995 akun Polymarket dijarah. Serangan kali ini benar-benar menghancurkan ilusi banyak orang.
Tidak ada domain palsu, tidak ada airdrop phishing. Pengguna membuka situs resmi polymarket.com.
Masalahnya, skrip alat pengujian kecepatan pihak ketiga DebugBear yang disematkan di situs tersebut telah disusupi. Skrip itu langsung mengambil sesi login Anda di browser dan beroperasi otomatis:
Pertama, menjual semua posisi dengan harga pasar yang didiskon 3%. Jika tidak laku, harganya dipotong setengah, lalu diturunkan sampai harga terendah untuk menghabiskan semua posisi;
Kemudian, semua saldo ditukar menjadi POL dan ditransfer ke penyerang.
Stablecoin masih bisa dibekukan, tetapi POL tidak memiliki fitur pembekuan.
Skrip itu juga mengirimkan data kembali: alamat dompet, lokasi pengguna, ukuran akun, dan apakah transfer berhasil—semuanya dikirim ke tangan penyerang.
Dalam 45 menit, saldo dompet penyerang melonjak dari 0 menjadi 2 juta dolar AS. Conor Grogan menghitung total kerugian akhirnya mencapai 2,65 juta dolar.
Seorang trader menyaksikan sistem secara otomatis menutup posisinya senilai 800 ribu dolar. Temannya juga rugi 600 ribu dolar.
Setelah kejadian itu, Polymarket segera beralih ke mode hanya-bisa-membatalkan-order, menghentikan relay, dan berjanji mengganti seluruh kerugian. Hal ini patut diapresiasi.
Namun, ini sudah menjadi insiden ketiga dengan modus serupa tahun ini.
Pada Mei, sekitar 700 ribu dolar dicuri; pada Juni, 3 juta dolar. Semuanya merupakan serangan rantai pasok pada antarmuka depan akibat skrip pihak ketiga yang disusupi.
Saya pernah mengalami phishing dan akun saya pernah dikuras. Setelah lama berkecimpung di dunia ini, saya sudah tahu risiko selalu membayangi.
Namun, para korban kali ini tidak melakukan kesalahan apa pun—mereka hanya membuka situs resmi seperti biasa.
Hal yang paling ironis adalah kita menghabiskan sepuluh tahun menyempurnakan smart contract dan mengaudit blockchain, serta mengagung-agungkan kriptografi di lapisan dasar sebagai sesuatu yang tak tertembus.
Namun, sebuah skrip pengujian kecepatan halaman yang nyaris tak terlihat justru langsung menguras dana pengguna. $HYPE
Tidak ada domain palsu, tidak ada airdrop phishing. Pengguna membuka situs resmi polymarket.com.
Masalahnya, skrip alat pengujian kecepatan pihak ketiga DebugBear yang disematkan di situs tersebut telah disusupi. Skrip itu langsung mengambil sesi login Anda di browser dan beroperasi otomatis:
Pertama, menjual semua posisi dengan harga pasar yang didiskon 3%. Jika tidak laku, harganya dipotong setengah, lalu diturunkan sampai harga terendah untuk menghabiskan semua posisi;
Kemudian, semua saldo ditukar menjadi POL dan ditransfer ke penyerang.
Stablecoin masih bisa dibekukan, tetapi POL tidak memiliki fitur pembekuan.
Skrip itu juga mengirimkan data kembali: alamat dompet, lokasi pengguna, ukuran akun, dan apakah transfer berhasil—semuanya dikirim ke tangan penyerang.
Dalam 45 menit, saldo dompet penyerang melonjak dari 0 menjadi 2 juta dolar AS. Conor Grogan menghitung total kerugian akhirnya mencapai 2,65 juta dolar.
Seorang trader menyaksikan sistem secara otomatis menutup posisinya senilai 800 ribu dolar. Temannya juga rugi 600 ribu dolar.
Setelah kejadian itu, Polymarket segera beralih ke mode hanya-bisa-membatalkan-order, menghentikan relay, dan berjanji mengganti seluruh kerugian. Hal ini patut diapresiasi.
Namun, ini sudah menjadi insiden ketiga dengan modus serupa tahun ini.
Pada Mei, sekitar 700 ribu dolar dicuri; pada Juni, 3 juta dolar. Semuanya merupakan serangan rantai pasok pada antarmuka depan akibat skrip pihak ketiga yang disusupi.
Saya pernah mengalami phishing dan akun saya pernah dikuras. Setelah lama berkecimpung di dunia ini, saya sudah tahu risiko selalu membayangi.
Namun, para korban kali ini tidak melakukan kesalahan apa pun—mereka hanya membuka situs resmi seperti biasa.
Hal yang paling ironis adalah kita menghabiskan sepuluh tahun menyempurnakan smart contract dan mengaudit blockchain, serta mengagung-agungkan kriptografi di lapisan dasar sebagai sesuatu yang tak tertembus.
Namun, sebuah skrip pengujian kecepatan halaman yang nyaris tak terlihat justru langsung menguras dana pengguna. $HYPE
