Polymarket a limité les opérations aux annulations de commandes et suspendu les actions des relayers suite à des signalements d'utilisateurs concernant des retraits non autorisés. Les utilisateurs ont signalé une possible compromission de l'interface frontend du marché de prédictions. Polymarket investigate un incident de sécurité. La page d'état de la plateforme indique une panne majeure affectant l'API de trading. Les traders peuvent annuler les commandes déjà passées, mais ne peuvent pas soumettre de nouvelles commandes. Les actions des relayers suspendues consistent à envoyer des transactions signées par les utilisateurs sur la blockchain.
Un trader connu sous le nom de CarOnPolymarket a déclaré que des retraits non autorisés lui avaient coûté 800 000 $. CarOnPolymarket a indiqué que d'autres comptes avaient été touchés et qu'un ami avait perdu environ 600 000 $. Le trader a exhorté les utilisateurs à sécuriser leurs comptes et à éviter d'interagir avec le site web.
Les données d'Arkham montrent environ 2,65 millions de dollars en POL dans le wallet 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, identifié comme appartenant à l'attaquant présumé. POL est le jeton natif de Polygon. Ce wallet a récemment reçu plusieurs conversions de USDC.e en POL via le service d'échange interchaîne Relay. USDC.e est une forme pontée du stablecoin USDC. Les transactions sont apparues il y a environ une heure. Aucune activité n'a été enregistrée dans ce wallet au cours des cinq dernières minutes.
Les chercheurs de Hudson Rock ont déclaré qu'un script servi via le service de surveillance des performances web DebugBear contient un code ciblant les sessions de trading des utilisateurs connectés. Hudson Rock a indiqué que ce code tente de vendre les positions des utilisateurs et de transférer les actifs résultants. Hudson Rock a précisé que le script désigne le wallet de l'attaquant présumé comme destinataire de secours codé en dur. Hudson Rock a également affirmé que le code du site de production de Polymarket documente la suppression du script. Hudson Rock n'a pas déterminé comment la compromission a commencé ni combien d'utilisateurs ont été affectés.
Polymarket n'a pas identifié la cause de l'incident. Une compromission de clé privée en mai a entraîné le retrait d'environ 700 000 $ d'un wallet interne de recharge. Une compromission d'un fournisseur tiers un mois plus tard a permis à des pirates d'insérer un code frontend malveillant et de voler environ 3 millions de dollars à moins de 15 comptes. Polymarket a promis des remboursements complets suite à cet incident.