Predictiemarktplatform Polymarket verloor $3,1 miljoen nadat aanvallers een externe frontend-leverancier compromitteerden en tegoeden uit 11 gebruikerswallets weghaalden.
De eigen, geaudite smart contracts van het platform bleven tijdens het incident intact.
Volgens een rapport werden de gestolen PUSD-tokens via een cross-chain bridge verplaatst van Polygon (POL) naar Ethereum (ETH). Polymarket heeft de gecompromitteerde leverancier niet publiekelijk bij naam genoemd.
Hoe de aanval werkte
Frontend-leveranciersaanvallen richten zich op de webinterface die gebruikers verbindt met de onderliggende contracts van een platform. De smart contracts zelf beheren en bewaren de fondsen, maar gebruikers interacteren via een browserlaag die wordt gebouwd en onderhouden door externe softwareleveranciers.
In dit geval lijken aanvallers kwaadaardige code te hebben geïnjecteerd in die interfacelaag. Getroffen gebruikers die tijdens het aanvalsvenster met de frontend van Polymarket interageerden, kregen hun wallet-toestemmingen omgeleid. Elf wallets verloren tegoeden voordat het compromis werd ontdekt.
Het feit dat smart contracts audits hebben doorstaan, biedt beperkte bescherming wanneer de aanvalsvector stroomopwaarts van de contractlaag ligt.
Regelgevend onderzoek vergroot druk na beveiligingsincident
Polymarket opereert al onder verhoogde aandacht van toezichthouders sinds de Commodity Futures Trading Commission een onderzoek startte naar de toegang van Amerikaanse gebruikers tot het platform. Het CFTC-onderzoek, dat al sinds 2026 loopt, richt zich op de vraag of de predictiemarkten van Polymarket neergekomen op niet-geregistreerde grondstoffencontracten die beschikbaar zijn voor Amerikaanse gebruikers.
Het platform trok brede aandacht tijdens de Amerikaanse verkiezingscyclus van 2024, toen de markten veelvuldig werden aangehaald in mediaberichtgeving over kansen in de presidentsrace. Die zichtbaarheid bracht zowel gebruikersgroei als extra toezicht. De combinatie van een actief CFTC-onderzoek en een prominent beveiligingsincident zorgt voor een dubbele reputatiedruk voor de exploitanten van het platform.
Beveiliging van predictiemarkten is een terugkerende zorg binnen de sector. Frontend-aanvallen zijn bijzonder moeilijk te voorkomen omdat ze berusten op het compromitteren van externe leveranciers in plaats van het kernprotocol. Verschillende DeFi-platforms hebben de afgelopen twee jaar soortgelijke supply-chain-achtige compromitteringen ondergaan.
Ook lezen: Micron wordt Wall Streets nieuwste AI-obsessie na rally van 236%
Wat er nu volgt
Polymarket heeft niet bevestigd of getroffen gebruikers compensatie zullen ontvangen. Het platform heeft ook de identiteit van de gecompromitteerde leverancier niet openbaar gemaakt, wat externe beveiligingsreviews van de aanvalsketen bemoeilijkt.
Het CFTC-onderzoek voegt een extra complexiteitslaag toe. Elke publieke verklaring over de hack kan raken aan lopende toezichtsprocedures. De verplaatsing van de gestolen fondsen naar Ethereum via een bridge maakt tracering in principe mogelijk, al zijn terugvorderingen bij frontend-leveranciersexploits zeldzaam zonder betrokkenheid van wetshandhavers.
Lees hierna: HIVE leende zojuist $115 miljoen tegen nul procent om tegen bitcoinmining in te zetten