Platform pasar prediksi Polymarket kehilangan $3,1 juta setelah penyerang membobol frontend pihak ketiga dan menguras dana dari 11 dompet pengguna.
Smart contract platform yang telah diaudit tetap utuh sepanjang insiden tersebut.
Menurut sebuah laporan, token PUSD yang dicuri dipindahkan dari Polygon (POL) ke Ethereum (ETH) melalui sebuah jembatan cross-chain. Polymarket belum mengumumkan secara publik nama vendor yang dikompromikan.
Cara Kerja Serangan
Serangan vendor frontend menargetkan antarmuka web yang menghubungkan pengguna ke kontrak dasar platform. Smart contract itu sendiri yang menyimpan dan mengelola dana, tetapi pengguna berinteraksi melalui lapisan berbasis browser yang dibangun dan dikelola oleh penyedia perangkat lunak pihak ketiga.
Dalam kasus ini, penyerang tampaknya menyuntikkan kode berbahaya di lapisan antarmuka tersebut. Pengguna yang terdampak dan berinteraksi dengan frontend Polymarket selama jendela serangan mengalami pengalihan persetujuan dompet mereka. Sebelas dompet kehilangan dana sebelum kompromi terdeteksi.
Fakta bahwa smart contract telah lulus audit hanya memberikan perlindungan terbatas ketika vektor serangan berada di hulu dari lapisan kontrak.
Penyelidikan Regulasi Menambah Tekanan Setelah Insiden Keamanan
Polymarket beroperasi di bawah perhatian regulasi yang meningkat sejak Commodity Futures Trading Commission memulai penyelidikan terhadap akses pengguna AS ke platform tersebut. Penyelidikan CFTC, yang terus berlangsung hingga 2026, berfokus pada apakah pasar prediksi Polymarket merupakan kontrak komoditas tidak terdaftar yang tersedia bagi pengguna Amerika.
Platform ini menarik perhatian arus utama selama siklus pemilu AS 2024, ketika pasarnya banyak dijadikan rujukan dalam liputan media tentang peluang hasil pemilihan presiden. Visibilitas itu membawa pertumbuhan pengguna sekaligus pengawasan regulasi. Kombinasi penyelidikan CFTC yang aktif dan insiden keamanan profil tinggi menciptakan tekanan reputasi berlapis bagi operator platform.
Keamanan pasar prediksi telah menjadi kekhawatiran yang berulang di sektor ini. Serangan frontend sangat sulit dicegah karena bergantung pada pengompromian pemasok pihak ketiga, bukan protokol inti. Beberapa platform DeFi telah mengalami kompromi bergaya rantai pasok serupa dalam dua tahun terakhir.
Baca Juga: Micron Menjadi ObsesI AI Terbaru Wall Street Setelah Reli 236%
Langkah Selanjutnya
Polymarket belum mengonfirmasi apakah pengguna yang terdampak akan menerima kompensasi. Platform ini juga belum mengungkapkan identitas vendor yang dikompromikan, yang membatasi tinjauan keamanan pihak ketiga atas rantai serangan.
Penyelidikan CFTC menambah lapisan kompleksitas. Setiap pernyataan publik tentang peretasan dapat beririsan dengan proses regulasi yang sedang berlangsung. Pergerakan dana yang dicuri ke Ethereum melalui bridge secara prinsip memungkinkan penelusuran, meskipun pemulihan dalam eksploitasi vendor frontend jarang terjadi tanpa keterlibatan penegak hukum.
Baca Selanjutnya: HIVE Baru Saja Meminjam $115 Juta Dengan Bunga Nol Untuk Bertaruh Melawan Penambangan Bitcoin