Polymarket limitó las operaciones a cancelaciones de órdenes y suspendió las acciones del relayer tras informes de usuarios sobre retiros no autorizados. Los usuarios reportaron una posible vulneración del frontend del mercado de predicciones. Polymarket está investigando un incidente de seguridad. La página de estado de la plataforma enumera una interrupción importante que afecta la API de trading. Los operadores pueden cancelar órdenes ya colocadas, pero no pueden enviar nuevas órdenes. Las acciones suspendidas del relayer envían transacciones firmadas por los usuarios a la cadena de bloques.
Un trader conocido como CarOnPolymarket dijo que retiros no autorizados le costaron al trader $800,000. CarOnPolymarket dijo que otras cuentas también se vieron afectadas y que un amigo había perdido alrededor de $600,000. El trader instó a los usuarios a asegurar sus cuentas y evitar interactuar con el sitio web.
Los datos de Arkham muestran aproximadamente $2.65 millones en POL en el monedero 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, identificado como perteneciente al supuesto atacante. POL es el token nativo de Polygon. El monedero recibió recientemente múltiples conversiones de USDC.e a POL a través del servicio de intercambio entre cadenas Relay. USDC.e es una forma puente del stablecoin USDC. Las transacciones aparecieron por primera vez hace aproximadamente una hora. El monedero no registró actividad durante los últimos cinco minutos.
Los investigadores de Hudson Rock dijeron que un script servido a través del servicio de monitoreo de rendimiento web DebugBear contiene código dirigido a las sesiones de trading de usuarios conectados. Hudson Rock indicó que el código intenta vender las posiciones de los usuarios y transferir los activos resultantes. Hudson Rock señaló que el script especifica el monedero del supuesto atacante como destinatario de respaldo codificado permanentemente. Hudson Rock también dijo que el código del sitio web de producción de Polymarket documenta la eliminación del script. Hudson Rock no ha determinado cómo comenzó la vulnerabilidad ni cuántos usuarios fueron afectados.
Polymarket no ha identificado la causa del incidente. Una vulneración de la clave privada en mayo resultó en el vaciamiento de aproximadamente $700,000 de un monedero interno de recarga. Una vulneración de un proveedor externo un mes después permitió a los hackers insertar código frontend malicioso y robar aproximadamente $3 millones de menos de 15 cuentas. Polymarket se comprometió a reembolsar íntegramente tras ese incidente.