Polymarket menghentikan perdagangan di seluruh bursa internasionalnya pada Kamis setelah para penyerang mengubah kode milik vendor pihak ketiga tepercaya menjadi alat yang menguras dana langsung dari akun pengguna yang sedang login, dengan satu dompet yang diduga milik penyerang menyedot lebih dari $2,5 juta. Perusahaan di balik bursa pasar prediksi terbesar di dunia, tempat para trader membeli dan menjual kontrak atas hasil pemilu, olahraga, dan berita, menyatakan telah menemukan dan mengatasi masalah tersebut, menyerahkan kasusnya kepada penegak hukum Inggris, serta menjanjikan bahwa siapa pun yang kehilangan dana akan "mendapat ganti rugi penuh."
Gangguan ini menimpa Polymarket.com, venue internasional (non-AS) yang digunakan para trader di luar Amerika Serikat, dan membuat bursa masuk ke mode cancel-only (hanya pembatalan) dengan relayer otomatisnya dinonaktifkan selama sekitar satu jam. Ini adalah kali ketiga pada 2026 penyerang berhasil menjangkau pengguna Polymarket melalui vendor atau kunci yang disusupi, dan yang kedua tahun ini yang melewati kode yang berjalan di dalam situs web itu sendiri.
Skrip pemantau yang berubah menjadi penguras dana
Titik lemahnya bukan server milik Polymarket sendiri atau blockchain tempat dananya berada, melainkan DebugBear, perusahaan yang berbasis di Inggris yang dibayar Polymarket untuk memantau seberapa cepat situs webnya dimuat dan berjalan. Seperti banyak layanan pemantau kinerja, DebugBear bekerja dengan menyematkan skrip kecil ke halaman yang dimuat pengunjung, yang memberi skrip itu posisi tepercaya di dalam situs.
DebugBear mengonfirmasi di X bahwa pihaknya "terdampak oleh insiden keamanan yang sedang berlangsung" dan meminta kliennya untuk menghapus kode sematannya dari halaman mereka. Polymarket menyatakan bahwa celah keamanan itu berada di penyedia pihak ketiga tersebut, bukan di platformnya sendiri, dan menyerahkan masalah ini kepada penegak hukum di Inggris, tempat DebugBear berkantor pusat.
Para peneliti di Hudson Rock, perusahaan keamanan siber yang memeriksa kode yang dimanipulasi itu, menyatakan bahwa skrip yang disajikan DebugBear telah ditulis ulang untuk melakukan sesuatu yang tak seharusnya dilakukan sebuah alat pemantau: menemukan sesi perdagangan aktif pengguna yang sedang login, melikuidasi semua posisi yang dimiliki akun tersebut, lalu menyapu hasilnya ke dompet tujuan yang ditulis langsung di dalam skrip sebagai alamat cadangan. Perusahaan itu menyatakan belum mengetahui apa yang memicu skrip tersebut aktif pada pengguna tertentu, atau berapa banyak orang yang terkena.
Melacak aliran dana di blockchain
Karena setiap transfer tercatat di buku besar publik, dampaknya bisa dilihat dengan cara yang tak mungkin pada sebagian besar peretasan. Analisis atas satu dompet yang diduga milik penyerang mencatat lebih dari $2,5 juta ditarik lewat lebih dari 900 transaksi terpisah, ciri khas sebuah skrip yang aktif berulang kali setiap kali akun-akun berbeda memuat halaman yang telah diracuni.
Dompet tersebut, 0x3f99...fc18, kini menyimpan sekitar $2,65 juta dalam bentuk POL, token asli Polygon, jaringan tempat Polymarket beroperasi, menurut data dari Arkham, platform analitik blockchain. Kedua angka ini bukan ukuran yang sama dan tidak boleh dijumlahkan: yang satu adalah jumlah kotor yang disapu keluar dari akun-akun, yang lain adalah jumlah yang kini tersimpan di dompet itu setelah dana curian dikonversi menjadi POL.
Para trader yang terjebak di dalamnya
Bagi orang-orang yang menjadi korban, angka-angka itu bukan hal abstrak. Seorang trader yang memposting dengan nama CarOnPolymarket menulis di X bahwa $800.000 telah diambil dari akunnya dan bahwa seorang temannya kehilangan sekitar $600.000. Klaim-klaim itu berasal dari trader tersebut sendiri dan belum dikonfirmasi secara independen, serta terpisah dari total dompet, bukan bagian darinya.
Pengakuan Hudson Rock bahwa pihaknya belum bisa menghitung jumlah korban menjadi penting di sini: penguras dana itu tak membutuhkan pengguna untuk menyetujui apa pun atau mengeklik tautan berbahaya. Jika skrip itu berjalan di dalam sesi yang sudah mereka buka dan percayai, dana bisa raib sementara halaman masih tampak normal.
Janji Polymarket, dan apa yang tak disebutkannya
Pesan publik Polymarket soal uang tak ambigu: "Kami akan membereskan ini dan mengganti sepenuhnya semua trader yang terdampak," dan, secara terpisah, bahwa "siapa pun yang terdampak akan mendapat ganti rugi penuh." Perusahaan menyatakan perdagangan akan kembali sekitar pukul 15.00 ET pada hari yang sama, setelah masalah berhasil dikendalikan.
Perusahaan bersikap lebih hati-hati soal kerugian itu sendiri. Mereka menyebut telah menemukan dan mengatasi "sebuah masalah", namun tidak menegaskan dengan kata-katanya sendiri bahwa pengguna kehilangan uang, kendati para trader dan analisis on-chain menggambarkan akun bernilai ratusan ribu dolar terkuras secara real time. Mekanisme pengembalian dana pun tidak dirinci dalam pernyataan tersebut. Ketentuan yang beredar, yang belum pernah dipublikasikan sendiri oleh Polymarket, menempatkan garis Limit di angka USD 10.000: kerugian di bawah itu dipulihkan paling lambat Jumat, sedangkan klaim yang lebih besar mengharuskan penandatanganan formulir pelepasan tuntutan. Sampai perusahaan mengonfirmasinya, ambang Limit itu sebaiknya dianggap belum pasti.
Pengurasan ketiga sepanjang 2026
Ini bukan yang pertama bagi Polymarket tahun ini. Sekitar Mei, dana senilai kurang lebih USD 700.000 terkuras dari dompet top-up internal setelah sebuah private key disusupi. Sekitar Juni, penyerang memanfaatkan vendor pihak ketiga yang telah dikompromikan untuk menyuntikkan kode front-end berbahaya dan menyikat hampir USD 3 juta, meski dari kurang dari 15 akun, dan Polymarket juga berjanji mengembalikan dana sepenuhnya waktu itu.
Benang merahnya ada di front-end. Desain Polymarket bersifat non-kustodial, artinya dana pengguna berada di dompet yang dikendalikan sendiri oleh pengguna dan bukan di rekening perusahaan, yang semestinya membuat pembobolan server jauh kurang berbahaya. Namun halaman yang menjangkau dompet itu untuk menempatkan dan menyelesaikan transaksi dirakit dari kode yang ditulis perusahaan lain, dan pada 2026 pasokan kode dari luar itulah yang berulang kali menjadi celah masuk.
Mengapa ini penting bagi trader di sini
Bursa yang tumbang itu adalah yang paling relevan secara lokal: trader Israel menggunakan Polymarket.com, arena internasional, bukan unit AS yang terpisah. Pembobolan ini juga datang pada saat yang canggung bagi reputasi platform di mata audiens tersebut. Peristiwa ini terjadi hanya beberapa hari setelah Polymarket membuka penyelidikan dugaan insider-trading atas posisi mencurigakan yang diambil dalam pemilu Israel pekan ini, pertanyaan seputar hasil Netanyahu dan Likud yang sebelumnya sudah menyeret integritas platform ini ke dalam perbincangan lokal.
Pengembalian dana bisa memulihkan kerugian trader, tetapi sama sekali tidak menutup pintu yang dilalui para penyerang. Solusi yang ditempuh Polymarket dan DebugBear (perusahaan pemantau kinerja situs) bersifat kasar: mencabut skrip pemantauan itu dari halaman. Langkah itu memulihkan akun dan menghentikan penguras ini, namun menyisakan kenyataan besar sepanjang 2026, yaitu bahwa bagian teraman dari Polymarket adalah dompet yang Anda kendalikan sendiri, dan bagian paling berbahaya adalah kode yang dibiarkan perusahaan dimuat oleh pihak lain di sampingnya.
