Polymarket ha sospeso le negoziazioni sul suo exchange internazionale giovedì, dopo che alcuni aggressori hanno trasformato il codice di un fornitore esterno fidato in uno strumento capace di prelevare denaro direttamente dai conti degli utenti con la sessione aperta: un singolo wallet riconducibile all'attacco ha sottratto oltre 2,5 milioni di dollari. La società che gestisce il più grande exchange di mercati di previsione al mondo, dove i trader comprano e vendono contratti sugli esiti di elezioni, sport e attualità, ha dichiarato di aver individuato e risolto il problema, di aver affidato il caso alle autorità britanniche e che chiunque abbia subito perdite verrà "risarcito integralmente".
Il disservizio ha colpito Polymarket.com, la piazza internazionale (non statunitense) usata dai trader al di fuori degli Stati Uniti, portando l'exchange in modalità di sola cancellazione, con il relayer automatico sospeso per circa un'ora. È la terza volta nel 2026 che degli aggressori raggiungono gli utenti di Polymarket attraverso un fornitore o una chiave compromessi, e la seconda volta quest'anno che l'attacco passa per codice eseguito all'interno del sito stesso.
Uno script di monitoraggio diventato un drainer
Il punto debole non erano i server di Polymarket né la blockchain su cui risiede il denaro. Era DebugBear, una società britannica che Polymarket pagava per misurare la velocità di caricamento e di esecuzione del proprio sito. Come molti strumenti di monitoraggio delle performance, DebugBear funziona inserendo un piccolo script nelle pagine caricate dal visitatore, il che garantisce a quello script una posizione privilegiata e fidata all'interno del sito.
DebugBear ha confermato su X di essere stata "colpita da un incidente di sicurezza in corso" e ha chiesto ai propri clienti di rimuovere il codice di embed dalle loro pagine. Polymarket ha spiegato che la vulnerabilità era a carico di quel fornitore esterno e non della propria piattaforma, trasmettendo il caso alle autorità britanniche, Paese in cui DebugBear ha sede.
I ricercatori di Hudson Rock, società di cybersicurezza che ha esaminato il codice manomesso, hanno riferito che lo script distribuito da DebugBear era stato riscritto per fare qualcosa che uno strumento di monitoraggio non dovrebbe mai fare: individuare la sessione di trading attiva di un utente autenticato, liquidare tutte le posizioni detenute dal conto e convogliare il ricavato verso un wallet di destinazione scritto direttamente nello script come indirizzo di riserva. La società ha precisato di non sapere ancora cosa attivasse lo script per un dato utente, né quante persone siano state coinvolte.
Seguire il denaro on-chain
Poiché ogni trasferimento finisce su un registro pubblico, le conseguenze sono visibili come raramente accade nelle violazioni. L'analisi di un wallet riconducibile all'attacco ha contato oltre 2,5 milioni di dollari prelevati in più di 900 transazioni separate: la firma di uno script che si attivava ripetutamente man mano che conti diversi caricavano la pagina avvelenata.
Quel wallet, 0x3f99...fc18, detiene ora circa 2,65 milioni di dollari in POL, il token nativo di Polygon, la rete su cui opera Polymarket, secondo i dati di Arkham, piattaforma di analisi blockchain. Le due cifre non misurano la stessa cosa e non vanno sommate: una è l'importo lordo sottratto ai conti, l'altra è quanto il wallet detiene adesso dopo la conversione dei fondi rubati in POL.
I trader coinvolti
Per chi si trova dall'altra parte, i numeri non sono astratti. Un trader che pubblica con il nome CarOnPolymarket ha scritto su X che dal suo conto erano stati prelevati 800.000 dollari e che un amico aveva perso circa 600.000 dollari. Si tratta di affermazioni dello stesso trader, non verificate in modo indipendente, e sono distinte dai totali del wallet, non ne fanno parte.
L'ammissione di Hudson Rock di non poter ancora contare le vittime è rilevante: il drainer non aveva bisogno che gli utenti approvassero alcunché o cliccassero su un link malevolo. Se lo script girava all'interno di una sessione che avevano già aperto e di cui si fidavano, il denaro poteva uscire mentre la pagina appariva ancora del tutto normale.
L'impegno di Polymarket, e ciò che ha omesso
Il messaggio pubblico di Polymarket è stato inequivocabile sul piano economico: "Sistemeremo le cose e rimborseremo integralmente tutti i trader coinvolti" e, separatamente, che "chiunque sia stato colpito verrà risarcito integralmente". La società ha annunciato che le negoziazioni sarebbero riprese intorno alle 15 ET dello stesso giorno, una volta circoscritto il problema.
Sul danno effettivo il linguaggio dell'azienda è stato più prudente. Ha parlato di aver individuato e risolto "un problema", senza confermare con parole proprie che gli utenti avessero perso denaro, mentre trader e analisi on-chain descrivevano in tempo reale conti a sei cifre svuotati. Nemmeno le modalità del rimborso sono state precisate in quella nota. I termini riferiti, che Polymarket non ha pubblicato direttamente, fisserebbero la soglia di demarcazione a 10.000 USD: le perdite inferiori rimborsate entro venerdì, le richieste più alte subordinate alla firma di una liberatoria. Finché l'azienda non lo conferma, quella soglia va considerata non confermata.
Il terzo prosciugamento del 2026
Non è una prima volta per Polymarket quest'anno. Intorno a maggio, circa 700.000 USD sono stati sottratti da un wallet interno di ricarica dopo la compromissione di una chiave privata. Intorno a giugno, alcuni aggressori hanno sfruttato un fornitore terzo compromesso per iniettare codice malevolo nel front-end, portando via quasi 3 milioni di USD, pur da meno di 15 conti, e anche in quell'occasione Polymarket promise il rimborso integrale.
Il filo conduttore è il front-end. L'architettura di Polymarket è non-custodial: i fondi di un utente restano in un wallet che l'utente stesso controlla, non in un conto aziendale, il che dovrebbe rendere molto meno pericolosa una violazione dei server. Ma la pagina che raggiunge quel wallet per piazzare e risolvere le operazioni è assemblata con codice scritto da altre aziende, e nel 2026 proprio questa fornitura di codice esterno è stata la via d'accesso ricorrente.
Perché conta per i trader qui
La piattaforma rimasta al buio è quella che conta a livello locale: i trader israeliani usano Polymarket.com, la sede internazionale, non il distinto ramo statunitense. La violazione arriva anche in un momento delicato per la reputazione della piattaforma presso quel pubblico. Cade appena pochi giorni dopo l'apertura, da parte di Polymarket, di un'indagine per insider trading su posizioni sospette assunte sulle elezioni israeliane di questa settimana: interrogativi su Netanyahu e sugli esiti del Likud che avevano già portato il tema dell'integrità della piattaforma nel dibattito locale.
Un rimborso può reintegrare un trader, ma non chiude affatto la porta da cui sono entrati gli aggressori. La correzione a cui Polymarket e DebugBear (società specializzata nel monitoraggio delle prestazioni dei siti) hanno fatto ricorso è stata netta: strappare via dalla pagina lo script di monitoraggio. Questo ripristina i conti e ferma questo specifico drainer, ma lascia in piedi il dato più grande del 2026, ovvero che la parte più sicura di Polymarket è il wallet che controlli tu, e la più pericolosa è il codice che l'azienda lascia caricare ad altri accanto a esso.
