29 Oktober 2026, situs Polymarket menyajikan kode yang bukan miliknya. Skrip pemantau kecepatan dari DebugBear, yang dimuat halaman Polymarket untuk mengukur seberapa cepat halaman terbuka bagi pengunjung, sudah diganti kode jahat. Dalam waktu kurang dari satu jam, sekitar $2,64 juta dalam bentuk kripto sampai ke dompet penyerang. Total kerugiannya sekitar $2,7 juta, menimpa 726 dompet.
Yang membuat insiden ini beda dari hack Binance dan b14g minggu yang sama: penyerang tidak membobol brankas Polymarket. Mereka membajak jalur pasokan skrip. Menurut DebugBear, catatan DNS-nya dikompromikan lewat registrar domainnya, dan serangan itu menargetkan situs satu pelanggan. Pagi harinya skrip normal masih disajikan dari Google Cloud Storage; pada 18.13 UTC, server lain sudah menjawab untuk alamat web DebugBear. Yang diganti hanya salinan milik Polymarket, karena tiap pelanggan memuat salinannya sendiri.
Bagaimana kode itu mengambil uang
Peneliti Hudson Rock membedah berkas jahat itu tanpa menjalankannya. Kode itu memakai kembali akses yang sudah dimiliki trader yang sedang login di halaman Polymarket yang terbuka. Ia membaca detail akun yang disimpan Polymarket di browser, termasuk serangkaian kunci API trading. Kunci itu saja tidak cukup untuk menaruh order, karena order juga butuh tanda tangan dompet.
Jadi kode itu mencari bagian situs Polymarket yang menaruh order, dan penanda tangan (signer) yang menyetujui transaksi akun. Lalu ia meminta signer milik akun itu sendiri untuk menandatangani permintaannya, dan menyerahkannya ke relayer Polymarket untuk dieksekusi. Untuk akun yang login dengan dompet crypto sendiri, posisi dipindahkan langsung ke dompet penyerang. Untuk akun yang login lewat email, posisi dijual dengan harga yang makin buruk, lalu dananya dipindahkan. Dompet yang tertulis di kode itu menerima dana pertama pukul 17.10 UTC dan terakhir 18.02 UTC, total 28,6 juta token POL dari 33 dompet, senilai sekitar $2,64 juta pada 18.19 UTC menurut harga DefiLlama $0,0922. Angka itu hanya menghitung POL, bukan posisi yang ikut dipindahkan.
Satu nuansa penting dari Hudson Rock: permintaan tanda tangan saja tidak membuktikan trader menandatangani tanpa melihat prompt. Penyedia dompet masih bisa meminta konfirmasi, menolak, atau menerapkan aturannya sendiri untuk sesi itu. Jadi jangan baca insiden ini sebagai "dompet membocorkan seed phrase". Tidak ada bagian kode yang mengirim kunci, kata sandi, seed phrase, atau private key ke server penyerang, menurut Hudson Rock.
Respons dan pengembalian dana
Polymarket memposting pembaruan status pertama soal aktivitas tanpa izin di dompet pengguna pukul 17.38 UTC. Pukul 18.05 UTC, bursanya masuk mode cancel-only dan relayer dijeda. Perusahaan itu bilang skripnya dicabut "dalam waktu satu jam", semua cache dibersihkan, semua sesi login aktif direset, dan perdagangan dijeda sampai situs bersih. Kasusnya dirujuk ke penegak hukum.
Sampai 30 Oktober, 689 dari 726 dompet terdampak sudah dikembalikan penuh, dan 37 sisanya dibayar begitu masing-masing terverifikasi. Polymarket juga membayar $1,19 juta ke sekitar 5.500 dompet yang rugi karena jeda perdagangan atau posisinya diambil. Total yang dikembalikan: $3,9 juta. Trader tidak perlu mengajukan klaim; halaman status Polymarket menautkan formulir bagi yang merasa jumlahnya salah atau seharusnya menerima pembayaran.
Yang berubah sesudahnya, dan pelajaran buat trader
Polymarket bilang skrip pihak ketiga akan dikembalikan dengan pemeriksaan ekstra: kebijakan keamanan konten (CSP) yang lebih kuat, versi yang dipin, dan sandboxing. DebugBear meminta pelanggan produk RUM-nya mencabut kode embed-nya, dan pada 1 November alamat yang menyajikan berkas jahat itu sudah tidak punya catatan DNS.
Saran Hudson Rock buat situs: jangan taruh kode pihak ketiga yang tidak perlu di halaman tempat pengguna trading atau menandatangani, dan kalau berkas bisa dipin, pakai Subresource Integrity agar browser menolak berkas yang isinya berubah. Saran buat trader lebih pendek: tolak permintaan tanda tangan yang tidak kamu harapkan. Pelajaran yang sama berlaku di testnet maupun mainnet, dan kami menambahkan catatan soal ini ke panduan testnet kami. Pola minggu ini juga konsisten dengan hack b14g: halaman refund dan klaim palsu bermunculan dalam hitungan jam, jadi klaim apa pun di luar kanal resmi Polymarket patut dicurigai, selengkapnya di artikel b14g kami.
Sumber: The Hacker News (1 Nov 2026), Stocktwits/TradingView (1 Nov 2026), hacks.gr (1 Nov 2026), Newisty (1 Nov 2026). Angka adalah potret saat penulisan, 2 November 2026 dini hari WIB, dan bisa berubah.
Nulis soal crypto dan Super Intelligence: kabar pasar, proyek baru, model Super Intelligence, dan peluang awal kayak airdrop dan testnet. Semua tulisan berangkat dari pengumuman resmi, dan biayanya selalu kami hitung di depan.