Polymarket đã giới hạn giao dịch chỉ còn ở việc hủy lệnh và tạm dừng các hành động của relayer sau khi người dùng báo cáo các khoản rút tiền không được ủy quyền. Người dùng báo cáo khả năng bị xâm phạm giao diện người dùng của thị trường dự đoán. Polymarket đang điều tra một sự cố bảo mật. Trang trạng thái nền tảng liệt kê một sự cố nghiêm trọng ảnh hưởng đến API giao dịch. Người giao dịch có thể hủy các lệnh đã đặt, nhưng không thể gửi lệnh mới. Các hành động của relayer bị tạm dừng gửi các giao dịch đã được ký bởi người dùng lên blockchain.
Một nhà giao dịch có tên CarOnPolymarket cho biết các khoản rút tiền không được ủy quyền đã khiến nhà giao dịch này mất 800.000 USD. CarOnPolymarket cho biết các tài khoản khác cũng bị ảnh hưởng và một người bạn đã mất khoảng 600.000 USD. Nhà giao dịch kêu gọi người dùng bảo vệ tài khoản và tránh tương tác với trang web.
Dữ liệu Arkham cho thấy khoảng 2,65 triệu USD giá trị POL trong ví 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, được xác định là thuộc về nghi phạm tấn công. POL là token gốc của Polygon. Ví này gần đây đã nhận nhiều khoản chuyển đổi từ USDC.e sang POL thông qua dịch vụ hoán đổi liên chuỗi Relay. USDC.e là dạng cầu nối của stablecoin USDC. Các giao dịch đầu tiên xuất hiện cách đây khoảng một giờ. Ví không ghi nhận hoạt động nào trong năm phút qua.
Các nhà nghiên cứu của Hudson Rock cho biết một script được phục vụ thông qua dịch vụ giám sát hiệu suất web DebugBear chứa mã nhắm vào các phiên giao dịch của người dùng đã đăng nhập. Hudson Rock cho biết mã này cố gắng bán các vị thế của người dùng và chuyển các tài sản thu được. Hudson Rock cho biết script xác định ví của kẻ tấn công nghi ngờ là người nhận dự phòng được mã hóa cứng. Hudson Rock cũng cho biết mã trang web sản xuất của Polymarket ghi lại việc gỡ bỏ script này. Hudson Rock chưa xác định được cách thức vụ xâm phạm bắt đầu hay có bao nhiêu người dùng bị ảnh hưởng.
Polymarket chưa xác định được nguyên nhân của sự cố. Việc bị xâm phạm khóa riêng vào tháng Năm đã khiến khoảng 700.000 USD bị rút từ ví nạp nội bộ. Một tháng sau, việc bị xâm phạm bởi nhà cung cấp bên thứ ba đã cho phép tin tặc chèn mã frontend độc hại và đánh cắp khoảng 3 triệu USD từ ít hơn 15 tài khoản. Polymarket đã cam kết hoàn trả đầy đủ sau sự cố đó.