pernyataan resmi. Hingga berita ini diterbitkan, belum ada jadwal untuk memulihkan perdagangan sepenuhnya.

Pembaruan (29 Okt 19:11 UTC): Alamat yang sama, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, dikodekan secara permanen dalam skrip sebagai penerima cadangannya, dan data on-chain menunjukkan dompet penyerang yang dicurigai menyimpan sekitar $2.65 juta dalam POL setelah beberapa kali pertukaran USDC.e ke POL melalui Relay.

Mode Hanya Pembatalan pada 18:05 UTC

Halaman status pertama kali menandai insiden tersebut pada Kamis pukul 18:05 UTC, mengklasifikasikannya sebagai gangguan besar pada Predictions Trading API, yaitu buku pesanan yang mencocokkan transaksi pasar prediksi. Pada tahap itu, bursa berada dalam mode hanya pembatalan: pengguna dapat membatalkan pesanan yang sudah ada, tetapi tidak ada pesanan baru atau transaksi yang diproses, dan tindakan relayer—layanan yang mengirimkan transaksi on-chain atas nama pengguna—tetap dijeda. Akses akun, umpan websocket, data posisi, dan penyelesaian di Polygon terus berjalan selama insiden. Sekitar 32 menit kemudian, pada 18:37 UTC, status di halaman berubah dari “sedang diselidiki” menjadi “telah diidentifikasi” dan mengaitkan gangguan tersebut dengan penyedia pihak ketiga yang telah disusupi. Satu-satunya jenis pesanan yang diizinkan adalah pembatalan pesanan terbuka selama mesin pencocokan tetap tidak aktif, sehingga para trader dengan eksposur aktif tidak dapat keluar.

Kerugian Pengguna dan Klaim $2.68M

Laporan pengurasan dana mulai beredar di X sebelum perusahaan mengonfirmasi apa pun. Seorang trader bernama Car mengatakan dalam sebuah unggahan di X bahwa $800,000 diambil dari akunnya dan seorang temannya kehilangan $600,000, seraya menambahkan bahwa semua posisinya telah dijual. Akun lain, StarPlatinum, melacak dompet penerima yang dicurigai mulai menerima dana pada 17:05 UTC, menyimpan $412,000 pada 17:25, mencapai $2.02 juta pada 17:50, dan memuncak di $2.68 juta pada 18:05, sembari memperkirakan penerima mengumpulkan 28.6 juta POL yang dikonversi dari saldo deposit pengguna. Akun tersebut juga mengidentifikasi proksi Deposit Wallet Factory dan menduga infrastruktur transaksi bersponsor milik Relay terlibat. Tidak satu pun angka ini telah dikonfirmasi: pernyataan perusahaan tidak menyebutkan jumlah korban, total kerugian, maupun alamat penyerang, dan tidak ada hash transaksi yang dipublikasikan.

Serangan Frontend pada Juni dan Preseden Pengembalian Dana

Insiden ini serupa dengan kejadian pada Juni, ketika vendor pihak ketiga yang disusupi memungkinkan skrip berbahaya masuk ke frontend Polymarket untuk sebagian pengguna. Analisis on-chain awal memperkirakan kerugian sebesar $2.94 juta dari setidaknya 11 dompet, dengan perkiraan selanjutnya mencapai $3.1 juta; dana diambil dalam pUSD di Polygon, dikonversi melalui Relay, dijembatani ke Ethereum, lalu ditukar menjadi ETH. Saat itu, perusahaan mengatakan telah menghapus dependensi yang terdampak dan akan mengganti kerugian pelanggan yang terdampak secara penuh. Platform serupa mengalami kebocoran yang sama beberapa hari sebelumnya: Predict.fun mengonfirmasi transfer tanpa izin sekitar 400,000 USDT dalam pernyataan pada 27 Okt, menelusuri kemungkinan kompromi pada situs dokumentasi API yang dihosting secara eksternal, dan menjanjikan penggantian penuh serta laporan pascainsiden yang terperinci. Insiden pada Desember yang melibatkan layanan login sekali klik mengarah pada titik lemah yang sama, yaitu dependensi pihak ketiga.

Peneliti keamanan di Hudson Rock telah mengidentifikasi kemungkinan mekanisme penyebarannya: sebuah skrip yang dimuat dari DebugBear, layanan pemantauan kinerja web, berisi kode yang mencari sesi trading pengguna yang telah masuk dan berupaya menjual posisi mereka serta mentransfer asetnya. Alamat yang sama, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, dikodekan secara permanen dalam skrip sebagai penerima cadangannya, dan data on-chain menunjukkan dompet penyerang yang dicurigai menyimpan sekitar $2.65 juta dalam POL setelah beberapa kali pertukaran USDC.e ke POL melalui Relay. Hudson Rock mengatakan bahwa kode situs produksi Polymarket mencatat penghapusan skrip tersebut, tetapi perusahaan itu belum memastikan bagaimana kompromi dimulai atau berapa banyak pengguna yang terdampak. Polymarket belum menyatakan penyebabnya.

Pola Pihak Ketiga yang Terus Berulang

Tiga insiden dalam kurun sekitar sepuluh bulan, semuanya melalui dependensi vendor dan bukan kontrak on-chain, menunjukkan kelemahan struktural dalam tumpukan pasar prediksi. Polymarket berjalan di Polygon, jaringan Layer 2, dan sudah lama beralih dari desain pembuat pasar otomatis awalnya ke buku pesanan terpusat, tetapi permukaan serangannya berada di frontend yang dihosting, relayer, dan infrastruktur dompet deposit yang tidak tercakup dalam audit kontrak. Dalam setiap kasus, dana keluar begitu pengguna menandatangani permintaan berbahaya, sehingga kerugian menjadi permanen saat transaksi dikonfirmasi. Sikap perusahaan yang memperbaiki masalah dan memberi kompensasi tetap konsisten, tetapi perusahaan kembali tidak memublikasikan hash transaksi, angka kerugian terkonfirmasi, maupun akar penyebab teknis selain menyebut pihak ketiga. Sampai detail tersebut tersedia, memindahkan saldo menganggur ke dompet dingin dan mempelajari cara kerja dompet perangkat keras tetap menjadi langkah perlindungan praktis bagi pengguna aktif.