Polymarket menghentikan perdagangan selama sekitar satu jam pada 29 Oktober 2026, setelah skrip pihak ketiga yang disusupi memungkinkan penyerang menjual posisi pengguna dan memindahkan dana mereka tanpa izin, menurut laporan Cointribune. Kerugian diperkirakan mencapai sedikitnya $2,6 juta di lebih dari 700 akun.

Para trader melaporkan penjualan tanpa izin dan saldo yang terkuras, termasuk seorang pengguna yang mengatakan bahwa ia kehilangan $800.000 dan pengguna lain yang akunnya dikuras hingga kehilangan $600.000. Polymarket berjanji mengganti kerugian semua pihak yang terdampak dan mengatakan bahwa kasus ini telah dilaporkan kepada pihak berwenang Inggris.

Fakta utama

• Insiden dimulai pada 29 Oktober di platform internasional Polymarket.com; perdagangan ditempatkan dalam mode "hanya pembatalan" sebelum semua layanan dipulihkan.

• Cointribune melaporkan lebih dari 700 akun terdampak dengan kerugian setidaknya $2,6 juta, sementara CoinCentral mengutip pelacakan DeFi Llama yang mencatat kerugian sekitar $2,7 juta — kedua media tersebut tidak menyebutkan total pasti yang disepakati, dan Polymarket belum menerbitkan angka final.

• Analisis on-chain yang dikutip Cointribune menunjukkan 28,6 juta token POL, bernilai sekitar $2,57 juta, didistribusikan ke beberapa dompet.

• Blockchain Polygon dan kontrak pintar inti Polymarket tidak diretas; serangan berlangsung melalui skrip pemantauan yang disediakan oleh perusahaan Inggris DebugBear, yang mengakui adanya "insiden keamanan yang masih berlangsung."

• Cointribune melaporkan pembobolan sebelumnya pada bulan Juni, ketika penyedia pihak ketiga yang berbeda diretas dan sekitar $3 juta dicuri dari kurang dari lima belas akun; CoinCentral menyebut total kerugian pada bulan Juni lebih dari $2,9 juta.

Skrip pelacakan, bukan blockchain yang diretas

Menurut Cointribune, analisis on-chain awal mengarah ke DebugBear, perusahaan Inggris yang layanan Real User Monitoring-nya menggunakan skrip yang disematkan di halaman klien untuk mengukur waktu muat. Setelah infrastruktur tersebut diretas, skrip itu dilaporkan diganti atau dimodifikasi untuk memuat kode berbahaya, yang memeriksa apakah pengunjung sudah masuk ke Polymarket, lalu menggunakan sesi aktif tersebut untuk menjual posisi dan mentransfer aset. DebugBear telah meminta kliennya untuk menghapus kode yang disematkan tersebut.

Perbedaan ini penting untuk memahami insiden tersebut. Para penyerang tidak memalsukan transaksi on-chain atau merusak logika kontrak pasar prediksi; mereka membajak lapisan web yang menyiapkan dan mengotorisasi transaksi. Para peneliti di Hudson Rock mengidentifikasi sebuah alamat dalam kode berbahaya yang berfungsi sebagai penerima dana.

Dua pembobolan, satu titik lemah

CoinCentral melaporkan bahwa Polymarket menyatakan salah satu penyedia pihak ketiganya telah diretas dan API Perdagangan Prediksi mereka mengalami "gangguan besar," tetapi pernyataan tersebut tidak menyebutkan nama penyedianya. CoinCentral juga mencatat bahwa pada Kamis pukul 19.05 UTC, halaman status platform menunjukkan semua sistem beroperasi normal, serta menyebut Shayne Coplan sebagai pendiri dan CEO.

Kedua insiden mengikuti pola yang sama: penyedia eksternal, bukan sistem Polymarket sendiri, menjadi titik masuk. Cointribune memperkirakan total kerugian dari kedua insiden tersebut hampir mencapai $5,6 juta dalam beberapa bulan.

Mengapa ini penting

Penggantian kerugian membatasi dampak finansial langsung bagi para pedagang, tetapi tidak mengembalikan posisi yang ditutup saat pasar bergejolak ke keadaan semula. Pengguna yang terdampak pembobolan menyimpan dana mereka di platform nonkustodian, tetapi sesi yang valid dan satu skrip yang diretas sudah cukup untuk memindahkan uang mereka — celah yang tidak dapat diatasi hanya dengan kepemilikan dompet. Insiden berulang ini mengalihkan perhatian dari kegagalan satu vendor ke cara Polymarket mengendalikan skrip yang dijalankan di situsnya.

Hal yang perlu diperhatikan

Polymarket belum mengumumkan angka kerugian final atau ketentuan penggantian kerugian, dan Cointribune melaporkan bahwa jumlah pasti korban masih harus ditentukan. Bagaimana platform menghitung kompensasi — hanya dana yang dialihkan, atau juga nilai posisi yang dijual tanpa persetujuan — adalah detail konkret berikutnya yang perlu dipantau.

Pertama kali diterbitkan di CoinPulseHQ: https://coinpulsehq.com/polymarket-hack-700-accounts-2-6-million/