Sebuah sisipan kode berbahaya pada portal pasar prediksi Polymarket secara sepihak melepas kepemilikan posisi milik para trader yang sedang aktif masuk log dan memindahkan aset mereka ke tangan pelaku kejahatan siber pada 29 Oktober. Skrip destruktif tersebut menggantikan skrip pemantau kecepatan pemuatan web yang didatangkan platform melalui penyedia eksternal.
Pihak pengelola Polymarket menyatakan siap mengganti kerugian sekitar 2,7 juta dolar AS kepada 726 dompet yang terdampak insiden ini. Data transaksi buku besar terdesentralisasi memperlihatkan bahwa limpahan aset kripto senilai kurang lebih 2,64 juta dolar AS sukses masuk ke kantong digital peretas dalam rentang waktu kurang dari enam puluh menit.
Program yang disusupi tersebut merupakan produk milik DebugBear, penyedia instrumen real user monitoring (RUM) yang bertugas mengevaluasi kecepatan pemuatan halaman bagi para pengguna sebenarnya di dunia maya.
Tim peneliti keamanan siber di Hudson Rock berhasil mengunduh berkas berbahaya tersebut pada 29 Oktober langsung dari jalur alamat yang biasa dimanfaatkan Polymarket saat memanggil skrip DebugBear. Mereka pun mengidentifikasi adanya perubahan struktural pada sistem internal situs Polymarket yang berfungsi menghapus skrip DebugBear tersebut.
Catatan DNS milik DebugBear disusupi melalui perantara registrar domain mereka, ungkap perusahaan itu lewat pengumuman resminya di media sosial X. Berdasarkan penyelidikan awal, penyerangan ini sengaja difokuskan kepada satu situs pelanggan khusus. Pihak DebugBear tidak menemukan bukti adanya pembobolan langsung ke infrastruktur komputasi internal mereka sendiri, kendati penelusuran forensik masih berjalan.
Para analis di Ohey mencermati adanya peladen asing yang merespons tautan web DebugBear sekitar pukul 18.13 UTC, saat berkas jahat itu sedang giat beroperasi secara online. Pada permulaan hari itu, skrip standar sejatinya dialirkan dari Google Cloud Storage. Setiap klien DebugBear memuat berkas salinan unik masing-masing, dan target manipulasi spesifik ini menimpa salinan milik Polymarket.
Cara Skrip Jahat Menguras Modal Pengguna
Kode asing tersebut mengeksploitasi izin sesi yang telah dimiliki pengguna yang sedang aktif di tab Polymarket, papar hasil telaah Hudson Rock yang mengkaji struktur berkas tanpa mengeksekusinya. Program ini membaca data sensitif akun yang disimpan peramban, termasuk sekumpulan kunci API perdagangan.
Kunci API tersebut sebenarnya tidak mampu membuat pesanan transaksi baru secara sepihak di bursa Polymarket tanpa adanya tanda tangan dompet digital. Hudson Rock menegaskan bahwa tidak ada bagian instruksi dalam kode yang kedapatan mentransfer kunci API, kata sandi, frasa pemulihan, maupun kunci privat menuju server penampung milik sindikat penyerang.
Sebagai gantinya, peretas memprogram skrip untuk menyisir halaman demi menemukan komponen pembuat pesanan milik Polymarket serta mencari modul penandatangan transaksi yang berwenang memvalidasi pergerakan akun korban.
Setelah itu, program memilih salah satu dari dua alur. Pada akun yang terhubung langsung lewat dompet kripto independen, sistem langsung mengalihkan kepemilikan posisi pengguna menuju dompet peretas. Sementara bagi akun yang masuk melalui alamat surel, skrip melikuidasi posisi dengan harga pasar yang kian merugi lalu melarikan seluruh saldo hasil penjualan ke luar sistem.
Pada kedua skenario ini, kode memanfaatkan fasilitas penandatangan internal akun untuk menyetujui perintah penarikan kemudian menyodorkannya kepada relayer Polymarket guna diproses. Hudson Rock mencatat bahwa keberadaan permintaan pengesahan tanda tangan bukanlah bukti mutlak bahwa trader menyetujuinya tanpa sadar melalui pop-up. Pihak penyedia dompet masih mungkin memunculkan konfirmasi, menolak perintah, atau menjalankan protokol keamanan khusus.
Alamat dompet yang diprogram dalam skrip jahat mulai menerima aliran dana perdana pada pukul 17.10 UTC dan transaksi pamungkas tercatat pada pukul 18.02 UTC, merujuk pada pelacakan transaksi on-chain dari Ohey. Sepanjang kurun waktu itu, dompet tersebut menampung 28,6 juta koin POL beserta sejumlah kepemilikan posisi dari 33 dompet berbeda.
Pada pukul 18.19 UTC, simpanan 28,6 juta token POL tersebut bernilai kurang lebih 2,64 juta dolar AS berdasarkan acuan kurs DefiLlama di angka 0,0922 dolar AS per token, sebagaimana dihitung DefiPrime. Total perhitungan ini murni hanya mencakup koin POL dan belum menghitung total nilai posisi taruhan.
Dompet penampung tersebut kemudian mendistribusikan seluruh 28,6 juta POL ke tiga dompet penerima lain dalam rentang pukul 18.28 hingga 18.38 UTC, menurut catatan riwayat mutasi rantai blok.
Langkah Tanggap dan Ganti Rugi Polymarket
Polymarket mengunggah status penanganan pertama terkait aktivitas mencurigakan tanpa izin di dompet pelanggan pada pukul 17.38 UTC. Selanjutnya pada 18.05 UTC, mereka mengumumkan operasional bursa masuk ke status pembatalan saja (cancel-only) serta mematikan seluruh operasi relayer transaksi.
Manajemen menegaskan telah berhasil membersihkan skrip beracun itu dalam waktu kurang dari satu jam. Tim teknis juga menyapu bersih seluruh cache sistem, membatalkan semua sesi login yang aktif, serta membekukan perdagangan sampai platform dinyatakan steril. Kasus eksploitasi siber ini pun telah dilaporkan kepada aparat penegak hukum.
Menjelang 30 Oktober, sebanyak 689 dari 726 dompet korban telah memperoleh dana penggantian penuh, sementara 37 dompet sisanya diselesaikan bertahap seiring proses validasi. Polymarket turut mengucurkan santunan 1,19 juta dolar AS bagi sekitar 5.500 akun yang merugi selama masa pembekuan pasar atau yang asetnya terambil. Total kompensasi yang dikembalikan kepada para pengguna mencapai 3,9 juta dolar AS.
Para pedagang tidak diwajibkan mengajukan klaim ganti rugi secara manual. Halaman status Polymarket menyediakan tautan pengaduan bagi pengguna yang merasa nominal penerimaan mereka keliru atau merasa belum memperoleh hak kompensasi.
Langkah Pencegahan untuk Situs Web dan Trader
DebugBear telah menginstruksikan para pemakai layanan RUM mereka agar lekas mencopot baris kode pelacak dari portal masing-masing. Jalur peladen cdn.debugbear[.]com yang menyebarkan muatan berbahaya telah kehilangan catatan DNS sewaktu diverifikasi The Hacker News per 1 November.
Polymarket berjanji menerapkan kembali skrip rekanan eksternal menggunakan proteksi ekstra ketat, termasuk pengetatan Kebijakan Keamanan Konten (CSP), penguncian versi berkas secara paten, serta isolasi sistem sandboxing.
Hudson Rock menyarankan pengelola web berhati-hati dalam memuat skrip eksternal.
Hudson Rock menyarankan para pedagang untuk segera membatalkan setiap perintah tanda tangan transaksi yang muncul secara mencurigakan atau tanpa diminta.
