Celah pada proses pendaftaran di Polymarket diduga memungkinkan pelaku kejahatan, dengan memanfaatkan data pribadi curian, mengambil alih hampir 500 akun eksisting di AS pada akhir Juli, beserta metode pembayaran yang tertaut.
Poin Utama:
- Bug pendaftaran diduga memungkinkan siapa pun yang memiliki data pribadi seorang trader masuk ke akun aktif tanpa username atau kata sandi
- Rekening bank dan kartu debit yang terhubung ikut terekspos, dan sejumlah pengguna mengaku kehilangan ribuan dolar sementara layanan dukungan tak merespons
- Insiden ini menyusul gelombang penipuan pada Februari, ketika para pencuri mencoba memindahkan sedikitnya $10 juta melalui kartu debit curian
Bug Pendaftaran Polymarket Membuka Akun Trader
Siapa pun yang membuka akun baru dengan data pribadi trader yang sudah ada, seperti nomor Social Security yang dicuri, dilaporkan langsung masuk ke profil aktif trader tersebut, menurut hasil investigasi media yang terbit Sabtu menemukan.
Penyusup tak memerlukan username, kata sandi, maupun ponsel yang diretas. Rekening bank dan kartu debit yang terhubung ke profil tersebut juga ikut dapat diakses.
Seorang sumber yang mengetahui persoalan ini menyebut total dana yang dicuri tergolong kecil, namun tidak menyebut angka pasti. Juru bicara perusahaan mengatakan Polymarket akan mengganti kerugian yang timbul akibat insiden tersebut. Namun, para pengguna menceritakan hal berbeda. Mereka mengaku merugi hingga ribuan dolar dan harus menunggu berminggu-minggu tanpa balasan dari tim dukungan.
Salah satu trader mengatakan saat masuk pada Juli, ia mendapati posisinya telah dijual dan keuntungan senilai $5.783,51 dialihkan ke kartu debit yang bukan miliknya. Menurut pengakuannya, perusahaan sempat mengkredit akun dengan $25 tanpa penjelasan, lalu membekukan akun setelah ia dua kali mengirimkan data verifikasi.
Baca Juga: Proyeksi Nvidia 2030 Mengisyaratkan Rentang Harga $727 hingga $28.560
Peringatan Checkout.com Mendahului Respons Coplan
Celah akun ini muncul setelah gelombang penipuan yang lebih luas pada Februari, ketika para pelaku mengaitkan kartu debit curian ke ribuan akun baru di AS dan mencoba memindahkan sedikitnya $10 juta. Pemroses pembayaran Checkout.com sempat menolak lebih dari 80% setoran karena dinilai fraud, jauh di atas rata-rata industri yang berada di kisaran 1%. Tingkat penipuan kemudian kembali normal pada Mei, setelah perusahaan membatasi jumlah kartu debit per akun dan menunjuk konsultan antifraud Riskified.
Tim kepatuhan membawa persoalan ini kepada CEO Shayne Coplan, yang menurut keterangan karyawan aktif dan mantan karyawan justru meminta mereka fokus mengejar pertumbuhan dan membayar denda jika regulator kelak mengetahuinya. Menurut orang-orang yang dikutip dalam laporan itu, tim tersebut terkejut dengan respons itu.
Rekam Jejak Keamanan Polymarket Disorot
Para analis mempertanyakan apakah laju pertumbuhan perusahaan melampaui kepatuhan, di tengah upaya Polymarket mencari pendanaan dengan valuasi sekitar $21 miliar. Mereka juga menyoroti bahwa angka $10 juta merujuk pada percobaan pencurian, bukan kerugian yang sudah terkonfirmasi. Polymarket menyatakan telah memperkuat sistemnya, sementara tinjauan internal oleh firma hukum Sullivan & Cromwell menyimpulkan perusahaan sudah patuh terhadap regulasi.
Celah pada Juli menambah panjang daftar masalah platform ini, yang hingga kini belum merilis laporan resmi atas insiden bug pendaftaran tersebut. Pada Juni, perusahaan mengonfirmasi bahwa vendor yang diretas telah menyisipkan skrip berbahaya ke situsnya, dan para pelaku menguras sekitar $3,1 juta dari 11 dompet pengguna sebelum kompensasi dijanjikan.
Baca Selanjutnya: Google Gemini Meretas 3 Perusahaan dalam Serangan Otonom Pertama yang Diketahui
