Polymarket, platform pasar prediksi berbasis kripto, menghentikan sementara perdagangan pada 29 Oktober 2026 setelah skrip JavaScript berbahaya berjalan di Polymarket.com. Skrip itu disajikan dari infrastruktur DebugBear, layanan pemantau kinerja situs yang dipakai Polymarket. Polymarket menyatakan sebuah penyedia pihak ketiga diretas dan kasusnya sudah diserahkan ke penegak hukum.
Skrip yang membajak sesi pengguna
BleepingComputer melaporkan bahwa skrip itu dirancang untuk membajak sesi perdagangan pengguna yang sedang login, menjual posisi mereka, lalu memindahkan aset ke dompet milik penyerang. Menurut Cyber Kendra, kontrak pintar Polymarket tidak disentuh. Skrip hanya memakai izin yang sudah dimiliki peramban korban. Peneliti Hudson Rock mengidentifikasi skrip tersebut dan menautkannya ke dompet yang diduga milik penyerang.
Sekitar 2,5 juta dolar AS aset terlacak ke dompet itu, tetapi angka tersebut belum tentu total kerugian. Polymarket belum menyebut berapa akun yang terdampak. Seorang trader yang dikutip Cyber Kendra mengaku kehilangan sekitar 800.000 dolar, klaim yang belum diverifikasi pihak lain. Polymarket sempat memasang mode pembatalan order saja, lalu membuka kembali perdagangan sekitar satu jam kemudian dan menyatakan semua pengguna terdampak akan diganti. Cara dan jadwal penggantian belum dijelaskan.
DebugBear mengonfirmasi terdampak insiden keamanan yang masih berjalan dan meminta pelanggan produk pemantauan pengguna nyata (real user monitoring) menghapus kode sematan DebugBear dari situs mereka. Perusahaan itu belum menjelaskan bagaimana mereka diretas, sejak kapan, dan apakah pelanggan lain ikut menerima kode berbahaya. Decrypt mencatat kasus serupa sebelumnya: vendor pihak ketiga yang dibobol pernah dipakai menyuntikkan kode antarmuka berbahaya ke Polymarket dan menguras sekitar 3 juta dolar dari kurang dari 15 akun.
Langkah yang perlu diambil
Pengguna Polymarket sebaiknya mengikuti saran Hudson Rock berikut:
- Tolak permintaan tanda tangan atau persetujuan yang tidak terduga.
- Tutup tab Polymarket yang masih terbuka sejak 29 Oktober.
- Periksa riwayat order dan aktivitas dompet lewat sesi baru atau PolygonScan, lalu tinjau sesi aktif dan kredensial API.
- Abaikan pesan yang menawarkan “pemulihan” dana, karena penipu biasanya muncul setelah insiden seperti ini.
Operator situs yang memakai DebugBear perlu mengikuti imbauan vendor dan mencabut sematannya sampai penyelidikan selesai. Lebih luas lagi, daftar semua skrip pihak ketiga yang berjalan di halaman login atau transaksi layak ditinjau ulang, karena satu vendor yang diretas sudah cukup untuk menjalankan kode di peramban pengguna Anda. Insiden ini muncul di pekan yang sama dengan penyelidikan dugaan peretasan hot wallet Binance, tetapi keduanya belum terbukti berkaitan.
Sumber: BleepingComputer, Cyber Kendra, dan Decrypt. Gambar: BleepingComputer.