Platform prediction market Polymarket kehilangan $3,1 juta setelah penyerang membobol frontend pihak ketiga dan menguras dana dari 11 dompet pengguna.
Smart contract platform yang sudah diaudit tetap utuh selama insiden tersebut.
Menurut sebuah laporan, token PUSD yang dicuri dipindahkan dari Polygon (POL) ke Ethereum (ETH) melalui jembatan lintas-rantai. Polymarket belum mengumumkan secara publik nama vendor yang dikompromikan.
Cara Serangan Bekerja
Serangan terhadap vendor frontend menargetkan antarmuka web yang menghubungkan pengguna ke kontrak dasar sebuah platform. Smart contract menyimpan dan mengelola dana, tetapi pengguna berinteraksi melalui lapisan berbasis browser yang dibangun dan dikelola oleh penyedia perangkat lunak pihak ketiga.
Dalam kasus ini, penyerang tampaknya menyuntikkan kode berbahaya di lapisan antarmuka tersebut. Pengguna yang terdampak dan berinteraksi dengan frontend Polymarket selama jendela serangan mengalami pengalihan persetujuan dompet mereka. Sebelas dompet kehilangan dana sebelum kompromi terdeteksi.
Fakta bahwa smart contract telah lulus audit hanya memberikan perlindungan terbatas ketika vektor serangan berada di hulu dari lapisan kontrak.
Penyidikan Regulator Menambah Tekanan Setelah Insiden Keamanan
Polymarket beroperasi di bawah pengawasan regulasi yang meningkat sejak Commodity Futures Trading Commission memulai penyelidikan terkait akses pengguna AS ke platform tersebut. Penyidikan CFTC, yang berlangsung hingga 2026, berfokus pada apakah prediction market Polymarket merupakan kontrak komoditas tidak terdaftar yang tersedia bagi pengguna Amerika.
Platform ini menarik perhatian arus utama selama siklus pemilu AS 2024, ketika pasar-pasarnya banyak dikutip dalam liputan media tentang peluang kandidat presiden. Visibilitas tersebut membawa pertumbuhan pengguna sekaligus pengawasan regulasi. Kombinasi penyelidikan CFTC yang aktif dan insiden keamanan profil tinggi menciptakan tekanan reputasi berlapis bagi operator platform.
Keamanan prediction market telah menjadi kekhawatiran berulang di sektor ini. Serangan terhadap frontend sangat sulit dicegah karena bergantung pada kompromi pemasok pihak ketiga, bukan protokol inti. Beberapa platform DeFi mengalami kompromi rantai pasokan serupa dalam dua tahun terakhir.
Juga Baca: Micron Menjadi Obsesinya Wall Street Berikutnya di Bidang AI Setelah Reli 236%
Langkah Selanjutnya
Polymarket belum mengonfirmasi apakah pengguna yang terdampak akan menerima kompensasi. Platform ini juga belum mengungkapkan identitas vendor yang dikompromikan, yang membatasi peninjauan keamanan pihak ketiga atas rantai serangan.
Penyidikan CFTC menambah lapisan kompleksitas. Setiap pernyataan publik mengenai peretasan tersebut dapat bersinggungan dengan proses regulasi yang sedang berlangsung. Pergerakan dana curian ke Ethereum melalui jembatan membuat pelacakan secara prinsip dimungkinkan, meski pemulihan dana dalam eksploitasi vendor frontend jarang terjadi tanpa keterlibatan penegak hukum.
Baca Berikutnya: HIVE Baru Saja Meminjam $115 Juta dengan Kupon Nol untuk Bertaruh Melawan Penambangan Bitcoin