La piattaforma di mercati predittivi Polymarket ha perso 3,1 milioni di dollari dopo che alcuni aggressori hanno violato un frontend di terze parti e svuotato i fondi da 11 wallet utente.
Gli smart contract della piattaforma, sottoposti a audit, sono rimasti integri per tutta la durata dell’incidente.
Secondo un report, i token PUSD rubati sono stati spostati da Polygon (POL) a Ethereum (ETH) tramite un bridge cross-chain. Polymarket non ha reso pubblico il nome del fornitore compromesso.
Come ha funzionato l’attacco
Gli attacchi ai fornitori di frontend prendono di mira l’interfaccia web che collega gli utenti ai contratti sottostanti della piattaforma. Gli smart contract stessi detengono e gestiscono i fondi, ma gli utenti interagiscono tramite un livello basato su browser, sviluppato e mantenuto da fornitori software terzi.
In questo caso, sembra che gli aggressori abbiano iniettato codice malevolo proprio in quel livello di interfaccia. Gli utenti colpiti che hanno interagito con il frontend di Polymarket durante la finestra di attacco hanno visto le autorizzazioni del proprio wallet reindirizzate. Undici wallet hanno perso fondi prima che la compromissione fosse individuata.
Il fatto che gli smart contract abbiano superato gli audit offre una protezione limitata quando il vettore d’attacco si trova a monte del livello dei contratti.
L’indagine regolatoria aumenta la pressione dopo l’incidente di sicurezza
Polymarket opera sotto un’attenzione regolatoria elevata da quando la Commodity Futures Trading Commission ha avviato un’indagine sull’accesso degli utenti statunitensi alla piattaforma. L’indagine della CFTC, in corso dal 2026, è incentrata sulla possibilità che i mercati predittivi di Polymarket costituiscano contratti su commodity non registrati, messi a disposizione degli utenti americani.
La piattaforma ha attirato l’attenzione del grande pubblico durante il ciclo elettorale statunitense del 2024, quando i suoi mercati sono stati ampiamente citati nei media per le probabilità sulla corsa presidenziale. Quella visibilità ha portato sia una crescita degli utenti sia una maggiore attenzione dei regolatori. La combinazione di un’indagine CFTC attiva e di un incidente di sicurezza ad alto profilo crea una pressione reputazionale amplificata per gli operatori della piattaforma.
La sicurezza dei mercati predittivi è una preoccupazione ricorrente nel settore. Gli attacchi al frontend sono particolarmente difficili da prevenire perché si basano sulla compromissione di fornitori terzi anziché del protocollo core. Diverse piattaforme DeFi hanno subito compromissioni simili, in stile “supply chain”, negli ultimi due anni.
Leggi anche: Micron diventa la nuova ossessione AI di Wall Street dopo un rally del 236%
Cosa succede adesso
Polymarket non ha confermato se gli utenti colpiti riceveranno un risarcimento. La piattaforma non ha nemmeno reso nota l’identità del fornitore compromesso, il che limita le revisioni di sicurezza di terze parti sulla catena dell’attacco.
L’indagine della CFTC aggiunge un ulteriore livello di complessità. Qualsiasi dichiarazione pubblica sull’hack potrebbe interferire con i procedimenti regolatori in corso. Il trasferimento dei fondi rubati su Ethereum tramite un bridge rende in linea di principio possibile il tracciamento, anche se i recuperi in exploit legati a fornitori di frontend sono rari senza il coinvolgimento delle forze dell’ordine.
Da leggere dopo: HIVE ha appena preso in prestito 115 milioni di dollari a tasso zero per scommettere contro il mining di Bitcoin