Predictiemarktplatform Polymarket verloor $3,1 miljoen nadat aanvallers een externe frontend compromitteerden en tegoeden uit 11 gebruikerswallets haalden.
De geaudite smart contracts van het platform zelf bleven tijdens het incident intact.
Volgens een rapport werden de gestolen PUSD-tokens via een cross-chain bridge van Polygon (POL) naar Ethereum (ETH) verplaatst. Polymarket heeft de gecompromitteerde leverancier niet publiekelijk bij naam genoemd.
Hoe de aanval werkte
Frontend-leveranciersaanvallen richten zich op de webinterface die gebruikers verbindt met de onderliggende contracts van een platform. De smart contracts zelf houden en beheren de fondsen, maar gebruikers interacteren via een browserlaag die wordt gebouwd en onderhouden door externe softwareleveranciers.
In dit geval lijken aanvallers kwaadaardige code te hebben geïnjecteerd in die interfacelaag. Getroffen gebruikers die tijdens het aanvalstijdvenster met de frontend van Polymarket in contact kwamen, kregen hun walletgoedkeuringen omgeleid. Elf wallets verloren tegoeden voordat het compromis werd ontdekt.
Het feit dat smart contracts audits hebben doorstaan, biedt beperkte bescherming wanneer de aanvalsvector zich stroomopwaarts van de contractlaag bevindt.
Toezichtsonderzoek vergroot druk na beveiligingsincident
Polymarket opereert al onder verhoogde aandacht van toezichthouders sinds de Commodity Futures Trading Commission een onderzoek startte naar de toegang van Amerikaanse gebruikers tot het platform. Het CFTC-onderzoek, dat al loopt tot in 2026, draait om de vraag of de predictiemarkten van Polymarket neerkomen op niet-geregistreerde grondstoffencontracten die beschikbaar zijn voor Amerikaanse gebruikers.
Het platform kreeg brede bekendheid tijdens de Amerikaanse verkiezingscyclus van 2024, toen de markten veelvuldig werden aangehaald in mediaberichtgeving over de kansen in de presidentsrace. Die zichtbaarheid zorgde zowel voor gebruikersgroei als voor extra toezichthoudende aandacht. De combinatie van een actief CFTC-onderzoek en een spraakmakend beveiligingsincident creëert een dubbele reputatiedruk voor de exploitanten van het platform.
Beveiliging van predictiemarkten is een terugkerende zorg in de sector. Frontend-aanvallen zijn bijzonder moeilijk te voorkomen omdat zij berusten op het compromitteren van externe leveranciers in plaats van het kernprotocol. Verscheidene DeFi-platforms zijn de afgelopen twee jaar getroffen door vergelijkbare supplychain-achtige compromitteringen.
Ook lezen: Micron wordt Wall Streets volgende AI-obsessie na rally van 236%
Hoe nu verder
Polymarket heeft niet bevestigd of getroffen gebruikers compensatie zullen ontvangen. Het platform heeft ook de identiteit van de gecompromitteerde leverancier niet bekendgemaakt, wat externe beveiligingsreviews van de aanvalsketen bemoeilijkt.
Het CFTC-onderzoek voegt een extra laag complexiteit toe. Elke openbare verklaring over de hack kan raken aan lopende toezichtsprocedures. De verplaatsing van de gestolen fondsen naar Ethereum via een bridge maakt het in principe mogelijk om ze te traceren, al zijn terugvorderingen bij frontend-leveranciersexploits zeldzaam zonder betrokkenheid van wetshandhaving.
Lees hierna: HIVE leende zojuist $115 miljoen tegen nul procent om in te zetten tegen bitcoinmining