A Polymarket limitou as operações de negociação a cancelamentos de ordens e suspendeu ações do relayer em meio a relatos de usuários sobre retiradas não autorizadas. Usuários relataram uma possível compromissão da interface do mercado de previsões. A Polymarket está investigando um incidente de segurança. A página de status da plataforma lista uma interrupção grave afetando a API de negociação. Os comerciantes podem cancelar ordens já colocadas, mas não podem enviar novas ordens. As ações do relayer suspensas enviam transações assinadas pelos usuários para a blockchain.
Um trader conhecido como CarOnPolymarket disse que retiradas não autorizadas custaram ao trader US$ 800.000. CarOnPolymarket afirmou que outras contas também foram afetadas e que um amigo perdeu cerca de US$ 600.000. O trader incentivou os usuários a protegerem suas contas e a evitarem interagir com o site.
Os dados da Arkham mostram cerca de US$ 2,65 milhões em POL na carteira 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, identificada como pertencente ao suposto atacante. POL é o token nativo do Polygon. A carteira recebeu recentemente múltiplas conversões de USDC.e em POL por meio do serviço de troca intercadeia Relay. USDC.e é uma forma ponte do stablecoin USDC. As transações apareceram pela primeira vez há cerca de uma hora. A carteira não registrou atividade nos últimos cinco minutos.
Pesquisadores da Hudson Rock disseram que um script servido pelo serviço de monitoramento de desempenho web DebugBear contém código direcionado às sessões de negociação de usuários logados. A Hudson Rock afirmou que o código tenta vender as posições dos usuários e transferir os ativos resultantes. A Hudson Rock disse que o script especifica a carteira do suposto atacante como destinatário de fallback codificado fixamente. A Hudson Rock também afirmou que o código do site de produção da Polymarket documenta a remoção do script. A Hudson Rock ainda não determinou como a violação começou nem quantos usuários foram afetados.
A Polymarket não identificou a causa do incidente. Uma violação de chave privada em maio resultou na retirada de aproximadamente US$ 700.000 de uma carteira interna de recarga. Uma comprometização de um fornecedor terceirizado um mês depois permitiu que hackers inserissem código frontend malicioso e roubassem cerca de US$ 3 milhões de menos de 15 contas. A Polymarket prometeu reembolsos completos após esse incidente.