Salah satu vendor pihak ketiga Polymarket mengalami peretasan pada Kamis, kata pasar prediksi tersebut, membuat situs webnya rentan terhadap eksploitasi yang menurut analis menyebabkan kerugian jutaan dolar bagi pengguna platform.

Polymarket menolak berkomentar saat dihubungi oleh Decrypt, dan tidak secara publik menyatakan vendor mana yang disusupi. Namun, serangan tersebut memungkinkan peretas menyuntikkan kode berbahaya ke bagian front-end pasar prediksi, kata perusahaan itu dalam sebuah postingan di X.

Pada akhirnya, peretas mencuri dana pelanggan senilai sekitar $3 juta.

Penyelidik on-chain di Bubblemaps menyimpulkan bahwa potensi kerusakan dari peretasan sebagian besar telah ditahan, dengan kurang dari 15 akun pengguna yang terdampak. Firma investigasi blockchain tersebut tidak segera menanggapi permintaan komentar dari Decrypt.

Polymarket menyatakan sedang dalam proses mengembalikan dana sepenuhnya kepada pelanggan yang terdampak, dan bahwa masalah front-end telah diatasi dan dihapus.

Masih belum jelas langkah apa yang dapat diambil platform pasar prediksi tersebut untuk mencegah eksploitasi semacam itu terjadi di masa mendatang, mengingat platform tersebut bergantung pada beberapa bisnis eksternal pihak ketiga yang tampaknya terlibat langsung dalam operasional situs.

Para penyerang tampaknya telah menguras dana dari dompet pelanggan Polymarket yang berisi pUSD, stablecoin yang dipatok dolar khusus Polymarket yang didukung oleh USDC, yang digunakan untuk memfasilitasi semua perdagangan di platform. Mereka kemudian mengubah dana curian tersebut menjadi ETH, dan mengumpulkannya ke dalam dompet Ethereum, di mana, saat tulisan ini dibuat, dana tersebut masih ada.

Bulan lalu, Polymarket mengalami peretasan lain, pada dompet yang digunakan oleh karyawan perusahaan untuk mengisi ulang dan membayar hadiah pengguna. Eksploitasi tersebut menyebabkan perusahaan kehilangan sekitar $700.000, dan kemungkinan besar disebabkan oleh kompromi kunci pribadi. Para ahli mengatakan pada saat itu, hal tersebut tampaknya tidak memengaruhi infrastruktur perusahaan atau menimbulkan risiko yang lebih luas.

Namun, baik eksploitasi tersebut maupun eksploitasi hari ini, menunjukkan kemampuan peretas untuk menyusup ke perusahaan-perusahaan besar di bagian tepian, bahkan ketika protokol inti tetap aman.