Skrip Dibajak, 726 Dompet Polymarket Dikuras $2,7 Juta dan Platform Kembalikan $3,9 Juta

Kontrak pintar Polymarket tidak disentuh sama sekali. Pintu masuk peretas justru sebuah skrip pemantau kecepatan halaman milik vendor, alat yang dipasang agar situs terasa lebih lancar.

Polymarket, platform pasar prediksi berbasis blockchain, menghentikan perdagangan pada Kamis (29/10/2026) setelah skrip pihak ketiga dari DebugBear, penyedia layanan real user monitoring (RUM) atau pemantauan pengalaman pengguna, dibajak dan dipakai menguras akun trader yang sedang login. Menurut laporan The Hacker News, 726 dompet terdampak dan sekitar $2,7 juta berpindah ke dompet peretas.

Skrip Pemantau Kecepatan Jadi Pintu Masuk

Kode berbahaya itu menggantikan skrip pemantau yang dimuat Polymarket dari server DebugBear. Hudson Rock, firma riset keamanan, menyebut kode tersebut membonceng sesi trader yang sedang aktif: ia membaca kunci API perdagangan dari browser, lalu meminta signer akun menandatangani permintaan yang diteruskan ke relayer Polymarket.

Ada dua jalur. Akun yang login memakai dompet kripto langsung dikuras posisinya, sedangkan akun berbasis surel dijual dengan harga yang kian buruk sebelum dananya dipindahkan. Ohey, sumber riset yang dikutip Hacker News, menemukan server lain menjawab alamat DebugBear saat berkas berbahaya masih daring, dan DNS DebugBear diduga dikompromikan lewat registrar domainnya. DebugBear menyatakan belum melihat tanda pembobolan pada sistemnya sendiri; investigasi masih berjalan.

Satu Jam dari Mode Cancel-Only hingga Skrip Dicabut

BleepingComputer mencatat bursa Polymarket masuk mode cancel-only (hanya boleh membatalkan order) pukul 14.05 waktu AS timur (ET), sementara build produksi yang menghapus integrasi skrip DebugBear dibuat enam menit sebelumnya, pukul 13.59 ET. Insiden ditandai selesai pukul 15.05 ET.

Menurut Hacker News, dana pertama masuk ke dompet peretas pukul 17.10 UTC dan yang terakhir pukul 18.02 UTC, berasal dari 33 dompet. Sekitar 28,6 juta token POL, setara kira-kira $2,64 juta pada harga $0,0922, tiba di dompet itu dalam kurang dari satu jam, lalu diteruskan ke tiga alamat lain. Polymarket menyatakan kasus ini sudah dilaporkan ke penegak hukum.

Ganti Rugi $3,9 Juta untuk Dua Kelompok Korban

Polymarket mengembalikan total $3,9 juta, menurut laporan Bankless pada Jumat (30/10/2026). Angka itu terdiri dari $2,7 juta dana yang dikuras ditambah $1,19 juta untuk sekitar 5.500 dompet lain yang merugi selama jeda perdagangan atau posisinya diambil alih. Hingga 30 Oktober, 689 dari 726 dompet sudah diganti penuh; 37 sisanya masih diverifikasi. Trader tidak perlu mengajukan klaim.

Angka kerugian berbeda antarlaporan. BleepingComputer menyebut sekitar $2,57 juta berpindah ke tiga dompet lain, sedangkan Hudson Rock mencatat dompet peretas menyimpan sekitar $2,19 juta saat diselidiki. Polymarket belum merinci jumlah pengguna terdampak secara lengkap pada saat BleepingComputer menulis.

Kedua Kalinya sejak Juni, Skrip Vendor Jadi Celah

Bankless mencatat ini kali kedua sejak Juni vendor yang disusupi menyuntikkan kode berbahaya ke antarmuka Polymarket; insiden sebelumnya merugikan sekitar $3 juta. Bankless juga menegaskan kontrak pintar Polymarket bukan sumber masalah. Insiden ini terjadi di segmen yang sedang menarik modal besar, seperti saat Kalshi menutup putaran Seri G senilai $1 miliar.

Polymarket berencana memasang kembali skrip pihak ketiga dengan CSP (Content Security Policy) yang lebih ketat, versi yang dipatok, dan sandboxing, sebagaimana dikutip Hacker News dari halaman status Polymarket. DebugBear meminta pelanggan RUM-nya menghapus kode embed. Bagi trader, anjuran dalam laporan itu sederhana: tolak setiap permintaan tanda tangan yang tidak diharapkan.

Polymarket menjanjikan postmortem, dan DebugBear belum menjelaskan bagaimana akses ke DNS-nya bisa dibelokkan. Dua dokumen itu akan menentukan apakah skrip pihak ketiga masih layak dipasang di halaman tempat orang menandatangani transaksi.

Artikel ini bersifat informasi dan bukan rekomendasi untuk membeli, menjual, atau memperdagangkan aset kripto. Keputusan ada di tangan pembaca.