Polymarket terhadkan perniagaan kepada pembatalan pesanan dan menghentikan tindakan relayer berikutan laporan pengguna mengenai penarikan tidak sah. Pengguna melaporkan kemungkinan kompromi antaramuka pasaran ramalan. Polymarket sedang menyiasat insiden keselamatan. Halaman status platform mencatat gangguan besar yang mempengaruhi API perniagaan. Pedagang boleh membatalkan pesanan yang telah ditempatkan, tetapi tidak boleh menghantar pesanan baharu. Tindakan relayer yang dihentikan menghantar transaksi yang ditandatangani oleh pengguna ke blok rantai.
Seorang pedagang yang dikenali sebagai CarOnPolymarket mengatakan bahawa penarikan tidak sah telah menyebabkan kerugian sebanyak $800,000 kepada pedagang tersebut. CarOnPolymarket mengatakan bahawa akaun-akaun lain turut terjejas dan seorang rakan telah kehilangan sekitar $600,000. Pedagang tersebut mendesak pengguna untuk mengamankan akaun mereka dan mengelakkan interaksi dengan laman web tersebut.
Data Arkham menunjukkan sekitar $2,65 juta POL dalam dompet 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, yang diidentifikasi milik pelaku yang diduga. POL adalah token asli Polygon. Dompet ini baru-baru ini menerima beberapa konversi USDC.e menjadi POL melalui layanan pertukaran lintas rantai Relay. USDC.e adalah bentuk terjembatani dari koin stabil USDC. Transaksi pertama kali muncul sekitar satu jam yang lalu. Dompet ini tidak mencatat aktivitas apa pun dalam lima menit terakhir.
Penyelidik Hudson Rock mengatakan bahawa satu skrip yang disediakan melalui perkhidmatan pemantauan prestasi web DebugBear mengandungi kod yang menargetkan sesi perdagangan pengguna yang log masuk. Hudson Rock mengatakan bahawa kod tersebut cuba menjual kedudukan pengguna dan memindahkan aset yang dihasilkan. Hudson Rock mengatakan bahawa skrip tersebut menentukan dompet penyerang yang disyaki sebagai penerima sandaran yang ditetapkan secara tetap. Hudson Rock juga mengatakan bahawa kod laman web pengeluaran Polymarket mendokumenkan penghapusan skrip tersebut. Hudson Rock belum menentukan bagaimana kompromi bermula atau berapa ramai pengguna yang terjejas.
Polymarket belum mengenal pasti punca insiden tersebut. Kompromi kunci peribadi pada bulan Mei menyebabkan sebanyak $700,000 dicuri daripada dompet top-up dalaman. Kompromi penyedia pihak ketiga sebulan kemudian membolehkan perompak memasukkan kod frontend jahat dan mencuri sebanyak $3 juta daripada kurang daripada 15 akaun. Polymarket berjanji untuk memberikan bayaran penuh selepas insiden itu.