Polymarket Hentikan Perdagangan di Tengah Laporan Penarikan Dana Tanpa Izin
Polymarket membatasi perdagangan pada pembatalan order dan menghentikan aksi relayer menyusul laporan pengguna soal penarikan dana tanpa izin. Pengguna melaporkan dugaan kompromi pada frontend pasar prediksi tersebut. Polymarket tengah menyelidiki insiden keamanan ini. Halaman status platform mencantumkan gangguan besar yang berdampak pada API perdagangan. Trader masih dapat membatalkan order yang sudah dipasang, tetapi tidak bisa mengirim order baru. Aksi relayer yang dihentikan bertugas mengirim transaksi yang ditandatangani pengguna ke blockchain.
Seorang trader dengan nama akun CarOnPolymarket menyebut penarikan tidak sah membuatnya kehilangan US$800.000. Menurutnya, akun lain turut terdampak dan seorang rekannya kehilangan sekitar US$600.000. Trader itu mendesak pengguna mengamankan akun masing-masing dan menghindari interaksi dengan situs web.
Data Arkham menunjukkan sekitar US$2,65 juta dalam token POL berada di wallet 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 yang diidentifikasi milik pelaku serangan yang diduga. POL adalah token native Polygon. Wallet tersebut baru-baru ini menerima sejumlah konversi USDC.e menjadi POL melalui layanan swap lintas rantai Relay. USDC.e merupakan bentuk bridge dari stablecoin USDC. Transaksi pertama muncul sekitar satu jam lalu. Wallet itu tidak mencatat aktivitas dalam lima menit terakhir.
Peneliti Hudson Rock menyatakan skrip yang disajikan melalui layanan pemantauan performa web DebugBear memuat kode yang menyasar sesi perdagangan pengguna yang sudah login. Kode tersebut mencoba menjual posisi pengguna dan mentransfer aset hasilnya, kata Hudson Rock. Skrip itu menetapkan wallet pelaku yang diduga sebagai penerima cadangan yang ditanam permanen. Hudson Rock juga menyebut kode situs produksi Polymarket mendokumentasikan penghapusan skrip tersebut. Hudson Rock belum memastikan bagaimana kompromi bermula atau berapa banyak pengguna terdampak. Polymarket belum mengidentifikasi penyebab insiden.
Kompromi private key pada Mei mengakibatkan sekitar US$700.000 terkuras dari wallet top-up internal. Kompromi vendor pihak ketiga sebulan kemudian memungkinkan peretas menyisipkan kode frontend berbahaya dan mencuri sekitar US$3 juta dari kurang dari 15 akun. Polymarket berjanji memberikan pengembalian dana penuh setelah insiden itu.
