Peretas Kuras US$2,73 Juta dari 737 Akun Polymarket dalam Satu Jam

Serangan terkoordinasi terhadap Polymarket menguras sekitar US$2,73 juta dari 737 akun pengguna dalam kurun satu jam pada 29 Oktober. Investigasi blockchain baru melacak hampir 1.000 penarikan tidak sah yang melewati infrastruktur pasar prediksi itu sendiri. Investigasi Bitquery menemukan peretas menjalankan 985 penarikan antara pukul 17.10 dan 18.10 UTC. Mereka memakai persetujuan dompet yang sah, bukan mengeksploitasi celah kontrak pintar. Dana dikonversi menjadi token POL milik Polygon dan disebar ke sejumlah dompet sebelum sebagian dipindahkan ke Ethereum. Bitquery mengidentifikasi rangkaian penarikan otomatis yang dirutekan melalui relayer transaksi resmi Polymarket. Layanan itu mengirimkan transaksi blockchain yang diotorisasi pengguna tanpa mewajibkan pedagang membayar biaya jaringan secara langsung. Bagi smart wallet yang mendasarinya, persetujuan tersebut tampak sah. Dari sampel 30 penarikan, transaksi dieksekusi hanya tiga hingga tujuh detik setelah persetujuan dibuat, indikasi aktivitas otomatis. Kerugian terbesar pada satu akun mencapai sekitar US$358.000. Empat akun menyumbang 43% dari total dana yang dicuri, sedangkan 276 akun masing-masing kehilangan kurang dari US$100. Pola serangan menyerupai insiden keamanan pada Juni yang menimbulkan kerugian sekitar US$2,94 juta pada sedikitnya 11 dompet. Insiden itu juga melibatkan kode berbahaya yang masuk melalui dependensi pihak ketiga yang diretas. Polymarket sebelumnya pernah mengalami pembobolan akun terkait penyedia autentikasi eksternal. Kasus ini menunjukkan layanan yang terhubung ke suatu platform dapat menjadi sasaran meski kontrak blockchain di bawahnya tetap utuh. Penyelidik melacak dana curian di Polygon dan Ethereum. Mereka menemukan alamat yang dikendalikan penyerang menerima sekitar 28,64 juta POL sebelum token didistribusikan ke tiga dompet baru. Sebagian dana kemudian bergerak ke Ethereum melalui Relay, deBridge, dan jembatan native Polygon. Hingga batas waktu investigasi pukul 19.49 UTC, sekitar US$2,17 juta masih berada di tiga dompet Polygon, sementara satu dompet Ethereum lain yang teridentifikasi menyimpan 126,10 ETH. Penyerang juga memindahkan posisi pasar prediksi dari 33 akun dan membuat akun Polymarket baru untuk menjual sebagian saham hasil curian. Satu temuan lain menyoroti respons Polymarket. Bitquery mendeteksi penarikan senilai US$10,99 pada pukul 19.11 UTC, sekitar 38 menit setelah perusahaan menyatakan masalah telah diperbaiki. Transaksi itu tidak membuktikan kerentanan masih dapat dieksploitasi secara umum, tetapi memunculkan pertanyaan soal waktu remediasi. Laporan resmi Polymarket mengonfirmasi penyerang mengganti skrip situs pihak ketiga dengan kode berbahaya yang menyasar pengguna yang sedang mengakses platform. Perusahaan menghapus skrip, membersihkan cache, mereset sesi aktif, dan menghentikan perdagangan sementara. Polymarket kemudian melaporkan 95% dompet terdampak telah diganti penuh dan total pengembalian dana akan mencapai US$3,9 juta. Pembobolan ini menambah kekhawatiran keamanan bagi sektor pasar prediksi yang sudah menghadapi pengawasan atas integritas pasar dan penanganan informasi perdagangan sensitif. Kasus ini juga menunjukkan risiko lebih luas bagi aplikasi keuangan terdesentralisasi: kontrak blockchain dapat berfungsi dengan benar, tetapi perangkat lunak eksternal yang diretas tetap dapat mengotorisasi transaksi merugikan. Persoalan keamanan sebelumnya di Polymarket menegaskan pentingnya membedakan kompromi infrastruktur yang nyata dari ancaman lain yang dilaporkan.