Sebuah sisipan kode berbahaya pada portal pasar prediksi terdesentralisasi Polymarket secara sepihak menjual portofolio milik pedagang yang aktif masuk dan melarikan saldo mereka ke tangan peretas pada 29 Oktober. Skrip perusak tersebut menggantikan program pengukur kecepatan halaman resmi yang dipasang dari penyedia eksternal.
Pihak Polymarket menegaskan tengah mengembalikan ganti rugi sekitar 2,7 juta dolar AS kepada 726 dompet kripto terdampak. Berdasarkan catatan transaksi transparan pada buku besar digital blockchain, aset kripto senilai sekitar 2,64 juta dolar AS mengalir langsung ke dompet pelaku dalam rentang waktu di bawah satu jam.
Skrip yang disusupi disediakan oleh DebugBear, perusahaan dengan perkakas pemantau pengguna riil atau real user monitoring (RUM) untuk mengukur kecepatan pemuatan halaman web bagi pengunjung.
Analis keamanan siber di Hudson Rock mengunduh berkas berbahaya itu pada 29 Oktober langsung dari alamat jaringan yang dipakai Polymarket untuk memanggil skrip dari DebugBear. Mereka juga mendeteksi modifikasi mendadak pada kode Polymarket yang menghapus skrip bermasalah tersebut.
Catatan DNS milik DebugBear disusupi peretas melalui registrar domain resminya, ungkap manajemen perusahaan di platform X. Berdasarkan penyelidikan awal, aksi ini dirancang khusus menyasar situs satu pelanggan tertentu. Hingga kini, DebugBear belum melihat tanda-tanda kebocoran pada sistem internal mereka, meski penyelidikan masih berjalan.
Sementara itu, peneliti forensik siber di Ohey mendapati server tidak sah merespons alamat web DebugBear tepat pukul 18.13 UTC saat berkas berbahaya beroperasi. Sebelumnya, skrip standar normal dikirim melalui Google Cloud Storage. Karena setiap klien DebugBear memuat salinan skrip terpisah, berkas yang dipalsukan secara spesifik hanyalah milik Polymarket.
Cara Kerja Skrip Menguras Dana Pengguna
Kode perusak memanfaatkan izin akses pedagang yang aktif masuk pada tab situs Polymarket yang terbuka, menurut investigasi Hudson Rock. Kode jahat membaca kredensial akun yang disimpan sistem di peramban pengguna, termasuk kunci API perdagangan.
Kunci API tersebut tidak dapat dipakai sendirian mengeksekusi pesanan, karena setiap order mewajibkan otorisasi tanda tangan kriptografis dari dompet terkait. Hudson Rock tidak menemukan kode yang mengirim kunci rahasia, kata sandi, frasa pemulihan, maupun private key ke server peretas.
Alih-alih mengirim kredensial keluar, skrip memindai halaman untuk menemukan modul fungsional penandatangan digital transaksi akun yang sedang masuk.
Setelah itu, skrip menjalankan salah satu dari dua metode. Bagi akun yang masuk menggunakan dompet kripto mandiri, skrip memindahkan portofolio taruhan langsung ke dompet peretas. Untuk akun yang masuk via email, skrip melepas paksa portofolio dengan nilai harga memburuk lalu mengalirkan dana hasil penjualan ke luar.
Melalui kedua mekanisme tersebut, kode berbahaya memerintahkan modul internal menandatangani permintaan transaksi dan meneruskannya ke mesin relayer Polymarket. Hudson Rock memperingatkan bahwa pengiriman permintaan tanda tangan tidak membuktikan pengguna menandatanganinya tanpa melihat jendela konfirmasi. Dompet kripto pada dasarnya masih dapat memunculkan jendela konfirmasi, menolak transaksi, atau menerapkan aturan keamanan khusus.
Dompet penampung peretas menerima transfer aset pertama pukul 17.10 UTC dan transaksi terakhir pukul 18.02 UTC, menurut data on-chain Ohey. Dalam kurun waktu singkat, dompet mengumpulkan 28,6 juta token POL serta berbagai portofolio kontrak dari 33 dompet berbeda.
Pada pukul 18.19 UTC, 28,6 juta token POL tersebut bernilai sekitar 2,64 juta dolar AS berdasarkan perhitungan kurs harga di DefiLlama (0,0922 dolar AS per token), sebagaimana dihitung DefiPrime. Total valuasi ini belum termasuk estimasi nilai posisi taruhan yang turut diambil.
Alamat dompet peretas memindahkan seluruh 28,6 juta token POL ke tiga dompet kripto lain antara pukul 18.28 dan 18.38 UTC.
Langkah Tanggap dan Pemulihan Polymarket
Manajemen Polymarket menyiarkan laporan status aktivitas tak berizin pada pukul 17.38 UTC. Pukul 18.05 UTC, perusahaan mengumumkan bursa dialihkan ke mode pembatalan pesanan saja (cancel-only mode) dan menghentikan sementara fungsi relayer eksekusi.
Perusahaan mencabut skrip bermasalah dalam waktu kurang dari satu jam. Tim teknis membersihkan data tembolok cache, menyetel ulang sesi login aktif, menghentikan total perdagangan hingga steril, serta meneruskan kasus ini ke aparat penegak hukum.
Per 30 Oktober, 689 dari 726 dompet terdampak telah menerima kompensasi penuh, sementara 37 dompet lainnya diselesaikan seiring validasi manual. Polymarket juga mencairkan dana tambahan 1,19 juta dolar AS kepada sekitar 5.500 pemilik dompet yang merugi selama pembekuan bursa atau yang posisinya dirampas. Total pengembalian dana mencapai 3,9 juta dolar AS.
Pengguna terdampak tidak wajib mengajukan klaim penggantian terpisah. Namun, halaman resmi pemantauan Polymarket menyediakan tautan formulir aduan bagi pedagang yang merasa hitungan kompensasinya keliru atau belum menerimanya.
Langkah Pencegahan untuk Situs dan Pedagang
DebugBear mengimbau pengguna produk RUM menghapus kode skrip pemantau dari situs mereka. Server cdn.debugbear[.]com tidak lagi memiliki catatan DNS aktif saat The Hacker News melakukan verifikasi pada 1 November.
Polymarket memasang kembali skrip pihak luar dengan lapisan perlindungan ketat, seperti Content Security Policy (CSP) tangguh, penguncian versi kode tetap (pinned versions), dan isolasi sandboxing.
Hudson Rock menyarankan seluruh pedagang kripto selalu menolak segala bentuk permintaan tanda tangan digital yang tidak diketahui atau muncul mendadak tanpa inisiatif sendiri.
About the Author
