Polymarket membatasi perdagangan hanya pada pembatalan pesanan dan menangguhkan tindakan relayer menyusul laporan pengguna tentang penarikan tidak sah. Pengguna melaporkan kemungkinan kompromi pada frontend pasar prediksi. Polymarket sedang menyelidiki insiden keamanan. Halaman status platform mencantumkan gangguan besar yang memengaruhi API perdagangan. Pedagang dapat membatalkan pesanan yang sudah ditempatkan, tetapi tidak dapat mengirim pesanan baru. Tindakan relayer yang ditangguhkan mengirim transaksi yang ditandatangani oleh pengguna ke blockchain.
Seorang trader yang dikenal sebagai CarOnPolymarket mengatakan bahwa penarikan tidak sah telah merugikan trader sebesar $800.000. CarOnPolymarket mengatakan akun lain juga terdampak dan seorang teman kehilangan sekitar $600.000. Trader tersebut mendesak pengguna untuk mengamankan akun dan menghindari berinteraksi dengan situs web tersebut.
Data Arkham menunjukkan sekitar $2,65 juta POL di dompet 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, yang diidentifikasi milik tersangka pelaku. POL adalah token asli Polygon. Dompet ini baru saja menerima beberapa konversi USDC.e menjadi POL melalui layanan pertukaran lintas rantai Relay. USDC.e adalah bentuk terjembatani dari stablecoin USDC. Transaksi pertama kali muncul sekitar satu jam lalu. Dompet ini tidak mencatat aktivitas selama lima menit terakhir.
Peneliti Hudson Rock mengatakan sebuah skrip yang disajikan melalui layanan pemantauan kinerja web DebugBear berisi kode yang menargetkan sesi perdagangan pengguna yang masuk. Hudson Rock mengatakan kode tersebut mencoba menjual posisi pengguna dan mentransfer aset yang dihasilkan. Hudson Rock mengatakan skrip tersebut menentukan dompet pelaku serangan yang diduga sebagai penerima cadangan yang telah ditetapkan secara hardcoded. Hudson Rock juga mengatakan kode situs produksi Polymarket mendokumentasikan penghapusan skrip tersebut. Hudson Rock belum menentukan bagaimana kompromi tersebut dimulai atau berapa banyak pengguna yang terdampak.
Polymarket belum mengidentifikasi penyebab insiden tersebut. Kompromi kunci pribadi pada bulan Mei mengakibatkan sekitar $700.000 disedot dari dompet top-up internal. Kompromi pihak ketiga sebulan kemudian memungkinkan peretas untuk menyisipkan kode frontend jahat dan mencuri sekitar $3 juta dari kurang dari 15 akun. Polymarket berjanji memberikan pengembalian dana penuh setelah insiden tersebut.