Polymarket Kembali Dibobol, Kerugian Capai Jutaan Dolar untuk Kedua Kalinya dalam Empat Bulan

Polymarket kembali membuka perdagangan pada 29 Oktober setelah gangguan dari penyedia pihak ketiga yang diretas melumpuhkan pasar prediksi internasional tersebut. Insiden ini menjadi pelanggaran keamanan bernilai jutaan dolar kedua yang dialami Polymarket dalam empat bulan. Catatan resmi insiden Polymarket menempatkan awal pembatasan perdagangan pada pukul 18.05 UTC dan pemulihannya pada 19.05 UTC. Polymarket menyatakan masalah telah diperbaiki dan aparat penegak hukum telah diberi tahu. Polymarket juga berjanji memberi kompensasi penuh kepada pengguna yang terdampak. Bubblemaps, firma analitik blockchain, memperkirakan insiden 29 Oktober tersebut berdampak pada lebih dari 700 pengguna Polymarket dengan aset yang terekspos sekitar US$3,46 juta. Pelaku menukar sekitar US$2,7 juta menjadi token POL dan memindahkan dana itu keluar. Sebanyak US$750.000 lainnya masih berada di Polymarket saat penilaian dilakukan. Pada 25 Juni, Polymarket mengungkapkan bahwa vendor yang diretas memungkinkan penyuntikan skrip berbahaya. Polymarket menyebut dependensi yang terdampak telah dihapus dan menjanjikan pengembalian dana penuh. Source Defense melaporkan kerugian sekitar US$3 juta dari serangan Juni. Source Defense menelusuri jalur penyebarannya ke tag pemasaran yang mengambil pustaka identitas eksternal, yang kemudian diganti penyerang dengan drainer khusus untuk Polymarket. Peneliti Source Defense menyebut payload Juni menyasar dompet berisi lebih dari US$100.000 dan berulang kali meminta otorisasi digital. Otorisasi yang disetujui diteruskan melalui relayer Polymarket, yang mengirimkan tindakan bertanda tangan. Analisis Hudson Rock pada Oktober menguraikan kode yang diperoleh dari URL terkait DebugBear dan mencari klien perdagangan aktif serta penanda tangan dalam sesi yang sudah masuk. Penanda tangan adalah komponen yang meminta otorisasi kriptografis. Hudson Rock menemukan bahwa perilaku terprogram skrip tersebut berbeda menurut jenis akun. Satu cabang meminta transfer token posisi; cabang lain meminta penjualan lalu transfer hasilnya. Hudson Rock juga menemukan metadata build produksi yang mendokumentasikan penghapusan skrip pemantauan DebugBear. Namun, analisis statis Hudson Rock tidak membuktikan bahwa kode tersebut benar-benar dieksekusi, memperoleh tanda tangan secara diam-diam, atau mencuri kunci privat. Analisis itu juga tidak membangun jejak lengkap dari korban ke penerima. Metadata penghapusan tersebut tidak memastikan kapan tepatnya paparan pengguna berakhir. Dependensi pemasaran Juni dan skrip terkait pemantauan Oktober menyediakan jalur berbeda masuk ke antarmuka yang sensitif secara finansial. Mekanisme Juni dilaporkan bergantung pada otorisasi yang disetujui, sedangkan kode Oktober menyasar perangkat perdagangan dan meminta tanda tangan. Mengganti pemasok yang diretas saja tidak menyelesaikan masalah yang lebih luas: kode berbahaya yang mencapai fungsi finansial di dalam situs web. Rentetan insiden ini memunculkan pertanyaan tentang kewenangan finansial yang dapat diakses kode eksternal melalui peramban pedagang. Dokumentasi peramban MDN menyebut skrip pihak ketiga yang dimuat langsung ke dalam halaman dapat menjangkau skrip dan data lain di halaman tersebut. MDN menjelaskan bahwa menyimpan skrip di tempat lain tidak menghilangkan akses itu, sedangkan konten lintas asal dalam frame terpisah memiliki batas keamanan berbeda. Mengurangi kode eksternal, membatasi permintaan tanda tangan, dan memeriksa berkas yang diunduh menangani tahap berbeda dalam rantai serangan. Menghapus integrasi yang tidak perlu dari halaman perdagangan dan penandatanganan mengurangi kode luar yang diizinkan masuk ke lingkungan tersebut. Meninjau akses penanda tangan dan mengidentifikasi tindakan yang memerlukan konfirmasi pengguna baru membatasi permintaan yang dapat diajukan kode setelah memperoleh akses. Subresource Integrity memungkinkan peramban memeriksa skrip yang diunduh terhadap sidik jari kriptografis yang diharapkan dan menolak berkas yang diubah. Subresource Integrity juga dapat melindungi sumber daya yang dipin secara tepat di domain tepercaya. Postmortem terperinci yang mencakup periode paparan, akun terdampak, dan jalur otorisasi akan membantu menilai risiko yang tersisa. Apakah integrasi lain yang diretas dapat mengubah akses ke antarmuka perdagangan menjadi otorisasi finansial yang dapat digunakan, masih belum terjawab.