Polymarket Diretas Lewat Script Pihak Ketiga, US$2,7 Juta Aset Kripto Dicuri dan Trading Sempat Dihentikan
Platform pasar prediksi berbasis cryptocurrency Polymarket mengalami insiden keamanan setelah penyerang berhasil menyusupkan JavaScript berbahaya melalui layanan monitoring website pihak ketiga. Serangan tersebut menyebabkan pencurian aset kripto senilai sekitar US$2,7 juta dari wallet pengguna.
Insiden yang terjadi pada 29 Oktober 2026 itu memaksa Polymarket menghentikan aktivitas perdagangan untuk sementara waktu guna mencegah pencurian lebih lanjut.
Perusahaan mengonfirmasi bahwa gangguan berasal dari penyedia layanan eksternal yang telah dikompromikan. Berdasarkan investigasi peneliti keamanan, layanan yang terdampak adalah DebugBear, penyedia solusi pemantauan performa website.
Script berbahaya yang disisipkan melalui layanan tersebut memungkinkan penyerang memanfaatkan sesi login pengguna, menjual posisi perdagangan tanpa izin, dan memindahkan aset cryptocurrency menuju wallet yang mereka kendalikan.
Dalam pembaruan resmi pada 30 Oktober 2026, Polymarket menyatakan akan mengembalikan total US$3,9 juta kepada pengguna, termasuk dana yang dicuri serta kompensasi kerugian akibat penghentian perdagangan.
Serangan Berasal dari Layanan Monitoring DebugBear
Berdasarkan hasil investigasi, penyerang memanfaatkan JavaScript yang disediakan melalui layanan Real User Monitoring (RUM) milik DebugBear.
Layanan tersebut biasanya digunakan untuk mengukur performa website, termasuk kecepatan pemuatan halaman dan pengalaman pengguna.
Untuk menjalankan fungsinya, JavaScript monitoring dimuat secara otomatis ketika pengunjung membuka website yang menggunakan layanan tersebut.
Namun, dalam kasus Polymarket, penyerang berhasil mengganti script tersebut dengan kode berbahaya yang dirancang khusus untuk mencuri aset pengguna.
Peneliti keamanan Hudson Rock mengidentifikasi kode mencurigakan yang sebelumnya didistribusikan melalui infrastruktur CDN DebugBear.
Script tersebut tidak menjalankan fungsi monitoring seperti seharusnya, melainkan mencari informasi sesi perdagangan pengguna yang sedang aktif.
DebugBear kemudian mengonfirmasi bahwa pihaknya mengalami insiden keamanan dan meminta pelanggan yang menggunakan produk RUM untuk menghapus sementara kode monitoring dari website mereka.
Insiden ini merupakan contoh software supply chain attack, ketika penyerang menyusupi layanan pihak ketiga yang dipercaya untuk menyerang pengguna dari aplikasi utama.
JavaScript Berbahaya Membajak Sesi Trading Pengguna
Analisis teknis menunjukkan bahwa malware dirancang untuk mencari pengguna yang telah login ke Polymarket.
Setelah menemukan sesi aktif, script mencoba mengakses fungsi perdagangan yang tersedia di dalam aplikasi web.
Melalui mekanisme tersebut, penyerang dapat memeriksa saldo cryptocurrency, mengidentifikasi posisi perdagangan, serta menentukan aset yang dapat dipindahkan.
Malware kemudian mencoba menjalankan transaksi tidak sah menggunakan sesi autentikasi yang telah tersedia.
Bergantung pada jenis wallet dan metode autentikasi pengguna, terdapat dua pendekatan utama yang digunakan.
Pada sebagian akun, script mencoba menjual posisi prediction market secara otomatis sebelum memindahkan hasil penjualan.
Pada akun lainnya, malware berupaya mentransfer token posisi perdagangan secara langsung menuju wallet penyerang.
Script juga menggunakan mekanisme transaksi yang telah tersedia dalam platform sehingga aktivitas berbahaya dapat berlangsung tanpa harus mengeksploitasi smart contract secara langsung.
Menurut Hudson Rock, kode tersebut turut mengumpulkan informasi wallet, saldo, serta hasil percobaan transaksi.
Informasi yang dikumpulkan kemudian dikirimkan melalui infrastruktur yang menggunakan domain DebugBear.
Peneliti Lacak Transfer Aset Senilai Lebih dari US$2,5 Juta
Dalam investigasi awal, peneliti mengidentifikasi sebuah alamat wallet pada jaringan Polygon yang tertanam dalam JavaScript berbahaya.
Alamat tersebut diduga digunakan sebagai tujuan pemindahan aset dari akun korban.
Analisis blockchain menemukan transaksi sekitar 28,6 juta token POL dengan nilai sekitar US$2,57 juta yang dikirimkan menuju tiga wallet lainnya.
Sementara itu, Hudson Rock mengidentifikasi saldo sekitar US$2,19 juta pada alamat yang berkaitan dengan script berbahaya ketika penelitian dilakukan.
Namun, saldo wallet tidak selalu sama dengan jumlah kerugian yang dapat dikaitkan secara langsung dengan serangan.
Untuk memastikan nilai kerugian, peneliti harus menelusuri setiap transaksi dan menghubungkannya dengan aktivitas pencurian yang telah terjadi.
Dalam pembaruan berikutnya, Polymarket mengonfirmasi bahwa sekitar US$2,7 juta aset pengguna terdampak pencurian.
Angka resmi tersebut lebih tinggi dibandingkan estimasi awal dari sebagian analisis blockchain.
Polymarket Hentikan Trading Selama Sekitar Satu Jam
Ketika aktivitas mencurigakan terdeteksi pada 29 Oktober 2026, Polymarket segera mengambil tindakan untuk membatasi dampak serangan.
Pada pukul 14.05 waktu Eastern Time Amerika Serikat, platform diubah menjadi mode cancel-only.
Dalam mode tersebut, pengguna dapat membatalkan order yang sudah ada, tetapi tidak dapat membuat transaksi baru.
Polymarket juga menghentikan sementara aktivitas relayer yang digunakan untuk memproses transaksi tertentu.
Sekitar 32 menit kemudian, perusahaan mengumumkan bahwa sumber masalah telah diidentifikasi dan diperbaiki.
Perdagangan kembali beroperasi setelah sekitar satu jam, dengan insiden dinyatakan selesai pada pukul 15.05 waktu setempat.
Polymarket menyatakan bahwa pihaknya telah menghapus script pihak ketiga yang terkompromi dan membersihkan cache terkait.
Perusahaan juga melakukan reset terhadap seluruh sesi login aktif sebagai langkah pencegahan.
Selain itu, kasus tersebut telah dilaporkan kepada aparat penegak hukum untuk penyelidikan lebih lanjut.
Polymarket Siapkan Penggantian Dana US$3,9 Juta
Dalam laporan lanjutan yang dipublikasikan pada 30 Oktober 2026, Polymarket memberikan penjelasan mengenai proses kompensasi kepada pengguna.
Perusahaan mengalokasikan total US$3,9 juta untuk mengganti kerugian yang berkaitan dengan insiden tersebut.
Rinciannya meliputi:
| Jenis Kompensasi | Nilai |
|---|---|
| Penggantian aset yang dicuri | US$2,7 juta |
| Kompensasi kerugian perdagangan | US$1,2 juta |
| Total | US$3,9 juta |
Kompensasi tambahan diberikan kepada pengguna yang posisinya dijual secara paksa oleh script berbahaya maupun mereka yang mengalami kerugian akibat penghentian trading.
Menurut Polymarket, sekitar 95% wallet yang terdampak telah menerima penggantian penuh pada saat pembaruan diterbitkan.
Perusahaan menggunakan data transaksi blockchain dan riwayat perdagangan untuk mengidentifikasi wallet yang berhak menerima kompensasi.
Pengguna tidak diwajibkan mengajukan klaim secara manual untuk memperoleh penggantian yang telah teridentifikasi.
Polymarket juga berencana memperkuat perlindungan terhadap script pihak ketiga melalui mekanisme integritas tambahan, kebijakan Content Security Policy (CSP) yang lebih ketat, serta pemantauan berkelanjutan.
Insiden Polymarket Tunjukkan Risiko Script Pihak Ketiga
Kasus ini memperlihatkan bagaimana sebuah layanan monitoring website dapat berubah menjadi jalur serangan ketika infrastruktur penyedianya berhasil dikompromikan.
Meskipun DebugBear pada dasarnya menyediakan layanan pengukuran performa, JavaScript yang dimuat melalui infrastrukturnya memiliki kemampuan untuk berjalan di dalam browser pengguna.
Jika script tersebut diganti dengan kode berbahaya, penyerang dapat mencoba mengakses informasi dan fungsi aplikasi yang tersedia dalam sesi pengguna.
Risiko menjadi semakin serius pada platform finansial dan cryptocurrency karena script dapat berinteraksi dengan mekanisme transaksi serta wallet yang telah terhubung.
Bagi pengelola website, insiden ini menegaskan pentingnya membatasi akses script eksternal, menerapkan mekanisme validasi integritas, serta memantau perubahan pada komponen pihak ketiga.
Serangan terhadap Polymarket menunjukkan bahwa keamanan aplikasi tidak hanya ditentukan oleh kode yang dikembangkan sendiri, tetapi juga oleh seluruh layanan eksternal yang dipercaya untuk berjalan di dalam website.
Dengan kerugian langsung sekitar US$2,7 juta dan total kompensasi mencapai US$3,9 juta, insiden ini menjadi contoh dampak finansial besar yang dapat ditimbulkan oleh kompromi JavaScript pihak ketiga.
Sumber: Polymarket — Security Incident: Third-Party Vendor Compromised
