🚨 Polymarket kehilangan $2,73 juta dari 737 akun dalam satu jam. Penyerang mengeksploitasi perangkat lunak situs web tepercaya, bukan kontrak pintar yang rusak.
Pada 29 Oktober, penyerang mengeksploitasi JavaScript berbahaya yang didistribusikan melalui DebugBear, layanan pemantauan situs web pihak ketiga yang terintegrasi dengan Polymarket.
Peneliti keamanan menemukan JavaScript berbahaya yang didistribusikan melalui infrastruktur DebugBear. JavaScript tersebut dirancang untuk mengidentifikasi pengguna Polymarket yang telah masuk, memeriksa saldo dan posisi mereka, serta mengeksploitasi fungsi perdagangan yang sudah ada di platform tersebut.
Berikut kronologi kejadian:
🕔 17:10 UTC: Lima akun pertama dikuras dalam waktu tiga menit. Salah satunya kehilangan sekitar $75K.
🕔 17:25: Setelah jeda 13 menit, gelombang penarikan otomatis utama dimulai, dengan hingga 40 akun dikuras per menit.
🕔 17:45: Trader Car memperingatkan pengguna secara terbuka. Sekitar 48% dari total kerugian $2,73 juta akhirnya telah terjadi.
🕕 18:05: Halaman status Polymarket mencatat mode hanya-pembatalan dan aktivitas relayer yang dijeda.
🕕 18:10: Bitquery mencatat pengurasan terakhir dalam gelombang serangan utama. Relayer berhenti beroperasi sekitar 30 detik kemudian.
🕕 18:37: Polymarket mengumumkan bahwa mereka telah mengidentifikasi dan memperbaiki masalah tersebut.
🕕 18:52: Relayer kembali beroperasi. Penarikan lain sebesar $10.99 terlacak pada pukul 19:11.
Pengguna Polymarket menyimpan dana di dompet deposit smart di Polygon. Saldo dolar mereka disimpan dalam bentuk pUSD, yang dijamin dengan USDC dengan rasio 1:1.
Aktivitas berbahaya tersebut menyalahgunakan jalur transaksi normal: persetujuan dompet dikirim melalui relayer milik Polymarket sendiri, yang kemudian mengeksekusi penarikan. Dana dikonversi dari pUSD menjadi USDC, ditukar menjadi POL, lalu ditransfer ke dompet yang dikendalikan penyerang.
Bitquery melacak 985 penarikan yang melibatkan 737 akun, dengan total sekitar $2,73 juta.
Detail pentingnya: setiap penarikan yang terlacak disertai persetujuan dompet yang valid. Tidak ditemukan kerentanan smart contract. Blockchain mengonfirmasi persetujuan tersebut, tetapi tidak dapat memastikan secara mandiri siapa yang membuatnya.
Polymarket untuk sementara menangguhkan perdagangan, memulihkan platform, dan berjanji mengganti kerugian pengguna yang terdampak.
Apa pelajarannya? Melindungi kunci privat saja tidak cukup jika perangkat lunak pihak ketiga yang disusupi dapat menyalahgunakan lingkungan transaksi terautentikasi.
Bukan saran keuangan.
$POL
#CryptoSecurity #Polygon #Web3